Google lança Aprendizado Federado Privado Verificável para o Gboard

A Google Research anunciou a criação de uma nova arquitetura de aprendizado federado que desloca partes críticas do pipeline de treino para enclaves de servidor atestados, construídos sobre ambientes de execução confiáveis (TEEs). O objetivo é tornar as garantias de privacidade diferencial verificáveis por terceiros, superando as promessas opacas que caracterizavam os sistemas federados anteriores.

Como a Arquitetura Funciona

Nos dispositivos cliente, cada exemplo de treino é encriptado e associado a uma política de acesso que especifica qual programa TEE no servidor tem permissão para desencriptar os dados e quais resultados anonimados podem ser divulgados. Essa política está ligada criptograficamente ao payload encriptado, assegurando que apenas as cargas de trabalho autorizadas possam aceder aos dados em claro.

Um cluster dedicado à gestão de chaves, também executado dentro de TEEs, utiliza o protocolo de consenso RAFT para coordenar as chaves de desencriptação. As chaves são libertadas exclusivamente para as cargas de trabalho que correspondam à política publicada, impedindo que processos maliciosos acedam aos dados mesmo que controlem o enclave.

Verificabilidade Pública via Rekor

Todas as políticas de acesso são registadas no registo de transparência público Rekor. Observadores externos podem consultar esse registo para ver exatamente quais cargas de trabalho de servidor estão autorizadas a processar exemplos encriptados, proporcionando uma trilha de auditoria analisável sem necessidade de aceder à infraestrutura interna da Google.

• Políticas publicadas no Rekor para inspeção pública
• Cluster de gestão de chaves hospedado em TEE usando RAFT
• Binários reproduzíveis do repositório Confidential Federated Compute
• Apenas métricas e pesos do modelo DP deixam o enclave

Benefícios para o Gboard

A Google afirma que os modelos de predição da próxima palavra do Gboard em inglês e japonês são agora treinados com este sistema. Segundo a empresa e o artigo associado, o novo pipeline entrega ciclos de treino mais rápidos, maior precisão de predição e orçamentos de privacidade menores em comparação com o sistema de produção anterior.

Ao mover o cálculo de gradientes e o agendamento para o servidor, reduz‑se a necessidade de disponibilidade simultânea dos dispositivos. Isto permite otimizar os parâmetros de privacidade em cohortes maiores e mais diversificadas, melhorando a utilidade global do modelo diferencialmente privado.

Apenas métricas agregadas e pesos do modelo com privacidade diferencial são expostos aos operadores da carga de trabalho. Os exemplos encriptados permanecem dentro dos enclaves autorizados por um período limitado, sendo destruídos automaticamente depois, limitando a superfície de ataque para vazamento de dados.

A Google também disponibiliza os binários de gestão de chaves e de processamento de dados como construções reproduzíveis a partir do repositório open‑source Confidential Federated Compute, permitindo a verificação independente do código que corre dentro dos enclaves.

Apesar desses avanços, os TEEs ainda apresentam limitações específicas de geração e vulnerabilidades a ataques de canal lateral. A verificabilidade externa de código e políticas não elimina todos os riscos associados a falhas de hardware, bugs de implementação ou práticas mais amplas de governação de dados.

Para organizações que utilizam o Gboard ou serviços semelhantes de aprendizagem federada, a mudança significa que podem agora apontar para um sistema onde as garantias de privacidade são não só declaradas, mas também auditáveis através de registos públicos. Isto acrescenta uma camada de confiança regulatória, particularmente relevante para entidades sujeitas à Autoridade Nacional de Proteção de Dados (CNPD) em Portugal.

Desafios e Limitações

Os TEEs, embora forneçam um isolamento robusto, não são imunes a vulnerabilidades de canal lateral que podem ser exploradas por atacantes sofisticados. Além disso, a dependência de hardware certificado cria uma cadeia de confiança que pode ser difícil de validar em ambientes multi‑cloud.

A auditoria baseada em Rekor depende da integridade dos registos públicos e da correta implementação das políticas de acesso. Caso haja discrepâncias entre o código executado dentro do enclave e o binário publicado, a confiança externa pode ser comprometida, exigindo mecanismos adicionais de verificação de integridade.