Datos de entrenamiento que no se pueden esconder

El problema

Qué construimos

• El clasificador de géneros de otro caso, entrenado dos veces: Python con el manifiesto manual habitual (un helper de lectura que calcula el hash de cada archivo) y Synsema con el lineage del motor y un recibo firmado.
• En los dos, un descuido realista: además de los datos documentados, alguien carga extra_data.csv directamente.
• Un verificador independiente que no necesita clave privada: firma, resultado declarado, hash del modelo y hash de cada entrada.

Resultados

El código, lado a lado

def read(path):
    """Records the read in the manifest. It only works if EVERYONE uses it, every time."""
    b = pathlib.Path(path).read_bytes()
    MANIFEST.append({"file": pathlib.Path(path).as_posix(), "bytes": len(b), "sha256": hashlib.sha256(b).hexdigest()})
    return pd.read_csv(path)

labels = read(D / "data" / "teacher_labels.csv")
labels = labels[labels["teacher"].notna()].sample(frac=1, random_state=11)
cut = int(len(labels) * 0.8)
train, test = labels.iloc[:cut], labels.iloc[cut:]

extra = pd.read_csv(D / "data" / "extra_data.csv")       # <- the off-the-books read: it does not go through read()

-- 2. The off-the-books read: someone added data without documenting it. In Python it escapes the manual
--    manifest; here the engine records it anyway, because the program cannot drop entries from the lineage.
let extra be csv_parse(read_file(`{D}/data/extra_data.csv`))

let k be secret("RECEIPT_SEED")
let did be did_key_encode(ed25519_pubkey(k))
let vm be did + "#" + did_key_decode(did).multibase
let result be {"model_sha256": slice(hex(sha256(model_json)), 2), "metrics": metrics, "classes": CLASSES}
let rec be receipt({"sign": k, "verification_method": vm, "result": result})

Por qué Synsema

• lineage() lo escribe el motor, no el programa. Cada lectura de afuera queda registrada con su sha256, y el programa no puede agregar, editar ni quitar entradas.
• receipt() lo convierte en una Verifiable Credential firmada con ed25519. Cualquiera la verifica con el DID público del emisor.
• La ficha de datos se genera a partir de lo que pasó de verdad, no de lo que alguien se acordó de registrar.

Lo que no resuelve

• El lineage registra lo que el programa lee, no lo que escribe. El hash del modelo se agrega a mano al resultado firmado.
• Probar que un archivo no cambió no prueba que fuera lícito usarlo (licencia, consentimiento). Eso sigue siendo de quien arma el dataset.
• La clave de firma de la demo es de prueba. En producción vive en un gestor de secretos y se publica su DID.

Compartir