机器学习隐私保护相关文献整理

2021-PRIVACY-PRESERVING FEDERATED LEARNING BASED ON MULTI-KEY HOMOMORPHIC ENCRYPTION(arxiv)

这篇文章提出了 xMK-CKKS，通过设置聚合公钥来改进 MK-CKKS 方案，该聚合公钥是用于加密的单个公钥的总和。聚合密文的解密需要解密份额隐含地包含个人密钥信息和来自所有参与者的聚合密文，因此对个人密文没有威胁。该方案对来自参与者的攻击以及对 k < N - 1 个参与设备和服务器之间的共谋攻击具有鲁棒性。

其主要贡献在于聚合公钥的生成，但在部分解密后需要所有的用户将解密份额上传者至云，进行组合来完成最终解密，这个有点像阈值同态，也就是所有用户必须在线才可完成最终解密，如果这一条件并不满足呢？

2022-Privacy-preserving Anomaly Detection in Cloud Manufacturing via Federated Transformer(TII)

该框架允许边缘设备在不损害隐私的情况下与云服务器协作训练异常检测模型，设计了一个基于 Transformer 的弱监督异常特征提取模型，并在边缘设备上传特征之前将差分隐私噪声添加到特征中，然而Transformer的训练方式和FL的训练协议有冲突，导致我们很难直接将Transformer应用到FL。

具体来说在每个边缘设备都有一个本地编码器，即Transformer，它可以提取重要的异常数据特征表示，并将这些带有差分隐私噪声的编码特征上传到云端，云端拥有一个解码器模型，即MLP，可以区分边缘设备上传的特征是正常还是异常，在训练过程中，它不再交换模型更新，而是交换编码特征和损失。为此所设计的训练协议适用于 Transformer 训练。

(异常检测的重点是通过建模检测隐藏在正常样本中的异常样本,其阈值通常设定的较小，因为异常在现实中是很少见的)

Poisoning-Assisted Property Inference Attack Against Federated Learning(TDSC)

本文提出了一种针对 FL 的新型中毒辅助属性推理攻击（PAPI-attack，基本思想是利用周期性模型更新的潜在鉴别能力构造一个二进制攻击模型，该模型反映了数据分布的变化，特别是敏感属性的出现，因此恶意参与者可以构建二进制攻击模型来推断意外信息。），将推理攻击转化为构建攻击模型A来预测目标属性的发生，提出一种预先中毒机制来提高其训练数据的可辨性。全局模型的毒药可以通过强调更新之间关于 P 发生的差异来提高区分能力，在fl过程使全局模型中毒，这强调在带有与不带有目标属性的更新之间的差异值，因此良性参与者被诱导披露有关敏感属性的更多信息。

成员度推理攻击旨在判断给定的数据记录是否出现在训练数据集中，重构攻击侧重于重构用户级训练数据或类表示，其中属性推理更具挑战性，因为它推断的是无关的属性，而不是有助于学习目标的共同特征 。

影子训练的基本思想是，相同结构的模型在相似的数据上训练时产生相似的更新。

(文中未涉及密码学知识，但文中的阈值λ设置可以作为参考：选择λ值更合适的方法是根据攻击模型的ROC曲线计算最佳分类阈值)

2022-Homomorphic Encryption-based Privacy-preserving Federated Learning in IoT-enabled Healthcare System(Trans.NETWORK SCIENCE AND ENGINEERING)

相同参与者拥有的数据集的质量被认为是衡量每个训练迭代中局部模型对全局模型贡献率的主要因素，而不是深度学习中常用的数据集大小。文中提出了一种允许掉线的方案，当在线客户端的数量不少于预先设定的阈值时，联邦学习过程不会终止。

采用的依旧是DH密钥交换协议与秘密共享，该部分创新性似乎不大，不过在衡量用户的数据质量使用加权平均代替传统的基于数据量的权重计算方法，但之前也有看到过对于低质量的用户衡量指标采用余弦相似度或比较相邻两轮之间的梯度相关性等方法。

2022-Edge-Assisted Public Key Homomorphic Encryption for Preserving Privacy in Mobile Crowdsensing(TSC)

在方案中每个参与者使用客户端的公钥加密其数据，使用其私钥使用 BLS 签名为其数据生成标签，并使用其密钥对加密数据进行签名。然后将签名的加密数据和标签发送到边缘，使用组的公钥验证签名，并丢弃无效数据。然后边缘聚合有效的加密数据并对同态标签执行相同的操作。接下来，将聚合后的密文及其标签发送到云服务器。云再次进行聚合，并将最终聚合的密文及其标签转发给客户端。客户端解密加密结果，使用接收到的标签来验证聚合并接受验证聚合。

文中为保证匿名性以及问责机制，利用群签名来保护参与者的匿名性并识别流氓参与者(在聚合过程中上传虚假数据的参与者)。

2022-Detection of False Data Injection Attacks in Smart Grid: A Secure Federated Deep Learning Approach(IEEE.Trans smart grid)

作者将Transformer、联邦学习和Paillier密码体制相结合，提出了一种基于安全联邦深度学习的FDIA检测方法。用户端在本地训练transformer模型，然后在加密上传到云中心进行聚合。该方法通过使用联邦学习框架，利用来自所有节点的数据协同训练检测模型，同时在训练过程中将数据保存在本地，以保护数据的私密性。文中使用基于transformer的检测器，其核心部分在注意力机制部分。

然而该方案中未涉及掉线问题；同时采用的为同一公钥下的密文进行同态计算，因此是否可采用多密钥同态进行加密处理，其安全性由于基于格理论，隐私性应该会更有保证。

2017-Adversarial Examples Are Not Easily DetectedBypassing Ten Detection Methods

作者汇总了十篇对抗样本检测的方法，并分别给出相应的攻击方法，证明了对抗样本不被检测到其实并不是很难，文中采用的防御方法大体分为以下几类：(1)对抗再训练；基于PCA的检测(对抗样本在主成分上比普通样本要有更高的权重)；(2)基于分布的检测：最大均值差异，核密度；(3)归一化检测：Dropout随机化(通过丢弃，对抗样本输出与普通样本有不同的输出)，平均模糊(即针对输入数据进行处理，但这种方式较为简单，但可低于FGSM攻击).

2017-Detecting Adversarial Samples from Artifacts(2017)

对抗样本检测的原理可以用数据流形的观点来解释，即许多训练数据，图片，实际存在于高维空间中的低维流形区域。对抗扰动并没有改变原始数据的真实标签（潜在标签），只是将数据移出了数据流形。因此作者认为对抗样本在数据流形之外，即基于统计学知识，对抗样本与普通样本有不同的分布；故可以通过密度估计的方法,计算欧式距离以此估计出普通样本的密度函数,然后求得样本的置信度,选择合适的阈值t(如通过ROC-AUC等指标),便有了区分普通样本和对抗样本的方法。

但当对抗样本与真实数据流行区域很近的时候，也就是对抗样本以及被分错的时候，再看距离已经没什么意义（距离近可被认为是已经被分错了），因此应该看它的置信度，也就是分类的确信程度。这种方法可用来检测位于低置信度的点，弥补KDE检测不到的点。其背后原理是通过dropout在网络中添加随机性。但不管如何随机化良性输入都能得到正确分类，但对抗样本容易受到随机化的影响。那么多次运行网络，每次dropout的神经元不同，通过网络的输出来计算不确定性值，根据不确定性值的大小来判断是否输入为对抗样本。从贝叶斯理论角度理解Dropout，可将Dropout 解释为高斯过程的贝叶斯近似，因此文中借助贝叶斯模型的不确定性来识别置信度,具体数学证明可参考原论文。

2021-Efficient Privacy-Preserving Federated Learning with Unreliable Users (IoT)

如何降低密文下边缘用户的开销,保证FL在物联网环境中流畅运行，文章提出了 EPPFL，一种高效且保护隐私的联邦学习方案，可以有效地处理用户在物联网中的低质量数据。EPPFL 的贡献总结如下：(1)在 FL 训练过程中实施了一个高效且安全的聚合框架。基于门限Paillier密码系统，该框架可以严格保护所有用户相关信息的隐私，包括梯度和每个梯度分量。(2)我们提出了一种新颖的方案（称为SchUU）来减轻不可靠用户造成的负面影响，通过迭代执行“排除不相关组件”和“加权聚合”。

2021-Privacy-Preserving Federated Learning Framework Based on Chained Secure Multiparty Computing(IoT)

本文主要贡献如下:1）在诚实但好奇的假设下，提出的方案可以在不降低模型精度的情况下实现隐私保护，接近基线FL算法（即FedAVG算法[1]），优于基于DP的FL算法[9]。2) 链式 PPFL 方案的通信和计算复杂度远低于典型的基于 SMC 的方案。3）所提出的chain-PPFL的架构相对简洁，易于在一些实际的FL场景（例如IoT）中部署在设备上。4）提供了chainPPFL的代码实现。

2021-PFLM: Privacy-preserving federated learning with membership proof(Information Sciences)

通过成员证明，提出一种称为 PFLM 的隐私保护联邦学习方案。PFLM 在安全保证的同时释放了阈值的假设。此外设计了一种基于 ElGamal 加密变体的结果验证算法，以验证来自云服务器的聚合结果的正确性。验证算法作为一部分集成到 PFLM 中。随机预言机模型中的安全性分析表明，PFLM 可以保证针对活跃敌手时提供好的隐私保护效果。

2022-Securely Outsourcing Neural Network Inference to the Cloud with Lightweight Techniques(TDSC)

本文设计了一个基于云的安全外包服务 Sonic，它支持轻量级安全 CNN 推理，同时保护私有用户数据和专有 CNN 模型。通过结合系统、密码学和机器学习相关研究，Sonic 实现了一个成熟的云服务框架，支持通用 CNN 模型并提供高性能推理服务。设计了一系列高效的安全层功能，使用轻量级秘密共享，包括安全卷积层 (SCONV)、安全批量归一化 (SBN)、安全 ReLU 激活 (SReLU) 和安全最大池化层 (SMP)。我们将这些安全层功能分解为更小且可组合的加密小工具，并精心设计每个小工具以优化云上安全 NN 推理的性能。

2020-Toward Verifiable and Privacy Preserving Machine Learning Prediction(TDSC)

本文所提出的安全方案MVP首次在 ML 预测服务中同时实现结果可验证性、功能隐私性和输入隐私性。MVP 首先具有多项式分解和素数阶双线性组的特性，以允许结果验证，同时保持函数参数的秘密。然后，MVP 将隐私保护与多项式评估和结果验证相结合，通过在素数阶双线性群上的适应 BGN 同态密码系统。一方面，同态属性使服务提供者能够不经意地和有效地计算两个多元多项式（即点积和平方欧几里德距离）作为通用 ML 算法的基础。另一方面，BGN类型密文也可以方便地嵌入或剥离正确计算的签名，调和结果可验证性和输入隐私之间的矛盾。为了进一步支持大规模的测试数据，MVP 通过非对称配对的双线性结合了批量验证和签名聚合，显着降低了计算和通信开销。

2021-HEMET: A Homomorphic-Encryption-Friendly Privacy-Preserving Mobile Neural Network Architecture

在 PPNN 上应用移动神经网络架构甚至可能会延长其推理延迟，移动网络架构虽然减少了PPNN的HE运算，但大大增加了乘法深度，并减慢了PPNN的每次HE运算。本文提出了一种简单的、贪心的、对 HE 友好的移动网络架构搜索算法来评估一个块是否应该采用常规卷积层或可变模块以最小化整个网络的推理延迟。搜索算法是逐层执行的，可以在不增加 PPNN 的乘法深度的情况下减少 HE 操作。还提出了系数合并，通过合并每层的掩码、近似激活系数和批量归一化系数来进一步降低 PPNN 的乘法深度。

2020-Low Latency Privacy-preserving Outsourcing of Deep Neural Network Inference(IoT)

本文提出了一个双边缘服务器框架，为资源受限的物联网设备启用有效的隐私保护外包 DNN 推理。框架为 DNN 推理的输入和输出数据提供隐私保护，所提出的框架采用混合外包策略，其中占据大部分计算 [18] 的 DNN 层被外包，而计算效率层则直接在本地处理。利用边缘计算来提高外包计算的效率，可以有效地改善网络延迟和可用性问题 [19]。更重要的是，提出了一种新颖的加密方法以确保对加密数据进行实时 DNN 推理，具体来说，由于 DNN 对输入数据和随机噪声的线性运算是线性可分的，因此可以方便地预先解密噪声。因此，加密允许物联网设备安全地将超过 99% 的 DNN 操作外包给边缘设备。为了进一步提高我们框架在通信方面的效率，我们集成了压缩技术 [20] 以减少传输过程中密文的大小。除了隐私保护，我们还讨论了如何使物联网设备能够检查边缘服务器返回的计算结果的完整性.

2021-POSEIDON: Privacy-Preserving Federated Neural Network Learning(NDSS)

本文提出了 POSEIDON，一种用于隐私保护、抗量子、基于联邦学习的 N 方无界 N 的训练和推理的新系统，它依赖于多方同态加密并保护训练数据的机密性。本文贡献包括：1.提出一种交替打包方法，可以有效地对加密数据使用单指令多数据 (SIMD) 操作，并且我们提供了一个通用协议，用于在加密下执行 NN，具体取决于数据集的大小和网络的结构. 2.通过引入任意线性变换来优化计算量大的操作，例如池化或密文上的大量连续旋转，改进了[84] 的分布式引导协议。3.制定了一个约束优化问题，用于选择密码参数并平衡在分布式设置中训练和评估NN 所需的昂贵密码操作的数量。

2022-Cheetah: Lean and Fast Secure Two-Party Deep Neural Network Inference(USENIX)

在本文中介绍了 Cheetah，这是一种用于深度神经网络 (DNN) 的安全且快速的两方推理系统。Cheetah 通过精心设计的 DNN、基于格的同态加密、不经意传输和秘密共享来实现其性能。Cheetah 为 DNN 最常见的线性运算和非线性运算贡献了一套新颖的加密协议。Cheetah 可以对大型模型执行安全推理，例如ResNet 和 DenseNet [29]，与最先进的 2PCNN 推理系统相比，计算和通信开销要小得多。

2021-Leia: A Lightweight Cryptographic Neural Network Inference System at the Edge(TIFS)

在本文中，我们提出并启用了 Leia，这是一种在边缘执行的密码 NN 推理系统。我们将边缘节点作为两个非共谋计算服务来同时满足上述隐私目标和操作要求。模型所有者对模型进行编码，并且只将编码后的模型发送到边缘节点一次。之后，用户移动设备可以提交编码输入并获得编码推理结果。在这个过程中，边缘节点不经意地执行推理，而不与模型所有者或用户移动设备进一步交互。然而仅仅将 NN 推理过程转换为密码操作并不一定能在移动和边缘设备的通信和计算中实现令人满意的效率。相反，我们的第二个见解是采用二值化神经网络 (BNN) [15]，这是一种特殊的 NN 模型，其权重和激活都限制在 ±1。因为小型 BNN 模型可以大大减少资源需求，并且对二进制值的底层操作更兼容密码原语。我们巧妙地使用安全层功能构建 Leia，包括安全线性层（安全卷积层 SCONV 和安全全连接层 SFC）、安全批量归一化函数（SecBN）、安全二进制激活函数（SecBA） ，以及安全最大池化层（SMP）。

2022-ShieldFL: Mitigating Model Poisoning Attacks in Privacy-Preserving Federated Learning(TIFS)

本文提出了 ShieldFL，一种针对 PPFL 中模型中毒攻击的隐私保护防御策略，它基于双陷门 HE 机制来防止密钥泄露和数据泄露，确保数据隐私。在 ShieldFL 中，首先提出了一种使用余弦相似度的隐私保护防御策略来抵抗 PPFL 中的加密模型中毒。然后为异构数据场景设计了一种具有鲁棒性的拜占庭容错聚合机制。主要贡献总结如下。• 提出了一种基于双陷门HE 的隐私保护防御策略来抵抗加密模型中毒，该策略可以基于余弦相似度识别加密恶意梯度，具有隐私保证和高效率。• 设计一种拜占庭容错聚合机制来确保ShieldFL 的鲁棒性，它支持包括IID 和非IID 数据在内的异构数据场景，旨在减少任意比例（小于50%）的恶意用户对系统的破坏.

2022-Lightweight Privacy-Preserving GAN Framework for Model Training and Image Synthesis(TIFS)

提出了 LP-GAN，一种轻量级的隐私保护深度学习框架，用于 GAN 的实际训练和图像合成。训练数据和模型在训练和生成阶段是保密的。提供了一系列适用于边缘计算的基于秘密共享的安全两方计算（2-PC）协议，能够确保数据安全免受恶意对手攻击，并在运行方面达到前所未有的性能。设计了一套基于秘密共享的高效协议，包括安全矩阵乘法 (SecMMul)、安全 OR (SecOr)、安全最高有效位 (SecMSB)、安全比较 (SecCmp)、安全平方根 (SSqrt)、安全范围转换 (SRC)、安全逆平方根 (SISqrt)、安全场转换 (SFC) 协议。与最先进的 ABY 框架 [12] 中的安全比较协议相比，我们的 SecCmp 协议速度提高了 3 倍，并降低了 25 倍的通信成本。与 [13] 中的最新协议相比，我们的 SecCmp 协议速度提高了 1.5 倍，并降低了 2.5 倍的通信成本。与 Yao 在 [14] 中基于乱码电路的方案相比，我们的安全平方根协议 (SSqrt) 将效率提高了 22 倍。为机器学习中使用的函数构建了一系列安全协议（例如卷积、ReLU、leaky ReLu、Sigmoid、Tanh 和批量归一化）。安全的前向和后向传播算法，并通过集成这些安全构建块提出了 LP-GAN 的安全训练和图像合成协议。

2022-Privacy-Preserving Transformer Inference with Homomorphic Encryption

本文是第一个探索使用 HE 保护transformer推理的工作;Transformer 模型的隐私保护推理是云服务用户的需求。为了保护隐私，在同态加密（HE）中仅使用密文进行计算是一个有吸引力的选择。然而，由于transformer中的复杂计算，当前的 HE 工具尚不支持，因此很难对密文数据进行预训练模型推理。在这项工作中介绍了 THE-X，一种用于transformer的近似方法，它可以对流行框架开发的预训练模型进行隐私保护推理。THE-X 提出了一种工作流来处理transformer网络中的复杂计算，包括所有非多项式函数，如 GELU、softmax 和 LayerNorm。

2021-AriaNN: Low-Interaction Privacy-Preserving Deep Learning via Function Secret Sharing(Proceedings on Privacy Enhancing Technologies 2022)

本文提出了 AriaNN，一种用于隐私保护神经网络训练和敏感数据推理的低交互隐私保护框架。半诚实的 2 方计算协议利用功能秘密共享（Function Secret Sharing），这是一种最近提出的轻量级加密协议，为 ReLU、MaxPool 和 BatchNorm 等神经网络的构建块设计优化的原语。我们在在线阶段使用输入大小的单个消息对 ReLU 操作执行私有比较，且预处理键比以前的工作小近 4 倍。最后，提出了一个扩展以支持 n 方私有联邦学习。将框架实现为 PyTorch 之上的可扩展系统，该系统利用 CPU 和 GPU 硬件加速来进行加密和机器学习操作。

2022-PVD-FL: A Privacy-Preserving and Verifiable Decentralized Federated Learning Framework(TIFS)

首先，PVD-FL 保证了模型训练过程的安全性，局部更新和全局模型在整个训练过程中都是保密的，可以严格保护数据隐私。同时，PVD-FL的每一个训练步骤都是可验证的，从而保证了训练的完整性。具体来说，EVCM首先使用补码来兼顾签名密文的打包和计算。此外，随机数被添加到每个密文包装中，以支持可验证的计算。• 其次，PVD-FL 在去中心化架构下实现了高精度的深度学习模型训练。设计了一套包含模型初始化、模型传播和模型更新的去中心化算法。基于它们，在 PVD-FL 中，可以在多个连接的参与者上构建全局模型，而无需中心的帮助。此外，PVD-FL 中的所有计算都不会导致模型精度下降。• 第三，PVD-FL 在计算成本和通信开销方面非常有效。在 PVD-FL 中，全局模型和局部更新均采用轻量级 SHE 技术进行加密，密文计算可以并行执行，显着降低了开销。

2022-SIMC: ML Inference Secure Against Malicious Clients at Semi-Honest Cost(USENIX)

神经网络由两种类型的层或函数组成：线性层（包括矩阵乘法、卷积等函数）和非线性层（包括 ReLU、ReLU6、Maxpool 等函数）。在 MUSE 考虑的基准测试中，MUSE 近 99% 的通信开销（以及大约 80% 的整体性能开销）是由于非线性层的安全计算协议造成的。SIMC 的核心是一种用于安全计算非线性层的全新协议，与 MUSE 在计算和通信方面相比，它更加轻便。MUSE 使用计算量大的同态加密 [8,19,20] 以及通信量大的经过身份验证的 Beaver 三元组 [15, 28] 来实现它们的非线性层。相比之下，SIMC 使用廉价的不经意传输和一次性加密来完成相同的任务。

2021-A Lightweight Privacy-Preserving CNN Feature Extraction Framework for Mobile Sensing(TDSC)

本文提出了一种新颖的轻量级框架，用于在移动传感设置中进行隐私保护 CNN 特征提取。通过利用基于秘密共享的加密技术并将计算密集型工作转移到边缘服务器，可以大大减少移动传感器和用户的开销。同时，它不需要终端设备和服务器之间的交互。我们开发了一系列不依赖于计算密集型密码原语（如同态加密和乱码电路）的构建块。因此方案可以以最少的计算和通信开销大大提高整体性能。设计了一种隐私保护的 CNN 特征提取方案，它不需要像以前基于同态加密的方案那样对推荐的常见 CNN 层进行任何近似。因此可以在保持隐私的同时保持 CNN 模型的准确性.

2022-DetectPMFL: Privacy-Preserving Momentum Federated Learning Considering Unreliable Industrial Agents(TII)

通过计算所有工业代理机构的可信度(余弦相似度)来检测不可靠的代理机构，同时确保服务器不能得到代理的模型参数。虽然CNNs具有更好的抵抗推理攻击的能力，但我们证明它仍然存在隐私问题，关于这方面的研究还较少。在此基础上，采用 CKKS 加密方案来保护代理的数据。

2022-Fast Privacy-Preserving Text Classification Based on Secure Multiparty Computation(TIFS)

本文第一次提出了隐私保护特性的朴素贝叶斯分类器。过去的工作假设这些特征是公开的。它基于 MPC 的秘密共享技术。在我们的解决方案中，给定一个经过训练的模型，可以对示例进行分类/预测，而无需向各方透露任何其他信息，而分类结果除外，这些信息可以向一方或双方透露。使用通用可组合性 (UC) 框架 [13] 证明方案是安全的.

2018-PDLM: Privacy-Preserving Deep Learning Model on Cloud with Multiple Keys(TSC)

PDLM，它允许 SP 将大部分计算迁移到云端来训练深度学习模型，而不会泄露任何隐私。为了减少开销，SP 将使用用户的多个密钥加密的训练数据集发送到不受信任的云。然后，基于云中的随机梯度下降 (SGD) 训练模型，并基于有效的隐私保护计算工具包执行前馈和反向传播过程。通过这种方式，SP 的存储和计算开销最小化，同时训练数据不会泄露到 SP 和不受信任的云。云服务器在接收到多密钥加密数据集的同时，将这些训练数据集转换为所有涉及的公钥乘积下的加密。之后，通过这些转换后的密文（在同一密钥下），我们可以运行传统的算术运算，以隐私保护的方式学习模型参数.(文中使用双线门加密)

2022-Privacy-Preserving Image Classification Using Vision Transformer

本文提出了一种基于加密图像和ViT的组合使用的隐私保护图像分类方法。所提出的方法不仅允许我们将没有视觉信息的图像应用于 ViT 模型进行训练和测试，而且还保持较高的分类精度。ViT 利用图像块的块嵌入和位置嵌入，因此这种架构被证明可以减少逐块图像转换的影响。在实验中，所提出的隐私保护图像分类方法被证明在分类准确性和对各种攻击的鲁棒性方面优于最先进的方法。

2020-SecureAD: A Secure Video Anomaly Detection Framework on Convolutional Neural Network in Edge Computing Environment(TCC)

首次尝试解决外包监控视频中基于隐私保护的 CNN 异常检测任务。SecureAD 允许边缘服务器检测视频异常，而不会损害视频数据和模型参数的隐私。• 设计一系列使用附加秘密共享技术执行 SecureAD 的协议，计算成本和通信开销远低于 HE。此外，与 SecureAD 相关的所有类型的计算操作均不涉及密钥。• 构建一个基于 Bloom 过滤器的访问控制机制，允许服务器检查用户身份的有效性，而不会泄露用户的真实属性。• 采用边缘计算来设计一种新颖的视频异常检测架构。在该架构中，用户和服务器结合在一起，以非交互的方式进行视频异常检测。同时，它可以改善响应延迟。

2020-SecureNLP: A System for Multi-Party Privacy-Preserving Natural Language Processing(TIFS)

在本文中，专注于基于循环神经网络 (RNN) 的序列到序列 (seq2seq) 和注意力模型，并设计了一个新的分布式框架来保护 NLP 任务期间各方的隐私。设计了一系列非线性激活函数的多方交互协议，即 sigmoid 和 tanh，同时采用乘法和加法秘密共享。具体来说将秘密值设置为加法共享，以便激活函数结果可以乘法共享。然后使用与类似(23)的私有多方乘法协议分别用相同的乘法共享随机数来为分子和分母加上掩码，并将这些乘法共享转换为加法共享。在上述构建块的基础上提出了两种用于长短期记忆网络的隐私保护多方协议和基于 RNN 的带有注意力模型的 seq2seq。具体来说考虑一组各方 P1, ... , Pn，输入序列 {x1, ... , xT} 的每个元素在各方之间相加共享，预测结果 {y1, ..., yT} 为公开学习。

2020-SecureTrain: An Approximation-Free and Computationally Efficient Framework for Privacy-Preserved Neural Network Training(TNSE)

提出了一个新的框架，称为安全模型训练 (SecureTrain)，以解决隐私保护 DL 模型训练面临的两个基本挑战：(1) 使用函数逼近导致的模型精度损失和训练不稳定性，以及 (2) 计算效率。总体目标是消除使用函数逼近进行训练而不会造成精度损失和不稳定性，并减少使用 Perm 操作以提高计算效率。首先，为了实现无近似计算，SecureTrain 采用了一种创新设计，能够基于同态秘密共享 (HSS) [30]-[32] 实现联合线性和非线性计算。其次通过精心设计共享集消除了耗时的 Perm 操作。此外，SecureTrain 利用前向传播和反向传播中的数据流来实现有效的捎带，从而进一步加速整体计算并降低通信成本。

2022-Sphinx: Enabling Privacy-Preserving Online Learning over the Cloud(S&P)

Sphinx 的核心是将深度神经网络中的每个线性层分为两部分：线性分量 W 和偏置分量 b。Sphinx 使用同态加密 (HE) 加密所有偏置分量，并使用差分隐私 (DP) 扰乱线性分量。结果表明，这种设计能够实现我们的高吞吐量训练和低延迟推理协议，并从理论和实验的角度建立 DP 和 HE 技术之间的协作关系。为了加速 HE 方案下的训练过程，Sphinx 进行了多项系统优化。首先，通过精心设计特征、梯度和模型参数之间的同态算术运算行为，避免了大多数用于密文乘法的昂贵的重新缩放和重新线性化操作。其次，Sphinx加速了加密操作，减小了密文大小，进一步降低了客户端和服务器之间的通信时间.

2017-SafetyNet: Detecting and Rejecting Adversarial Examples Robustly(ICCV)

构建对对抗样本具有鲁棒性的网络的一种方法是使用增强的训练数据训练网络（添加对抗样本 [18]）；这种方法难点在于，网络中图像和特征的维度意味着需要不合理数量的训练数据。或者，我们可以建立一个检测和拒绝对抗样本的网络。通过附加一个观察原始分类网络状态的检测子网络，人们可以判断它是否已经呈现了一个对抗性示例[17]。然而，由于他们的检测子网络的梯度表现非常好，因此在他们和我们的实验中，联合系统都可以很容易地受到攻击（II 型攻击）。他们和我们的实验还表明，他们的检测子网络很容易被检测器训练过程中未使用的攻击方法产生的对抗样本所欺骗。方法侧重于通过量化分类网络的特定层（“激活模式”）中的单个 ReLU 产生的码.

SafetyNet 架构，它由原始分类器网络和拒绝对抗性示例的检测器组成。对 SafetyNet 的 I 类攻击包括一个标准的对抗样本，该样本被精心设计为 (a) 与自然图像相似；(b) 被原始网络错误分类。II 型攻击由一个示例组成，该示例被设计为 (a) 与自然图像相似；(b) 分类错误；(c) 未被 SafetyNet 拒绝。

2020-Optimizing Privacy-Preserving Outsourced Convolutional Neural Network Predictions(TDSC)

SecureML 依靠离线预计算来实现在线吞高效计算。在外包的环境下，线下的预计算自然也委托给了云平台。具体来说使用单指令多数据 (SIMD) [29] 加速了离线三元组生成 [27]。还采用异步计算来加速离线和在线计算。SecureML [25] 原则上可以实现 ReLU，但是，面对框架中 ReLU 的开销，他们最终决定使用 square 函数作为替代。我们的工作使用乱码电路作为 MiniONN [15] 和 EzPC [17] 进行非多项式 ReLU 激活，以保持与底层明文网络相同的精度，并具有可接受的开销。CNN 架构具有池化层。随着 max-pooling 的普及，MiniONN 和 EzPC 的实验结果也侧重于实现 max-pooling。再看一下平均池化的替代方案。虽然实验证实平均池确实不如最大池准确，但差异很小。在明文计算中，最大池化（一系列比较）和平均池化（一系列加法和除法）之间的计算延迟差异很小。请注意，最大池化是非线性操作，而平均池化是线性操作。安全地计算前者比后者慢得多。这导致在 CNN 服务中使用平均池化的最终优化，它实现了与 MiniONN [15] 和 EzPC [17] 展示的最大池化几乎相同的准确度，但在延迟减少方面有显着改善。

2021-NN-EMD: Efficiently Training Neural Networks using Encrypted Multi-sourced Datasets

文章提出了一种基于加密多源数据集(NN-EMD)的神经网络训练框架。(1)NN- EMD是在一组加密多源数据集上训练DNN的第一个有效且更实用的方法。2）提出了一种新的加密方法(即内积功能加密)，可应对三种数据类型: (a) 每个数据源提供一个包括所有特征的数据集; (b) 每个数据集只提供特征的子集，但这些数据集集合起来涵盖了完整的特征集; (c) (a)和(b)的混合数据类型。3）与现有的方法相比，NN-EMD减少了90%以上的训练时间，并实现了模型准确性和隐私性的保证。尽管引入了隐私保护的NN-EMD，神经网络的深度和复杂性并不影响训练时间.

2020-NPMML: A Framework for Non-Interactive Privacy-Preserving Multi-Party Machine Learning(TDSC)

文章提出了 NPMML 的框架(非交互式框架)。该框架是服务器辅助的，它使训练者能够在加密数据上训练机器学习模型，而无需与数据所有者进行在线交互。与交互式学习系统相比，具有 NPMML 的多方学习系统为数据所有者引入了更少的通信开销和隐私保护训练协议。基于 NPMML 框架，我们给出了训练多层神经网络的具体结构。在构建中，我们设计了一种保护训练结果隐私的新型训练协议和一种保护训练数据隐私的加密方法。这些组件共同保证 1) 数据所有者在上传加密数据后不必维护在线训练；2）训练者可以使用加密数据迭代更新神经网络模型，最终得到一个训练好的模型.

2022-Privacy-Preserving and Outsourced Multi-Party K-Means  Clustering Based on Multi-Key Fully Homomorphic Encryption (TDSC)

普通的同态加密只能实现相同密钥下的密文计算，为实现不同密钥下密文计算，本文采用多密钥全同态加密(MK-FHE)，即在MK-FHE的基础上，对患者的医疗数据进行单独加密。然后生成的密文被传输到云服务器。云服务器对密文进行聚类，输出结果.本文贡献：(1)设计了四种安全单元协议，即安全平方欧氏距离协议、安全比较协议、安全最小值协议和安全平均协议. (2)为了将K-means聚类的计算过程完全外包给云服务器，基于以上协议，提出一种多方K-means聚类方案，通过对不同密钥密文 的转换方法进行改进, 该方案的优点是患者可以离线.

END

作者简介：

知乎：公钥密码学渣。研究兴趣包括密码协议、联邦学习与隐私保护。

往期推荐

欢迎投稿

邮箱：[e-mail]

参与更多讨论，请添加小编微信加入交流群