该论文研究差分隐私（DP）训练中梯度裁剪对 Muon 优化器更新几何的破坏问题。DP 训练通常对每个样本梯度进行径向裁剪再加噪，但不同样本的裁剪系数不一致，会扭曲这批梯度平均后的奇异向量相对几何结构。Muon 的更新量是近似极分解因子 UV^T，仅依赖奇异向量，因此对这种畸变尤其敏感。作者提出 Inner Momentum（IM）：在裁剪之前，将每个样本的 Muon 梯度在当前模型与最近若干历史模型上做平均。这样裁剪后的批量矩阵可分解为共同缩放项与协方差残差 R（样本梯度与裁剪值之间），并给出 Frobenius 范数上界 ||R||_F <= sigma_lambda sigma_G，直接约束裁剪导致的畸变。作者进一步证明，在相应谱条件下，有限步 Newton-Schulz 迭代保持输入的极分解因子，说明该修正能经受正交化过程而不被破坏。实验方面，在 E2E 与 DART 数据集上对 GPT-2 进行私有微调，ε 取 1、2、4、8；DP-Muon-IM 在所有同种子对比中均提升 BLEU 与 ROUGE-L，非私有诊断显示噪声注入前极分解误差降低 2–4%。该工作适合差分隐私优化、大模型隐私微调与优化器设计方向的研究者与工程师阅读。

该论文针对云端隐私保护机器学习在智能体场景中的落地难题展开研究。全同态加密（FHE）允许在密文上直接计算，是保护云端强化学习（RL）数据机密性的理想方案，但 FHE 只原生支持加法和乘法，所有非线性激活、裁剪、比较等操作都必须替换为多项式近似。问题在于，RL 的时序差分（TD）学习具有递归性质，近似误差会在 Bellman 更新中反复累积并放大，形成论文所称的 Bellman drift，最终导致策略崩溃，使得多项式近似在训练后期严重偏离安全区间。为此作者提出同态优势算子 HAO，一个专为 FHE 约束下深度 RL 设计的稳定化框架。HAO 的核心思想是把基于优势函数价值估计中的零均值中心化投影迁移到 TD 目标上：通过对 TD 目标施加一个线性投影，消除驱动 Bellman drift 的统一状态价值基线分量，同时保持每个状态下动作的相对排序不变。该操作不增加任何额外的非线性乘法深度，也无需执行昂贵的密文自举，因此计算与密文预算开销可控。作者采用三层实验方法进行评估：表格型马尔可夫决策过程、使用真实 CKKS 密文运算的加密 CartPole 环境，以及包含密集连续特征的 20 节点物流路径规划基准。结果显示，HAO 能严格将网络预激活值限制在多项式近似的安全定义域内：在所有随机种子上均实现 0% 边界越界；仅使用正则化手段（L2 权重衰减与梯度裁剪）时，5 个种子中有 3 个发生越界；未稳定基线在 83.8% 的回合中出现越界。此外，HAO 智能体在表格域将最优策略准确率提升 18.0 个百分点，并且在裁剪梯度上叠加 DP-SGD 风格高斯噪声后仍保持稳定。该工作为隐私敏感场景下的加密强化学习提供了一条不依赖自举的稳定训练路径，适合 FHE、隐私计算、强化学习与可信机器学习方向的研究者和安全工程师阅读。

该论文针对联邦学习（FL）中隐私保护的割裂现状提出了一套组合式框架。背景在于：去中心化数据日益普遍，联邦学习允许客户端在不共享本地敏感数据的前提下协同训练模型，但 FL 本身并不足以保护训练数据——梯度更新仍可能泄露成员信息与属性信息，因此实践中通常叠加差分隐私（DP）或同态加密（HE）。作者指出，这两类技术各自解决不同层面的问题：DP 通过加噪提供可证明的统计隐私保证，但会显著损失模型效用；HE 则让服务器在密文上完成计算，保护传输与聚合过程中的数据机密性，却无法约束最终发布模型对个体样本的泄露。单独依赖其一，在 FL 场景下要么效用太差，要么隐私保证不足。为此，论文提出一个隐私保护联邦学习框架：训练阶段采用基于同态加密的方案（在密文域进行模型训练/聚合，避免明文暴露），而模型审查与发布阶段采用差分隐私机制，从而把"机密性"与"发布时的隐私核算"解耦并由不同机制分别承担。为量化整体隐私水平，作者引入了基于马尔可夫链蒙特卡洛（MCMC）的贝叶斯隐私估计方法，对框架的隐私参数进行后验推断，而不是仅依赖传统的 DP 会计。实验在 FEMNIST 数据集上进行：训练结束时，所提方法测试损失为 1.09，而仅使用差分隐私训练的基线为 2.37，说明模型效用大幅提升；同时估计得到的隐私参数 ε 后验均值为 4.32，优于基线的 7.26，即效用更强且估计隐私保护更强。论文进一步表明，间歇性的模型监控（intermittent model monitoring）能够在保持加密训练轨迹完整性的同时，达到与纯 DP 方案相当甚至更强的估计隐私水平。整体贡献可概括为：将 HE 训练与 DP 发布/审查相结合的系统性框架设计、面向该框架的贝叶斯隐私估计方法，以及在效用—隐私权衡上同时改善基线的实证结果。

该论文研究将差分隐私（DP）形式的认证鲁棒性从卷积神经网络迁移到视觉 Transformer（ViT）时出现的失效问题。PixelDP 通过在网络中间层注入噪声，为范数有界的对抗扰动提供严格的鲁棒性证书，此前在 CNN 上被证明有效；但在自注意力架构主导深度学习、并广泛渗透数字与物理世界的今天，其在 Transformer 上的认证鲁棒性行为几乎未被探索。作者在 ViT 上复现该构造后发现一个在卷积设定中被掩盖的失效模式：当噪声被注入到 patch embedding 之后时，沿用 CNN 分组 ℓ1 敏感度界的拉普拉斯机制在所有噪声尺度下都退化为随机猜测水平的准确率，而同一位置的高斯机制仍然可正常训练。这一强烈对照把失效来源从“注入噪声本身”隔离到“敏感度约束的几何形态”上。作者进一步用随机矩阵分析解释该现象：继承的 Δ_{1,1} 投影所带来的信号衰减随层宽与核尺寸增大而加剧，其尺度约为 C/(√M+√N)。当把 ℓ1 型约束替换为谱范数约束后，跨数据集与跨架构的坍缩现象被消除，但随之产生新的根本障碍——修复后的模型不再满足标准拉普拉斯证书所要求的敏感度条件。作者最终通过隐私损失集中不等式，为 ℓ2 敏感度下的拉普拉斯机制推导出一个与维度无关的 (ε,δ)-隐私保证，从而弥合这一理论不匹配。该工作对认证防御设计者具有直接指导意义：它表明敏感度约束的几何选择（而非噪声分布本身）是 ViT 上认证鲁棒性成败的关键，并提供了可用的替代理论工具。适合研究认证鲁棒性、差分隐私机器学习与 Transformer 安全的研究者与工程团队阅读。

该论文研究的是「同态加密下的联邦学习训练」这一隐私保护机器学习场景。加密训练有一个长期存在的硬性约束：服务端聚合与更新的多项式次数必须保持很低（低度数/low-degree），因为同态方案中每次乘法都会消耗乘法层级并引入噪声。这一约束传统上直接排除了权重取值落在紧李群上的模型，最典型的就是变分量子电路（VQC）——其每一个可训练权重都是一个 SU(2) 旋转。若用欧拉角或离散字母表来表达这些旋转，更新项会呈现为超越函数（transcendental），历史上不得不付出极高代价：要么每个量子门需要一次客户端-服务器交互往返，要么每个权重需要超过 25000 次运算，使其工程上不可行。论文的核心论点是：这一代价并不是问题的本质，而纯粹是坐标选择产生的假象。作者指出，若改用单位四元数（spin）图来表达旋转，群乘法恰好是双线性的（次数为二，系数只取 -1、0、+1），因此加密后的旋转更新只需消耗一个乘法层级，而联邦平均在任何分级（levelled）同态方案中代价为零，从而完全消除了自举（bootstrapping）需求。作者强调这是与具体实现无关的代数性质，并在两种不同的密码学后端上得到验证，聚合误差分别仅为 0.0 弧度和 -2.0×10⁻¹² 弧度。基于这一代数简化，论文给出了一个用于混合量子-经典网络加密联邦训练的非交互式协议，并附带聚合正确性证明与符号处理证明，以及一个编译引理，证明引入参数化纠缠门只会带来常数因子开销而不改变深度类别。实验方面，五种子配对研究确认不存在可测量的效用损失（ΔMSE=+9×10⁻⁶，p=0.92）；噪声预算消融实验则否证了「加密噪声起到正则化作用」的假设。这些收敛趋势在不同数据集上可以复现，并可扩展到 20 个客户端规模。最后，作者在 156 量子比特的真实处理器上完成硬件验证，加密路径达到 0.9918 的保真度，而未加密对照组为 0.99957。适合关注隐私增强机器学习、联邦学习基础设施、量子机器学习训练管线以及同态加密工程化的研究者与安全工程师阅读。

该论文提出了一种新的密码学原语——可信模型环境（Trusted Model Environment, TME），用于支撑“私有语义计算”。所谓私有语义计算，是指参与方在不暴露各自数据的前提下，联合完成需要理解语义、上下文与数据间关系的计算任务，例如对文本或非结构化数据的联合推理。作者指出，现有多方安全计算（MPC）等传统密码学原语主要针对规则化运算设计，难以直接支持这类依赖语义理解的计算；生成式模型虽然擅长此类任务，但通常在明文上运行，而基于密码学的私有推理效率低、难以规模化，因此需要专门的新原语。TME 的核心思路是把生成式模型放入可信执行环境（TEE）中执行，并对模型输出施加泄漏控制。论文为 TME 设定了六项设计目标：(i) 有效——能正确完成语义任务；(ii) 机密——保护计算过程与敏感输入；(iii) 效用保持——在其他任务上不显著损失模型效用；(iv) 可验证——提供防篡改的计算证据；(v) 高效——相比基线模型计算只引入较低开销；(vi) 可扩展——支持多个参与方。在实现层面，有效性由生成式模型本身提供，机密性由 TEE 提供；针对敏感输入的机密性，作者将对抗训练（用于抑制模型逐字复现输入内容，即 verbatim leakage）与一个信息流控制模块（用于抑制语义层面的泄漏）相结合；在可验证性方面，论文引入了新的 attestation 机制，使参与方能够核验 TME 在其数据与查询上执行的操作，并通过批处理等优化提升效率与可扩展性。作者实现了 TME 的概念验证原型，并在三类应用上进行了评估，声称其满足上述全部要求。

同态加密（HE）已成为隐私保护机器学习（PPML）的重要技术路线，允许在密文上直接进行模型计算。在基于 HE 的 PPML 场景中，客户端将加密输入提交给服务端，服务端在无法获知明文的前提下对 LLM 等模型完成推理。论文指出这一设定中存在一个此前被忽视的关键安全漏洞：HE-LLM 推理对恶意客户端提交的对抗性提示（例如越狱提示）缺乏任何防护。根本原因在于，保护良性客户端机密性的同一套加密机制，同时也让服务端无法检查传入提示与生成回复的语义内容，因而无法检测或阻断对抗尝试，攻击即使成功也可以对服务端完全不可见——机密性与可审计性之间存在结构性冲突。 为缓解该漏洞，作者提出 HE-Guardrail 框架，核心思路是在密文域上完整评估护栏（guardrail）机制，并利用同态运算控制目标模型的回复是否返回给客户端：当护栏在密文下判定请求不安全时，服务端无需解密即可同态地阻断回复输出，从而在不破坏隐私的前提下恢复安全管控能力。作者用三种代表性护栏实例化该框架：Llama Guard（基于分类模型的输入/输出过滤）、JBShield（面向越狱表征的检测）以及 GradSafe（基于梯度的安全检测）。实验结果表明，HE-Guardrail 在密文域能高度复现对应明文护栏的判定结果，并且不同护栏选择之间呈现出明显的安全—效率—效用三方权衡：更强的护栏拦截能力更好但同态计算开销更大，更轻量的护栏开销可控但漏检风险上升。 主要贡献：一是系统性地揭示并定义了 HE-LLM 推理对恶意客户端/越狱提示的防护盲区；二是提出可在密文上运行、并能同态门控输出返回的通用护栏框架；三是通过三类护栏的实例化与评测，给出安全、效率与效用权衡的量化证据。适合隐私保护机器学习、同态加密系统、LLM 安全与护栏设计方向的研究者与工程团队，以及构建加密推理服务的架构师阅读。

随着机器学习广泛部署，监管与政策对训练数据保护的要求日益严格，差分隐私(DP)成为关键技术；但一个研究不足的问题是，如何在不接触私有训练数据的前提下，由外部验证者认证已发布的模型确实按声称的 DP 保护完成训练。现有基于零知识证明等密码学方案虽能提供强保证，却往往带来数量级的高昂开销。TEE 是更高效的替代路径，但支撑大语言模型训练与微调所需的多 GPU TEE 能力仅存在于较新平台，在旧 GPU 上缺失或效率低下。本文提出一套可验证 DP 训练的实用框架：以 CPU 侧 TEE 配合不可信 GPU。该设计直面效率与安全的根本矛盾——全部在 CPU TEE 内训练过慢，而无限制地向 GPU 卸载又可能让恶意方偏离 DP。方案将昂贵的梯度计算卸载到 GPU，同时在 CPU TEE 内通过概率性检查高效验证梯度上 DP 是否被正确强制执行。实验表明，框架能以高概率检出频繁的完全 DP 偏离；对于本文评估的面向效用的伪造梯度攻击，稀疏偏离带来的效用收益有限，且未观察到可测量的额外成员泄漏。整体上接近“免费午餐”：相比标准 GPU DP 训练仅增加适度开销，同时有效约束对声称 DP 执行的恶意偏离。

该论文研究如何在混合同态加密（HE）与多方安全计算（MPC）框架下高效执行私有深度神经网络（DNN）推理。此类方案能对用户数据提供形式化隐私保证，但代价是 HE 带来的显著延迟开销。已有工作提出了定制化 HE 加速器，并针对单个 HE 算子实现了数量级加速；然而作者发现，把商用 HE 加速器直接接入当前最先进的 HE-MPC 框架时，端到端性能提升却非常有限。其根因在于：HE-MPC 框架通常要求为每一个 HE 操作在无线网络上传输输入与输出密文，从而形成严重的网络通信瓶颈，单点算子加速无法抵消整体传输开销。为突破这一瓶颈，论文提出 OptiPrime——一个面向高效私有 DNN 推理的协议-硬件协同优化框架。其核心贡献包括三点：第一，设计了一种新的面向卷积的 HE 协议，大幅减少需要传输的输出密文数量，从而缓解网络通信瓶颈；第二，由于新协议以更少的输出密文换取了更复杂的计算，随之出现新的内存访问挑战，主要来自大量权重明文与中间密文导致的访存压力；第三，针对该挑战提出轻量级的权重明文压缩系统，将内存流量降低约 10 倍，并设计专门的数据流以最大化中间密文的片上数据复用。实验结果表明，该框架在 CPU 上相对 Cheetah 基线最高取得 5.7 倍加速，在配合加速器时最高取得 4.2 倍加速。论文整体属于体系结构与密码协议交叉方向，适合关注隐私保护机器学习、HE 加速器、安全推理系统以及协议-硬件协同设计的研究者与工程师阅读。

本文针对人类基因组数据"一旦泄露不可撤销、且可直接指向个体身份"这一特殊性，研究基因组基础模型（genomic foundation model）在第三方算力上推理时的隐私可行性问题。作者提出并回答的核心问题是:算力提供方能否在完全不接触明文查询基因组序列的前提下，执行一个已公开发布的基因组基础模型，以及正确性、显存与时间成本是否会阻碍完整加密推理。 方法上，作者首先在原模型上复现了三类基因组任务，并冻结了一套经过独立验证的数值参考（reference），作为后续加密推理正确性的比对基准。随后实现了一套"客户端辅助的近似同态加密（approximate homomorphic encryption）协议":算力提供方在密文上完成线性代数运算（矩阵乘、线性层等）；而掌握密钥的数据所有者在固定边界上负责需要精确数值行为的算子——归一化、因果 softmax 以及激活函数。这种划分把非线性、对数值精度敏感的算子留在客户端，避免在密文域内近似导致的精度塌陷。 实验给出了两类配置结果:非交互式（noninteractive）配置只能完成一个释放权重的 transformer block，当尝试按需组合多个 block 时，显存占用超出所测试加速器的可用内存上限，说明纯密文端到端推理受限于显存而非算力算术。客户端辅助配置则成功执行了全部释放的 transformer block 以及任务头（task head），对一条留出（held-out）基因组信号输入在其完整提示长度下完成推理:最终输出标签与冻结参考一致，峰值加速器显存 9,839 MiB，单卡耗时 6,683 秒。 结论是:对于完整的分类器任务，该方案在算术层面已被证明可行，即在既定威胁模型下算力方无需看到明文的、由查询派生的激活值。但作者明确指出可重复性、网络传输开销以及私有的 token 索引查找（private token-index lookup）仍未解决。论文的临床/生物医学意义在于，它为基因组模型的"计算外包但不暴露数据"提供了一条可验证的技术路径，同时也暴露出延迟与内存开销在实际部署中的明显瓶颈。

随着社会与生活方式复杂度上升，全球心理健康困扰的患病率持续增长。教育机构、职场与诊所等组织积累了海量的心理健康问卷调查数据，若能进行跨机构的协作分析，就有望训练出更具泛化能力、可有效识别心理困扰的预测模型。然而这一目标面临两大障碍：一是隐私约束，原始问卷回答通常包含高度敏感的个人信息，不允许跨机构直接共享或集中汇聚；二是调查模式异构，不同机构使用的问题措辞、评分量表与数据格式各不相同，无法直接拼接成统一数据集训练。针对这一问题，作者提出一种「模式感知的分割学习（schema-aware split learning, SL）」框架，核心思路是借助大语言模型（LLM）作为共享语义编码器，把异构的问卷模式统一到一个共同的语义空间。具体做法是：将每一条调查记录序列化为一段自然语言描述，从而把不同机构的问卷模式转换成统一格式，消除字段与量表差异带来的不一致。随后，作者使用低秩适配（LoRA）对 LLM 进行微调，使其胜任心理困扰评估任务，并将微调后的模型按层切分到客户端与服务器两侧。客户端只在本地保留原始问卷回答，并且仅运行轻量级前端模块，因此原始记录始终不会离开数据采集机构；计算资源密集的模型主干部署在服务器端执行，大幅降低了客户端的算力与内存需求。实验部分使用 LLaMA-3.2-3B-Instruct 作为基础模型，在仅有 2000 条训练样本的条件下，框架平均 ANLS 达到 0.708；在九种对比设置中有八种超过联邦学习（FL）基线；单客户端的计算开销降低了三个数量级；同时模型还能泛化到训练中未出现过的数据集。总体而言，该工作展示了一条在异构心理健康调查数据上实现准确、隐私保护且资源高效的协作学习路径，为跨机构敏感数据建模提供了新的工程化思路。

该论文聚焦临床脑电图（EEG）数据的隐私保护与可用性权衡问题。研究背景是：临床 EEG 记录及其衍生特征对医疗健康研究和基于人工智能的临床决策支持系统开发具有重要价值，但其中可能包含患者特异性的敏感信息，在数据复用、分析以及跨临床与科研环境共享时会产生重识别、关联和推断风险。作者指出，传统匿名化方法（如删除姓名、病历号等直接标识符）对高维生物医学信号往往不够充分，因为间接标识仍可导致重识别；而另一方面，过强的隐私保护会扭曲对临床有意义的信号特征，降低数据可用性。 核心方法上，论文提出针对受试者级（subject-level）差分隐私的 EEG 衍生特征表示保护框架，采用高斯（Gaussian）与拉普拉斯（Laplace）两种扰动机制。处理流程为：先进行 EEG 预处理与特征提取，得到患者级特征表示，再对其施加噪声扰动。框架覆盖三种部署场景：客户端侧匿名化、集中式服务器端匿名化，以及去中心化的本地训练（可理解为联邦式场景）。 实验与评估方面，论文针对拉普拉斯机制评估了实际实现的噪声尺度，而满足形式化全向量隐私校准所需的噪声尺度则另行推导。作者使用统计效用度量与下游机器学习任务的效用检验来评估两种扰动的影响。结论显示，差分隐私扰动能够被集成进 EEG 处理工作流，但所选择的机制、隐私参数以及敏感度校准方式会强烈影响数据效用；同时也揭示了在样本量小、类别不平衡的临床 EEG 数据集上维持下游任务效用的现实困难。 该研究适合医疗 AI、隐私增强技术（PET）、联邦学习与临床数据平台方向的研究者和工程师阅读，属于方法探索与工程可行性验证性质的案例研究。

该论文研究分布式场景下的差分隐私（DP）文本合成问题。现有 DP 文本合成流程普遍假设存在一个可信的中央策展方（trusted curator），能够直接访问用户原始文本并进行集中式处理；但在真实的多用户分布式环境中，这一信任与访问假设往往不成立。若把集中式方案生硬地迁移到分布式环境，通常需要用户反复参与并保持严格同步，带来显著的通信与协调开销，实用性较差。 为填补这一空白，作者提出一种差分隐私与密码学的协同设计（DP–cryptography co-design），目标是在不依赖可信策展方的前提下完成文本合成，同时把用户侧参与降到轻量级。方案由两个经过优化的组件构成。第一个是面向分布式的 DP 合成算法：它在嵌入空间中一次性发布 DP 摘要，具体做法是识别出现频率较高的语义区域，并发布这些区域的 DP 质心（centroid），从而支持无需训练、非迭代的离线文本合成，用户只需一次性提交信息即可。该算法还引入“语义支撑保护”（semantic support protection），确保发布的摘要尽量避开低频文本所在的语义邻域，以降低稀有用户数据被暴露的风险。第二个是定制的安全协议，在分布式用户数据之上实现上述算法，在无可信策展方的情况下仍能提供端到端的 DP 保证。 作者在四个基准数据集上进行了评估，结果显示其效用与当前最先进的集中式 DP 文本合成方法相当，说明在更弱的信任假设下也能达到可接受的可用水平。该工作适合研究差分隐私、隐私保护机器学习、联邦/分布式学习以及安全多方计算方向的研究者与隐私工程实践者阅读。

本文提出 GAP（Aggregation Perturbation），一种面向图神经网络（GNN）的差分隐私（Differential Privacy, DP）训练方法。现有 DP-GNN 方法通常在梯度、嵌入或模型参数上添加噪声，但这种方法往往会引入过高的噪声，导致模型效用显著下降，尤其当图结构复杂或节点特征高维时。GAP 的核心思想是在邻居聚合阶段直接对聚合结果注入经过校准的高斯噪声，而不是在梯度或嵌入层加噪。通过将噪声限制在聚合扰动上，GAP 能够更精确地控制隐私预算消耗，同时保持图结构信息带来的性能优势。作者进一步结合惰性聚合（lazy aggregation）和基于度数的采样机制，减少每次迭代中需要扰动的影响范围，从而在有限的隐私预算下提升训练效率。实验在多个标准图数据集（如 Cora、Citeseer、PubMed、Flickr）上进行，对比了包括随机扰动、梯度扰动、嵌入扰动在内的多种 DP-GNN 基线。结果表明，在相同的隐私预算（ε）下，GAP 在节点分类准确率上显著优于现有方法，尤其在隐私预算较小时（如 ε=1）优势明显。此外，GAP 无需对图结构做近似假设，适用于带权图和异构图等通用场景。本文从理论层面给出了 GAP 的隐私上界分析，验证了其在边隐私（edge-level DP）和节点隐私（node-level DP）下的可行性。总的来说，GAP 提供了一种简单高效且理论上可靠的差分隐私图学习范式，适合希望在不暴露敏感图关系的前提下训练 GNN 的研究者或工程师阅读。

该论文研究多客户端决策树评估（Multi-Client Decision Trees Evaluation）问题，提出了一种名为“Let's Stride Blindfolded in a Forest”的新协议。核心目标是允许多个数据持有方在各自私有数据上联合评估一棵决策树，同时不泄露任何一方的输入数据或中间结果。传统方法通常依赖同态加密或安全多方计算，但存在计算开销大、通信复杂度高的问题。论文通过引入亚线性（sublinear）的通信与计算开销，使得评估复杂度与决策树深度而非树规模相关，显著提升了效率。方法上可能结合了不经意传输（OT）、函数秘密共享（FSS）或秘密共享等密码学原语，设计了一种可并行的协议，并支持批量评估。实验部分验证了协议在多个数据集上的性能优势，与现有方案相比，在在线/离线阶段、通信量以及运行时间上均有改进。该工作适合密码学、安全计算和隐私保护机器学习领域的研究者阅读，尤其关注多方数据协作场景下的高效决策树推理。

本文提出 Tetrad，一个面向四方的安全多方计算（MPC）框架，专门用于隐私保护的机器学习训练与推理。与常见的两方或三方设置不同，Tetrad 考虑四方参与者，并容忍最多一个主动腐败方（active corruption）。它基于环（ring）上的计算，提供公平性（fairness）和鲁棒性（robustness）两种安全级别。Tetrad 的公平乘法协议仅需 5 个环元素，相比现有最优方案 Trident 有显著改进。其关键特性是鲁棒性在公平协议的基础上‘免费’获得，无需额外开销。此外，Tetrad 还包含概率截断（无额外开销）、多输入乘法协议、以及算术域与布尔域之间的转换协议，并配套专门设计的混淆电路（garbled circuit）实现。作者在深度神经网络（如 LeNet 和 VGG16）上对训练和推理进行了完整基准测试，结果显示 Tetrad 在训练上比 Trident 快最多 4 倍，推理上快最多 5 倍，且部署成本低至 Trident 的 1/6。该工作为四方向下的隐私保护机器学习提供了高效且强安全的解决方案，适合对 MPC 协议设计、安全机器学习系统实现感兴趣的研究者和工程师阅读。

本文提出了一种基于安全多方计算（MPC）的隐私保护框架，用于从高维单细胞数据中检测稀有疾病相关细胞亚群。单细胞测量技术（如流式细胞术、质谱流式）能够揭示免疫细胞异质性，但识别罕见细胞亚群（如频率低至0.01%的疾病相关细胞）需要足够大且多样化的患者队列，这往往超出单一机构的样本规模。然而，原始单细胞数据属于高度敏感的医疗信息，受GDPR等隐私法规限制，无法直接在机构间共享。本文以CellCnn（一种用于表型相关细胞群识别的卷积神经网络）为基线，利用秘密共享技术实现了完全在密文状态下的模型训练与推理，确保参与方和计算服务器都无法接触原始患者数据或中间计算结果。作者在巨细胞病毒（CMV）感染和急性髓系白血病（AML）两个公共单细胞数据集上进行了评估，结果表明所提出的MPC方案在保持与明文版本接近的准确率的同时，显著优于已有的隐私保护基线。与先前移除ReLU激活函数和偏置项以简化计算的做法不同，本文方法保留了CellCnn的完整关键结构，从而在不泄露患者数据的前提下支持准确的分析。该研究为跨机构协作的罕见病细胞亚群发现提供了可行的隐私保护路径，适用于生物医学研究中的敏感数据共享场景。

论文提出一种针对直方流（Rectified Flow）变换器的几何感知差分隐私训练方法StraightDP，旨在解决文本条件生成模型在强隐私约束下出现的效用悬崖（utility cliff）问题。作者重新审视了直方流的几何特性：在噪声到数据的直线插值过程中，贝叶斯最优速度（Bayes-optimal velocity）在噪声端点主要由少数类条件矩（class-conditional moments）控制，而越接近数据端点，样本特定结构越重要。StraightDP利用这一异质性，先将一小部分隐私预算用于一次性释放白化的类条件矩，这些矩可被蒸馏进模型权重或在采样时注入；其余预算则通过预先声明的DP-SGD（差分隐私随机梯度下降）用于数据端训练，以捕捉超出矩刻画的样本细节。在MNIST数据集上，当ε=1时，仅释放矩即可达到0.76的下游任务准确率，并生成类似原型的样本（FID为237），而统一DP-SGD仅达到0.21；基于矩释放的完整管道在公共潜在空间中达到0.81的准确率和FID 56。此外，作者发现对多模态骨干网络的每token流范数进行约束，不会改变预训练损失，但能显著提升极端噪声像素空间（pixel-space）下的下游准确率，且隐私强度越强，其准确率增益越单调增加。最后，释放的矩还可迁移至冻结的SD3-medium模型，在采样时注入比DP-LoRA训练更节省预算且效果更好。该研究提供了DP训练生成模型的新视角，通过几何感知的预算分配显著改善隐私-效用权衡，适合研究私有生成模型、差分隐私算法和直方流架构的学者与工程师阅读。

该论文提出SHARK系统，旨在解决主动安全（active security）下的两方机器学习推理问题。传统方法（如Escudero et al., Crypto 2020）在预处理模型下需要大量关联随机性、多次通信轮次和高计算开销，导致性能不佳。SHARK基于函数秘密共享（FSS）技术，通过创新性地允许在协议中混合布尔值和算术值（此前工作未实现），并引入“交互式FSS”概念（FSS的推广），显著降低了所需关联随机性、通信轮次、通信量和计算开销。实验表明，SHARK在主动安全推理任务上比现有最优方案快达2300倍。该研究为隐私计算中的安全推理提供了更高效的解决方案，特别适用于需要在预处理模型下实现主动安全的应用场景。

本文提出 Euston，一种高效且用户友好的安全 Transformer 推理框架，支持非交互式操作，无需客户端与服务器之间进行多轮通信。Euston 结合了多方安全计算（MPC）与同态加密（HE）技术，针对 Transformer 模型中的自注意力机制和前馈网络进行了优化，显著降低了推理时的计算和通信开销。实验表明，在保证机密性的前提下，Euston 在推理延迟和资源消耗方面均优于现有方案，同时保持了与明文推理相当的高精度。该工作为在不可信服务器上安全部署大规模语言模型提供了实用解决方案。

该论文研究了TenSEAL同态加密库在加密RNA测序数据预测任务中的应用。同态加密允许在不解密的情况下对加密数据进行计算，从而保护数据隐私。论文使用TenSEAL库实现了同态加密方案，并在RNA测序数据集上训练了机器学习模型，评估了加密数据下的预测性能。实验结果表明，同态加密能够在不显著降低模型准确率的前提下，有效保护敏感基因表达数据的隐私。研究为生物医学数据的安全分析提供了可行的技术路径，并探讨了计算开销与隐私保护之间的权衡。

本文研究同态加密（HE）环境下，使用多项式逼近非线性激活函数时，逼近区间选择与近似误差之间的权衡问题。在HE中，运算仅限于加法和乘法，因此非多项式激活函数必须用多项式近似。Minimax近似（如Remez算法）能最小化给定区间内的最大逼近误差，但区间宽度是关键超参数：宽区间提高对大输入值的鲁棒性，但固定多项式阶数下会增加最大逼近误差。论文将此权衡形式化为一个分布感知的区间优化问题，其中根据预激活值的分布选择逼近区间以最小化均方误差（MSE）。为有效控制区间外输入，作者结合了域扩展函数（DEF）及其HE可实现的对应项——域扩展多项式（DEP），它们模拟区间外的裁剪操作，抑制不受控的多项式外推。首先推导了一个解析易处理的DEF代理目标，该目标捕捉了区间内minimax逼近误差与区间外裁剪误差之间的权衡。然后通过实现误差分解及其上界，将此理想目标与HE可实现的DEP构造联系起来。实验部分通过数值例子验证了所提方法的有效性，表明该方法能根据数据分布自适应选择区间，在保持低逼近误差的同时提高对大输入的鲁棒性。该工作为HE推理中激活函数的精确高效逼近提供了新思路。

该论文针对去中心化学习（Decentralized Learning）中的隐私保护问题展开研究。在去中心化学习中，多个智能体（Agent）在没有中心服务器的情况下协作训练全局模型，通过交换梯度信息来更新模型。然而，这种梯度交换会带来严重的隐私泄露风险，且实际应用中各智能体的训练数据通常是非独立同分布（Non-IID）的，这进一步增加了隐私保护的难度。为了解决这些问题，作者提出了一种名为DPDL的隐私保护去中心化学习算法。核心思想是结合差分隐私（Differential Privacy, DP）与相似度校准技术。具体来说，在每个训练轮次中，每个智能体在将交叉梯度（即其邻居的本地模型在自身私有数据上的导数）分享给邻居之前，先使用高斯噪声机制对其进行扰动，然后利用余弦相似度校准收到的来自邻居的扰动交叉梯度，最后将校准后的交叉梯度以动量方式聚合，用于更新本地模型。理论分析部分，作者不仅揭示了达到特定隐私保护级别所需的最小噪声水平，还证明了该算法在Non-IID数据下依然能实现线性加速（Linear Speedup）。实验方面，在真实数据集上验证了算法在防御隐私攻击和训练准确模型方面的有效性。该工作主要贡献于去中心化学习、差分隐私、Non-IID数据场景下的隐私保护算法设计。

本文针对协作式神经网络训练中日益突出的数据隐私挑战展开研究。传统方法如联邦学习（FL）完全忽略模型隐私，而同态加密（HE）只能支持单一数据提供方，扩展性受限。现有的安全多方计算（MPC）框架虽能提供合理吞吐并同时保护数据与模型隐私，却严重依赖计算服务器之间的非串通假设（non-colluding assumption），放松该假设仍是开放问题。为此，论文提出Pencil，这是首个无需非串通假设、同时实现数据隐私、模型隐私以及支持多个数据提供方扩展的协作学习私有训练框架。其核心设计理念是基于高效的两方协议构建多方协作训练协议，并确保在模型训练过程中切换到不同数据提供方不会引入额外开销。作者引入了几种新颖的密码学协议来实现该设计，并进行了严格的安全与隐私分析。全面评估显示：(i) 明文训练模型与使用Pencil私有训练的模型测试准确率几乎相同；(ii) 训练开销大幅降低：吞吐量较现有技术提升10~260倍，通信量减少两个数量级；(iii) Pencil能抵御现有及自适应（白盒）攻击。该工作对隐私保护的机器学习领域具有重要推进意义。

本文针对基因组数据的高度敏感性和访问限制，提出了一种跨机构安全合成基因组数据生成方法。由于基因组数据的隐私性，数据共享受到严格监管，阻碍了AI在基因组学中的发展。合成数据生成通过训练生成模型并采样保留相关统计信息的人工数据，可以在不泄露个体敏感信息的同时促进数据共享。但在许多应用中（如罕见病研究），单个机构的数据量不足以训练有效的生成模型，需要跨机构协作。为此，本文设计了一种结合安全多方计算（MPC）和差分隐私（DP）的方案，使得多个数据持有者能够在不暴露原始数据的情况下联合训练合成数据生成器。MPC确保输入隐私，即任何一方都不会以未加密形式泄露其数据；DP则提供输出隐私，通过限制从发布的合成数据中泄露信息来保护个体隐私。作者使用多个真实RNA-seq数据集在联邦环境中进行了实验，结果表明该方法能够在数据分布在不同机构的情况下生成高质量、高实用性的合成数据集，同时有效保护隐私。该工作为隐私保护的跨机构基因组数据共享提供了可行的技术路径。

该论文聚焦于差分隐私（DP）对比学习中的隐私-效用权衡问题。现有的DP对比学习方法因标准对比目标中样本间固有的强依赖性而遭受严重的效用退化：每个样本的梯度依赖于批次中的所有其他样本，这放大了DP噪声的影响。作者指出，有效的DP对比学习需要显式地减少这种内在的样本间依赖。为此，他们提出了DP-GCL，一个原则性的DP对比学习框架，通过限制组级贡献来结构化地限制梯度依赖。DP-GCL将每个批次划分为小的、不相交的组，并将可用的负样本限制在组内，从而局部化梯度影响并降低敏感度。为了弥补由此造成的负样本多样性损失，进一步引入了组内增强，在不增加隐私成本的情况下生成额外的负视图。在八个数据集上的大量实验表明，在实际隐私预算下，DP-GCL在单模态和多模态对比学习中均持续提升了现有技术水平：与现有DP对比方法相比，图像分类准确率提升5.6%，图像-文本检索准确率提升20.1%。该工作为部署或共享在敏感用户数据上训练的嵌入模型提供了更实用的隐私保护方案。