🤖 machine learning

PrivaDE: Privacy-preserving Data Evaluation for Blockchain-based Data Marketplaces

Das Paper stellt PrivaDE vor, ein privatsphäreschonendes Protokoll für Blockchain-basierte Datenmärkte, das es Modell- und Datenbesitzern ermöglicht, die Nützlichkeit von Datensätzen zu bewerten, ohne ihre proprietären Daten oder Modelle preiszugeben.

Ursprüngliche Autoren: Wan Ki Wong, Sahel Torkamani, Michele Ciampi, Rik Sarkar

Veröffentlicht 2026-04-21

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Wan Ki Wong, Sahel Torkamani, Michele Ciampi, Rik Sarkar

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie sind ein Koch (der Modell-Eigentümer), der einen fantastischen neuen Suppen-Rezept entwickelt hat. Sie wissen, dass Ihre Suppe gut ist, aber Sie brauchen noch ein paar spezielle Zutaten, um sie perfekt zu machen.

Ein Bauer (der Daten-Eigentümer) kommt vorbei und sagt: „Ich habe diese wunderbaren, frischen Kräuter!"

Das Problem?

Der Koch will den Bauer nicht einfach alles über sein Geheimrezept verraten, nur damit er die Kräuter testet. Was, wenn der Bauer das Rezept stiehlt?
Der Bauer will die Kräuter nicht einfach verschenken, ohne zu wissen, ob sie wirklich gut in die Suppe passen. Was, wenn sie nur unnötig sind?

Beide wollen sich nicht blind vertrauen. Hier kommt PrivaDE ins Spiel.

Was ist PrivaDE?

PrivaDE ist wie ein magischer, unsichtbarer Testkessel. Es ist ein technisches Verfahren, das es dem Koch und dem Bauer erlaubt, gemeinsam zu testen, wie gut die Kräuter in die Suppe passen, ohne dass jemand sein Geheimnis preisgeben muss.

Es funktioniert in drei einfachen Schritten, die wir uns mit einer Geschichte vorstellen können:

1. Die Auswahl der „Stichproben" (Der repräsentative Satz)

Der Bauer hat vielleicht 10.000 Kräuterblätter. Der Koch kann nicht alle 10.000 testen – das würde zu lange dauern.

Die Lösung: Der Bauer wählt eine kleine, aber sehr repräsentative Auswahl von nur 50 Blättern aus.
Der Trick: Damit der Koch nicht denkt, der Bauer habe nur die „schönsten" Blätter ausgewählt, gibt es einen Zufalls-Check. Der Koch fragt: „Zeig mir mal zufällig 5 Blätter aus deiner großen Kiste und beweise mir, dass diese 50, die du mir gegeben hast, wirklich die ganze Kiste gut repräsentieren." Der Bauer muss dies mathematisch beweisen, ohne die anderen 9.950 Blätter zu zeigen.

2. Das „Teilen" des Kochs (Split Inference)

Jetzt kommt der eigentliche Test. Der Koch hat ein riesiges, komplexes Geheimrezept (das KI-Modell).

Das Problem: Wenn der Koch das ganze Rezept auf den Kräutern anwendet, könnte der Bauer Teile des Rezepts ableiten.
Die Lösung: Der Koch schneidet sein Rezept in drei Teile:
- Teil A (Der Anfang): Der Koch und der Bauer arbeiten zusammen in einem geheimsicheren Raum (einer Art „Black Box"). Der Bauer gibt die Kräuter hinein, der Koch gibt den ersten Schritt des Rezepts hinein. Am Ende kommt ein verschlüsselter Zwischenergebnis heraus. Niemand sieht, was genau passiert ist.
- Teil B (Die Mitte): Der Bauer nimmt dieses Zwischenergebnis und wendet den mittleren Teil des Rezepts an (den der Koch ihm vorher offen gezeigt hat, aber der für sich allein nichts über das Endergebnis verrät).
- Teil C (Das Ende): Der Bauer schickt das Ergebnis zurück zum Koch. Der Koch wendet den letzten Teil des Rezepts an und sieht das Endergebnis: „Wie schmeckt die Suppe mit diesen Kräutern?"

3. Der Punktestand (Scoring)

Am Ende haben beide eine Zahl: Ein Punktestand.

Dieser Score sagt: „Diese Kräuter verbessern die Suppe um 15 %!"
Wichtig: Der Koch sieht nicht die genauen Kräuter (die Daten), und der Bauer sieht nicht das genaue Rezept (die Gewichte). Sie sehen nur das Ergebnis des Tests.

Warum ist das so wichtig? (Die Blockchain-Verbindung)

Stellen Sie sich vor, dieser ganze Test findet auf einem öffentlichen, fälschungssicheren Kassenbuch (der Blockchain) statt.

Vertrauen: Wenn der Bauer behauptet, er habe die Kräuter geliefert, steht das im Kassenbuch.
Fairness: Wenn einer von beiden versucht, den Test abzubrechen, nachdem er das Ergebnis gesehen hat, verliert er eine hinterlegte Kaution (wie bei einer Wette). Das verhindert Betrug.
Zahlung: Sobald der Punktestand gut genug ist, wird die Zahlung für die Kräuter automatisch ausgelöst. Kein menschlicher Vermittler nötig.

Die „Zauberkünste" dahinter

Damit das alles schnell genug geht (in Minuten statt Tagen), nutzen die Erfinder drei Tricks:

Destillation: Der Koch nutzt nicht das riesige, komplizierte Original-Rezept für den Test, sondern eine vereinfachte, schnellere Version, die fast genauso gut schmeckt.
Aufteilung: Wie oben beschrieben, wird das Rezept in Teile zerlegt, damit niemand alles sieht.
Stichproben-Prüfung: Statt jeden einzelnen Schritt des Rezepts zu überprüfen (was extrem langsam wäre), wird nur ein zufälliger Teil überprüft. Wenn dieser Teil stimmt, ist es extrem unwahrscheinlich, dass der Rest falsch ist. Das spart enorm viel Zeit.

Fazit

PrivaDE ist wie ein sicherer, automatisierter Marktplatz für Daten. Es erlaubt Unternehmen und Privatleuten, Daten zu kaufen und zu verkaufen, um bessere KI-Modelle zu bauen, ohne dass dabei Geschäftsgeheimnisse gestohlen oder private Daten offengelegt werden. Es schafft Vertrauen in einer Welt, in der niemand einander vertraut, indem es Mathematik und Kryptografie als den ehrlichen Schiedsrichter einsetzt.

1. Problemstellung

In dezentralen Datenmärkten für maschinelles Lernen (ML) ist es entscheidend, den Wert von Datensätzen vor dem Kauf zu bewerten, um hochwertige Modelle zu trainieren. Dies stellt jedoch ein fundamentales Dilemma dar:

Datengeheimnis: Dateninhaber (Data Owners, DO) sind nicht bereit, ihre Rohdaten (Features und Labels) preiszugeben, bevor sie eine Zahlung erhalten.
Modellsicherheit: Modellentwickler (Model Owners, MO) wollen ihre proprietären Modellparameter (Gewichte) nicht offenlegen, um geistiges Eigentum zu schützen.
Vertrauenslosigkeit: In Blockchain-basierten Umgebungen gibt es keine vertrauenswürdige dritte Partei (TTP), die die Bewertung durchführt.
Sicherheitsanforderung: Herkömmliche Ansätze basieren oft auf dem „semi-honest"-Modell (alle Parteien folgen dem Protokoll, aber neugierig) oder benötigen TTPs. Für reale Märkte ist jedoch Sicherheit gegen böswillige Akteure (malicious security) erforderlich, die das Protokoll beliebig manipulieren könnten.

Das Ziel ist es, einen Nutzungs-Score (Utility Score) $\phi(M, D)$ für einen Kandidatendatensatz $D$ bezüglich eines Modells $M$ zu berechnen, ohne die Privatsphäre der Eingaben zu verletzen und unter der Annahme böswilliger Gegner.

2. Methodik: Das PrivaDE-Protokoll

PrivaDE ist ein Zwei-Parteien-Protokoll (2PC), das auf Multi-Party Computation (MPC), Zero-Knowledge Proofs (ZKPs) und Blockchain-Integration basiert. Es besteht aus zwei Hauptkomponenten: einem sicheren Inferenz-Verfahren und einem datenagnostischen Scoring-Algorithmus.

A. Optimierungen für die praktische Machbarkeit

Um den hohen Overhead von MPC unter böswilligen Bedingungen zu reduzieren, führt PrivaDE drei wesentliche Optimierungen ein:

Modell-Distillation (Model Distillation):
Der Modellinhaber trainiert lokal einen kleineren „Schüler"-Modell (Student), das das große „Lehrer"-Modell approximiert. Dies reduziert die Parameteranzahl drastisch (bis zu 90% Reduktion im Experiment), was die Kosten für die sichere Inferenz senkt, ohne die Bewertungsgenauigkeit signifikant zu beeinträchtigen.
Split-Model-Inferenz (Drei-Block-Architektur):
Das Modell $M$ wird in drei Blöcke zerlegt: $M = C \circ B \circ A$ .
- Block A: Die ersten Schichten werden in einem sicheren MPC-Protokoll (SPDZ2k) berechnet. Der Dateninhaber liefert die Eingaben, der Modellinhaber die Gewichte. Nur die Aktivierungen werden weitergegeben.
- Block B: Mittlere Schichten werden lokal vom Dateninhaber ausgeführt (nach Erhalt der Gewichte von A).
- Block C: Die restlichen Schichten werden lokal vom Modellinhaber ausgeführt.
- Sicherheitsmechanismus: Um Manipulationen zu verhindern, werden Zero-Knowledge Proofs (ZKPs) für die Berechnungen in Block B und C verwendet. Ein „Cut-and-Choose"-Ansatz (CnCZK) auditieren nur eine zufällige Teilmenge der Schichten, um die Effizienz zu steigern, während die Entdeckungswahrscheinlichkeit von Betrug hoch bleibt.
Repräsentative Teilmengenauswahl (Representative Set Selection):
Statt den gesamten Datensatz $D_B$ zu bewerten, wählt der Dateninhaber eine kleine, repräsentative Teilmenge $D_R$ aus.
- Um sicherzustellen, dass $D_R$ den gesamten Datensatz fair abbildet und nicht manipuliert wurde, wird ein Challenge-Protocol (CP) verwendet. Der Modellinhaber fordert zufällige Stichproben an, und der Dateninhaber muss in Zero-Knowledge beweisen, dass diese Punkte durch $D_R$ gut repräsentiert werden (basierend auf einem Distanzschwellenwert).

B. Der Scoring-Algorithmus

Der Nutzen des Datensatzes wird durch eine Kombination aus drei Kriterien berechnet, die auf Active-Learning-Heuristiken basieren:

Verlust (Loss): Wie schlecht sagt das Modell die Labels der Daten vorher? (Hoher Verlust = hoher Trainingswert).
Unsicherheit (Uncertainty): Wie unsicher ist das Modell bei den Vorhersagen (z. B. Entropie)?
Vielfalt (Diversity): Wie unterschiedlich sind die Datenpunkte voneinander?

Der finale Score $\phi$ ist eine gewichtete Summe dieser Metriken. Da dies nur auf der repräsentativen Teilmenge $D_R$ berechnet wird, bleibt der Overhead gering.

C. Blockchain-Integration

PrivaDE ist für die Integration in Smart Contracts (EVM-kompatibel) konzipiert:

Commitments: Daten und Modellparameter werden als kryptografische Commitments auf der Blockchain hinterlegt.
Fairness & Escrow: Smart Contracts hinterlegen Sicherheiten (Escrow). Wenn eine Partei das Protokoll abbricht oder betrügt, wird die Sicherheit eingezogen (Slashing) und der anderen Partei ausgezahlt.
Atomare Transaktionen: Der Kauf der Daten erfolgt erst, wenn der Score einen Schwellenwert erreicht und die ZKPs verifiziert sind.

3. Schlüsselbeiträge

Erstes böswillig sicheres Datenbewertungs-Protokoll: PrivaDE ist, soweit bekannt, das erste System, das Datenbewertung im böswilligen Setting (malicious security) ohne TTP durchführt.
Modellagnostische Scoring-Funktion: Ein neuer Algorithmus, der Diversität, Unsicherheit und Verlust kombiniert und robust gegenüber verschiedenen Modellarchitekturen ist.
Effizienz-Optimierungen: Die Kombination aus Distillation, Split-Inferenz und Cut-and-Choose-ZKPs macht das Protokoll für Modelle mit Millionen von Parametern praktikabel.
Formale Sicherheit: Der Nachweis der Sicherheit im simulationsbasierten Paradigma (Simulation-based paradigm) unter der Annahme eines böswilligen Gegners.

4. Ergebnisse und Evaluation

Die Autoren haben PrivaDE auf realen Datensätzen (MNIST, CIFAR-10, CIFAR-100) und verschiedenen Modellarchitekturen (LeNet, ResNet-20, VGG-8) evaluiert.

Laufzeit: Das Protokoll ist praktisch einsetzbar.
- Für MNIST (LeNet) liegt die Online-Laufzeit bei nur 45 Sekunden (Gesamtzeit inkl. Offline-Vorbereitung ca. 13 Minuten).
- Auch für größere Modelle (VGG-8 auf CIFAR-100) bleibt die Online-Laufzeit mit ca. 15 Minuten akzeptabel.
Skalierbarkeit: Die Laufzeit skaliert linear mit der Größe der repräsentativen Teilmenge ( $k$ ) und der Anzahl der geprüften Schichten, ist aber nahezu unabhängig von der Gesamtgröße des ursprünglichen Datensatzes ( $n$ ), da nur die Teilmenge bewertet wird.
Bewertungsgenauigkeit: Der Scoring-Algorithmus identifiziert hochwertige Datensätze effektiv. Im Vergleich zu reinen Entropie-Sampling- oder Core-Set-Methoden führt PrivaDE zu einer schnelleren Verbesserung der Modellgenauigkeit beim Training.
Korrelation: Die Scores, die mit dem distillierten (kleineren) Modell berechnet werden, korrelieren stark (Spearman-Korrelation > 0.84) mit denen des ursprünglichen großen Modells.
Sicherheit: Die Analyse der Leakage (z. B. Rekonstruktion von Eingabebildern aus Aktivierungen) zeigt, dass bei einem SSIM (Structural Similarity Index) von < 0,3 die Rekonstruktionen für das menschliche Auge nicht erkennbar sind, was die Privatsphäre schützt.

5. Bedeutung und Fazit

PrivaDE legt den Grundstein für faire, automatisierte und vertrauenswürdige Datenmärkte in dezentralen ML-Ökosystemen. Es löst das Problem des „Chicken-and-Egg"-Dilemmas im Datenhandel, bei dem weder Daten noch Modelle preisgegeben werden dürfen, bevor eine Transaktion stattfindet.

Durch die Kombination von kryptografischer Sicherheit (MPC, ZKPs) und maschinellen Lernoptimierungen (Distillation, Active Learning) ermöglicht PrivaDE:

Datensouveränität: Dateninhaber können den Wert ihrer Daten nachweisen, ohne sie preiszugeben.
Modellschutz: KI-Entwickler können Daten bewerten, ohne ihre Modelle zu offenbaren.
Dezentralisierung: Die Abhängigkeit von zentralen, vertrauenswürdigen Instanzen wird eliminiert, was durch Blockchain-Smart Contracts für Fairness und Abrechnung sorgt.

Die Arbeit zeigt, dass hochsichere, privacy-preserving Datenbewertung in der Praxis nicht nur theoretisch möglich, sondern auch mit akzeptablem Rechenaufwand realisierbar ist.