💻 computer science

Breaking Euston: Recovering Private Inputs from Secure Inference by Exploiting Subspace Leakage

Diese Arbeit zeigt, dass das in Euston vorgestellte Protokoll zur effizienten Matrixübertragung durch Subspace-Leakage eine fundamentale Privatsphärenlücke aufweist, die es dem Modellbesitzer ermöglicht, private Eingabedaten wie Bilder und Texte leicht wiederherzustellen.

Ursprüngliche Autoren: Jiaqi Zhao, Fengwei Wang

Veröffentlicht 2026-04-21

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Jiaqi Zhao, Fengwei Wang

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie möchten einem sehr klugen, aber misstrauischen Freund (dem „Modell-Eigentümer") ein geheimes Foto oder einen vertraulichen Text zeigen, damit er es analysiert und Ihnen eine Antwort gibt. Sie wollen aber nicht, dass er das Original sieht.

Das ist das Problem, das Euston lösen sollte: Ein neues, hochmodernes System für „sichere KI-Anfragen".

Hier ist die Geschichte, wie dieses System funktioniert, wo es einen fatalen Fehler hatte und wie Forscher (Zhao und Wang) diesen Fehler ausgenutzt haben – alles in einfachen Worten.

1. Der ursprüngliche Plan: Der „Geheime Umschlag"

Stellen Sie sich vor, Sie haben eine riesige Landkarte (Ihre Daten), die Sie nicht zeigen wollen.

Das Problem: Die Karte ist zu groß, um sie komplett zu verschlüsseln und zu senden. Das wäre wie ein riesiger, schwerer Safe, den niemand tragen kann.
Die Euston-Lösung: Die Erfinder von Euston dachten sich einen cleveren Trick aus. Sie sagten: „Wir verschlüsseln nicht die ganze Karte, sondern nur die wichtigsten Zahlen, die die Form der Karte beschreiben."
Der Trick: Sie nehmen die Karte, zerlegen sie in drei Teile (wie bei einem Puzzle):
1. Ein Teil, der die Richtung beschreibt (die Achsen).
2. Ein Teil, der die Stärke beschreibt (die Zahlenwerte).
3. Ein Teil, der die andere Richtung beschreibt.

Sie verschlüsseln nur den Teil mit den Stärken (die Zahlen) und senden diesen kleinen, sicheren Umschlag. Die beiden Teile mit den Richtungen (die Achsen) senden sie im Klartext, weil sie denken: „Ach, das sind ja nur Richtungen, da steht nichts Geheimnisvolles drauf."

2. Der Fehler: Die unsichtbare Schablone

Das war der Fehler. Die Forscher zeigten, dass diese „Richtungen" (die Achsen) wie eine unsichtbare Schablone oder ein Gitter sind.

Stellen Sie sich vor, Sie malen ein Bild auf ein Blatt Papier. Dann legen Sie ein Gitter (die Schablone) darüber, das genau die Struktur Ihres Bildes nachzeichnet. Wenn Sie das Gitter jemandem zeigen, kann dieser Mensch das Gitter nehmen und – auch ohne das Bild zu sehen – genau erraten, wo die Linien Ihres Bildes verlaufen müssen.

In Euston gab das System dem Modell-Eigentümer genau dieses Gitter (die „Unterraum-Leckage"). Er wusste zwar nicht, wie stark die Farben waren (das war verschlüsselt), aber er wusste genau, wo die Farben sein mussten.

3. Der Angriff: Das Bild wiederherstellen

Die Forscher (Zhao und Wang) nutzten dieses Wissen aus. Sie sagten im Grunde:

„Gib mir das Gitter (die verschickten Richtungen)."
„Gib mir das verdeckte Bild (die verschlüsselten Zahlen, die wir entschlüsseln können, weil wir den Schlüssel haben)."
„Und gib mir das Bild, das der Benutzer gesendet hat, nachdem er es mit einem Rauschen überdeckt hat."

Mit diesen drei Teilen rekonstruierten sie das Originalbild fast perfekt. Es war, als hätten sie ein verpixeltes Foto genommen, die Pixelstruktur wiederhergestellt und plötzlich war das Gesicht wieder klar zu erkennen.

4. Das Ergebnis: Ein leeres Versprechen

Die Forscher testeten das an echten Daten:

Bei Texten: Sie konnten geheime Nachrichten fast fehlerfrei wiederherstellen.
Bei Bildern: Sie konnten Gesichter und Objekte auf Fotos wiederherstellen, die eigentlich verschleiert waren.

Es spielte keine Rolle, wie stark das „Rauschen" (die Verschlüsselung) war. Da das Gitter (die Richtungen) verraten wurde, war das Geheimnis gebrochen.

Die Moral der Geschichte

Die Botschaft dieser Arbeit ist einfach: Man kann nicht nur die Hälfte eines Geheimnisses schützen und hoffen, dass das Ganze sicher ist.

Euston wollte Kommunikation sparen, indem es nur einen kleinen Teil verschlüsselte. Aber wie bei einem Schloss, bei dem man nur den Schlüsselkasten verschließt, aber den Schlüssel selbst auf den Tisch legt, war der Schutz illusorisch. Wenn man KI-Daten sicher übertragen will, darf man keine Informationen über die Struktur der Daten preisgeben, selbst wenn die Daten selbst verschlüsselt sind.

Kurz gesagt: Das System Euston war wie ein Tresor, bei dem man die Tür verschlossen hatte, aber den Bauplan des Tresors offen im Fenster liegen ließ. Jeder konnte damit den Inhalt erraten.

Titel: Breaking Euston: Recovery Private Inputs aus Secure Inference durch Ausnutzung von Subspace-Leakage

1. Problemstellung

Das Paper adressiert ein kritisches Sicherheitsproblem im Bereich des Privacy-Preserving Machine Learning (PPML), speziell bei der sicheren Inferenz (Secure Inference) für Transformer-Modelle.

Kontext: Sichere Inferenz ermöglicht es Nutzern, sensible Daten bei einem nicht vertrauenswürdigen Modellbetreiber zu verarbeiten, ohne die Rohdaten preiszugeben (unter Verwendung von Fully Homomorphic Encryption (FHE) oder Secure Multi-Party Computation (MPC)).
Angriffsfläche: Gao et al. stellten auf der IEEE S&P 2026 das Framework Euston vor. Dieses Framework zielt darauf ab, die Kommunikationsbandbreite für die Übertragung von Eingabematrizen durch ein effizientes Protokoll auf Basis der Singulärwertzerlegung (SVD) um den Faktor 2,8 zu reduzieren.
Das Sicherheitsleck: Im Euston-Protokoll maskiert der Nutzer die Eingabematrix $A$ mit einer zufälligen Matrix $R$ . Die Matrix $R$ wird per SVD in zwei orthogonale Matrizen ( $U, H$ ) und einen Singulärwertvektor ( $d$ ) zerlegt. Nur $d$ wird verschlüsselt übertragen, während $U$ und $H$ im Klartext gesendet werden.
Hypothese: Die Autoren zeigen, dass die Übertragung der orthogonalen Matrizen $U$ und $H$ eine Subspace-Leakage (Leckage des Unterraums) der Maskierungsmatrix $R$ ermöglicht, die es dem Modellbetreiber erlaubt, die ursprünglichen privaten Eingabedaten wiederherzustellen.

2. Methodik und Angriffsvektor

Die Autoren entwickeln einen Daten-Wiederherstellungsangriff (Data Recovery Attack), der die Schwachstelle im Matrix-Übertragungsprotokoll von Euston ausnutzt.

Angriffsprinzip:
1. Der Angreifer (Modellbetreiber) erhält die maskierte Eingabe $X = A - R$ sowie die orthogonalen Matrizen $U$ und $H$ und den verschlüsselten Singulärwertvektor $\llbracket d \rrbracket$ .
2. Der Angreifer berechnet eine Schätzung der diagonalen Matrix $D$ (die Singulärwerte von $R$ ), indem er die orthogonale Projektion der maskierten Eingabe berechnet: $\hat{D} = U^T X H^T$ .
3. Da $X = A - UDH$, führt die Multiplikation mit $U^T$ und $H^T$ dazu, dass der Term $U^T A H^T$ als Rauschen erscheint, während der Term $D$ isoliert wird.
4. Durch Extraktion der Diagonalelemente von $\hat{D}$ erhält man eine Näherung $\tilde{D}$ für $D$ .
5. Die ursprüngliche Maskierungsmatrix wird rekonstruiert als $\tilde{R} = -U \tilde{D} H$ .
6. Die ursprüngliche Eingabe wird schließlich rekonstruiert durch $\tilde{A} = X + \tilde{R}$ .
Theoretische Analyse:
Die Autoren beweisen in Theorem 1, dass der erwartete relative Wiederherstellungsfehler (Relative Recovery Error, RRE) mit $1/\sqrt{n}$ gegen Null geht, wobei $n$ die Spaltenanzahl der Eingabematrix ist.
- Da Transformer-Modelle und Bilddaten typischerweise hochdimensional sind (großes $n$ ), wird der Fehler sehr klein.
- Dies bedeutet, dass die Rekonstruktion mit hoher Genauigkeit erfolgt, unabhängig von der Skalierung der Maske.

3. Wichtige Beiträge

Identifikation einer fundamentalen Schwachstelle: Das Paper zeigt auf, dass die Verschlüsselung nur des Singulärwertvektors bei gleichzeitiger Freigabe der orthogonalen Basisvektoren (Subspace) nicht ausreicht, um die Privatsphäre zu gewährleisten.
Effizienter Angriff: Es wird ein einfacher, nicht-interaktiver Angriff vorgestellt, der keine zusätzlichen Interaktionen mit dem Nutzer erfordert und rein auf den bereits übertragenen Daten basiert.
Theoretische Fundierung: Ein mathematischer Beweis liefert eine Obergrenze für den Rekonstruktionsfehler, der die Effektivität des Angriffs bei hohen Dimensionen garantiert.
Empirische Validierung: Der Angriff wurde erfolgreich auf Text- und Bilddaten getestet.

4. Ergebnisse

Die Evaluation wurde auf dem GLUE-Benchmark (Textdaten: RTE, SST-2, QNLI) und dem CIFAR-100-Datensatz (Bilddaten) durchgeführt, unter Verwendung des BERT-base-Modells.

Relative Recovery Error (RRE):
- Bei den Textdatensätzen lag der RRE konstant bei ca. 0,036 (3,6 %), unabhängig von der Maskierungsstärke ( $\eta$ ).
- Beim CIFAR-100-Datensatz lag der RRE bei ca. 0,18 (18 %). Der höhere Fehler ist auf die geringere Dimensionalität der Bilddaten im Vergleich zu Text-Embeddings zurückzuführen, bestätigt aber die theoretische Vorhersage, dass der Fehler mit steigender Dimension sinkt.
Visuelle Rekonstruktion: Abbildung 1 im Paper zeigt, dass die rekonstruierten Bilder (Recovered) trotz verschiedener Maskierungsstärken ( $\eta = 0.5$ bis $100$) visuell fast identisch mit den Originalbildern sind. Die Maskierung wird effektiv durch den Angriff rückgängig gemacht.
Fazit der Evaluation: Der Angriff ist robust gegenüber der Skalierung der Maske und funktioniert zuverlässig, da er primär auf dem geleakten Unterraum der Maskierungsmatrix basiert.

5. Bedeutung und Implikationen

Kritik an aktuellen Designs: Das Paper warnt davor, dass die Verschlüsselung nur von "Low-Rank"-Darstellungen oder Zwischenmatrizen (wie dem Singulärwertvektor) in sicheren Inferenzprotokollen oft unzureichend ist, um Datenschutz zu gewährleisten.
Notwendigkeit strengerer Sicherheitsprüfungen: Designentscheidungen, die Kommunikationseffizienz über vollständige Verschlüsselung aller Komponenten stellen, müssen rigoros auf Subspace-Leakage überprüft werden.
Auswirkung auf Euston: Das vorgestellte Framework Euston ist in seiner aktuellen Form als unsicher für den Schutz privater Eingabedaten zu betrachten, da ein Angreifer die Daten mit hoher Genauigkeit wiederherstellen kann.
Zukunftsausblick: Dies unterstreicht die Notwendigkeit neuer Protokolle, die entweder die orthogonalen Matrizen ebenfalls verschlüsseln oder alternative Methoden zur Reduzierung der Kommunikationskosten finden, die keine Subspace-Informationen preisgeben.

Zusammenfassend demonstriert das Paper, wie eine scheinbar effiziente Optimierung (SVD-basierte Kompression) in einem Sicherheitsprotokoll zu einem katastrophalen Verlust der Privatsphäre führen kann, wenn die mathematischen Eigenschaften der Zerlegung nicht vollständig berücksichtigt werden.