🤖 machine learning

PrivaDE: Privacy-preserving Data Evaluation for Blockchain-based Data Marketplaces

Dit paper introduceert PrivaDE, een privacy-bewarend protocol dat model- en data-eigenaren in staat stelt om de bruikbaarheid van datasets te evalueren zonder hun respectievelijke eigendommen te onthullen, waardoor veilige en eerlijke data-marktplaatsen op blockchain mogelijk worden.

Oorspronkelijke auteurs: Wan Ki Wong, Sahel Torkamani, Michele Ciampi, Rik Sarkar

Gepubliceerd 2026-04-21

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Wan Ki Wong, Sahel Torkamani, Michele Ciampi, Rik Sarkar

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een recept voor de beste taart ter wereld hebt (dat is je machine learning model). Je wilt die taart nog lekkerder maken, maar je mist een speciaal ingrediënt. Je vraagt aan een burenman of hij dat ingrediënt wil verkopen.

Het probleem?

Jij (de bakker) wilt je geheimrecept niet laten zien. Als hij je recept ziet, kan hij je taart stelen en zelf verkopen.
Hij (de burenman) wil zijn ingrediënt niet zomaar geven zonder te weten of het echt goed werkt. Hij wil niet dat je zijn ingrediënt gratis uitprobeert en dan wegdoet.

Hoe los je dit op zonder dat iemand iets "stelt" of "gratis krijgt"? Dat is precies wat PrivaDE oplost.

Hier is een uitleg in simpele taal, met een paar creatieve vergelijkingen:

1. Het Probleem: De "Blind Date" van Data

In de wereld van kunstmatige intelligentie (AI) willen bedrijven vaak data kopen om hun modellen slimmer te maken. Maar data verkopers zeggen: "Ik laat mijn data niet zien voordat ik betaald krijg." En kopers zeggen: "Ik laat mijn model niet zien voordat ik zeker weet dat je data werkt."

Het is als een blind date waarbij niemand zijn gezicht wil laten zien. Niemand durft de stap te zetten.

2. De Oplossing: PrivaDE (De "Magische Proefkeuken")

PrivaDE is een digitaal protocol dat fungeert als een veilige, magische proefkeuken. Hierin kunnen de bakker en de burenman samenwerken zonder dat ze elkaars geheimen zien.

Het werkt in drie slimme stappen:

Stap A: De "Kleine Steekproef" (Representative Set)

In plaats van dat de burenman zijn hele emmer met 10.000 aardbeien laat zien (wat te veel werk is), pakt hij er een kleine, perfecte handvol uit.

De Analogie: Stel je voor dat je een grote pot soep wilt proeven. Je hoeft niet de hele pot te drinken; een lepeltje volstaat als het goed gemengd is.
PrivaDE zorgt ervoor dat deze handvol aardbeien echt representatief is voor de hele emmer. Als de handvol goed smaakt, is de hele emmer waarschijnlijk ook goed.

Stap B: De "Gebroken Receptuur" (Split Model)

Dit is het slimste trucje. Het recept van de taart wordt opgeknipt in drie stukken:

Stuk 1 (Jij): De basis van het deeg. Jij doet dit in je eigen keuken.
Stuk 2 (De Burenman): Het mengen van de aardbeien. Hij doet dit in zijn keuken.
Stuk 3 (Jij): De afwerking en het bakken. Jij doet dit weer in je keuken.

Ze wisselen alleen de tussenresultaten uit (bijvoorbeeld: "het deeg is nu klaar"), maar nooit het volledige recept of de volledige aardbeien.

De Analogie: Het is alsof je een puzzel oplost met iemand anders. Jij doet de rand, hij doet het midden, en jij doet de hoekjes. Jij ziet nooit zijn stukken, en hij ziet nooit jouw stukken, maar aan het einde hebben jullie samen de hele puzzel (de taart) gemaakt.

Stap C: De "Magische Check" (Zero-Knowledge Proofs)

Hoe weet je dat de burenman niet vals speelde? Dat hij niet gewoon een handvol stenen in plaats van aardbeien heeft gepakt?
PrivaDE gebruikt een magische spiegel (cryptografie).

De burenman kan zeggen: "Ik heb de aardbeien correct verwerkt."
De spiegel geeft een groen lampje zonder dat je ziet hoe hij het deed of welke aardbeien het waren.
Als hij liegt, gaat het lampje op rood en stopt het spel.

3. De Rol van de Blockchain (De "Onbetrouwbare Notaris")

Alles gebeurt op een blockchain. Denk hierbij aan een openbare, onuitwisbare notaris die alles registreert.

Als de burenman belooft data te leveren, wordt dat vastgelegd.
Als de bakker belooft te betalen, wordt dat vastgelegd.
Zodra de "magische proefkeuken" zegt: "Deze data werkt!", schakelt de blockchain automatisch de betaling over. Niemand kan hierop terugkomen of bedriegen.

Waarom is dit geweldig?

Veiligheid: Niemand ziet elkaars geheimen (geen gestolen recepten, geen gestolen data).
Snelheid: Door slimme trucjes (zoals het gebruiken van een klein steekproefje en het opknippen van het model) duurt dit proces niet uren, maar slechts minuten. Zelfs voor modellen met miljoenen parameters!
Eerlijkheid: De burenman krijgt betaald voor wat zijn data écht waard is (hoeveel hij de taart verbetert), en de bakker betaalt alleen voor wat werkt.

Samenvattend

PrivaDE is als een veilige, digitale testruimte waar je kunt checken of een nieuw ingrediënt (data) goed werkt voor je recept (AI-model), zonder dat je je recept hoeft te onthullen of dat de leverancier zijn ingrediënten hoeft te laten zien voordat hij betaald krijgt. Het maakt de markt voor data eerlijk, veilig en snel.

Probleemstelling

In de huidige machine learning (ML) ecosysteem is het essentieel om de bruikbaarheid van data te evalueren voordat deze wordt aangekocht voor het trainen van hoogwaardige modellen. Echter, er bestaat een fundamenteel vertrouwenprobleem:

Model-eigenaren willen hun modelparameters (gewichten) niet onthullen voordat ze betalen, omdat dit intellectueel eigendom is.
Data-eigenaren willen hun ruwe data (features en labels) niet onthullen voordat ze worden betaald, om privacy en concurrentievoordeel te beschermen.

Bestaande oplossingen vertrouwen vaak op semi-eerlijke modellen (waarbij partijen de protocolregels volgen maar nieuwsgierig zijn) of vereisen een vertrouwde derde partij (TTP), wat niet past bij gedecentraliseerde, blockchain-gebaseerde marktplaatsen. Er is een behoefte aan een protocol dat kwaadaardige (malicious) veiligheid biedt, waarbij partijen willekeurig kunnen afwijken van het protocol, zonder dat de privacy van de data of het model wordt geschonden.

Methodologie: PrivaDE

PrivaDE is een tweepartijen-protocol (2PC) dat een model-eigenaar (MO) en een data-eigenaar (DO) in staat stelt gezamenlijk een nutsscore ( $\phi$ ) te berekenen voor een kandidaat-dataset, zonder dat de onderliggende assets volledig worden onthuld. Het protocol combineert cryptografische technieken met machine learning-optimalisaties.

1. Core Protocol Componenten

Het protocol bestaat uit twee hoofdonderdelen:

Veilige Model Inferentie: Het uitvoeren van voorspellingen van het model op de data van de DO binnen een beveiligde omgeving.
Data Scoring: Het berekenen van een score op basis van de inferentieresultaten en de oorspronkelijke labels.

2. Drie Belangrijke Optimalisaties

Om het protocol praktisch uitvoerbaar te maken onder strikte kwaadaardige veiligheidsaannames, introduceert PrivaDE drie innovaties:

A. Model Distillatie:
De model-eigenaar distilleert eerst een groot "teacher"-model naar een kleiner "student"-model. Dit verkleint de rekenlast voor de cryptografische inferentie aanzienlijk en beperkt de hoeveelheid informatie die via het model kan worden gelekt, terwijl de nauwkeurigheid voor evaluatiedoeleinden behouden blijft.
B. Gesplitst Model (Split Model):
Het model $M$ wordt opgesplitst in drie blokken: $M = C \circ B \circ A$ .
- Blok A: De eerste lagen (tot en met de eerste activatie). Dit wordt uitgevoerd via een kwaadaardig veilig 2PC-protocol. De output wordt gemixt met een geheim mixer-laag om herleidbaarheid te voorkomen.
- Blok B: De tussenliggende lagen. De gewichten worden openbaar gemaakt aan de data-eigenaar, die deze lokaal uitvoert.
- Blok C: De laatste lagen. De model-eigenaar voert deze uit op basis van de output van Blok B.
- Veiligheid: Alleen de activeringen op de snijpunten worden gedeeld. Zero-Knowledge Proofs (ZKPs) worden gebruikt om te verifiëren dat de berekeningen correct zijn uitgevoerd zonder de tussenliggende data te onthullen.
C. Representatieve Subset Selectie & Audit:
In plaats van het hele dataset te evalueren (wat duur en riskant is), selecteert de data-eigenaar een klein, representatief subset ( $D_R$ ).
- Om te voorkomen dat de data-eigenaar een slecht subset kiest, wordt een Cut-and-Choose Challenge Protocol (CP) gebruikt. De model-eigenaar vraagt om bewijs (via ZKP) dat willekeurig gekozen punten uit de volledige dataset goed worden vertegenwoordigd door het subset.
- Dit verlaagt de communicatie- en rekentijd drastisch.

3. Scoring Functie

De nutsscore $\phi$ wordt berekend op basis van drie criteria uit het veld van Active Learning:

Diversiteit: Hoe verschillend zijn de datapunten van elkaar?
Onzekerheid (Uncertainty): Hoe onzeker is het model bij deze punten?
Verlies (Loss): Hoe groot is de fout van het model op deze punten?
Deze metrics worden veilig berekend via een MPC-protocol (geïmplementeerd met SPDZ2k).

4. Blockchain Integratie

PrivaDE is ontworpen voor integratie in een blockchain-marktplaats:

Smart Contracts fungeren als escrow voor betalingen en handhaven eerlijkheid door boetes (slashing) toe te passen als een partij het protocol verlaat of vals speelt.
Atomic Transacties: De betaling wordt pas vrijgegeven als de validatie van de score en de data-overdracht succesvol zijn verlopen.

Belangrijkste Bijdragen

Eerste kwaadaardig veilige data-evaluatie: PrivaDE is het eerste werk dat een veilig schema voor data-evaluatie voorstelt in een kwaadaardig model (malicious setting), zonder vertrouwen in een derde partij.
Model-agnostische scoring: Een nieuwe scoringfunctie die onafhankelijk is van het specifieke modeltype en werkt op een representatief subset, wat de privacy en efficiëntie maximaliseert.
Efficiëntie-optimalisaties: De combinatie van model-distillatie, gesplitste inferentie en cut-and-choose audits maakt het mogelijk om modellen met miljoenen parameters te evalueren binnen een acceptabel tijdsbestek.
Beveiligingsbewijs: Het protocol is formeel bewezen veilig in het simulatie-paradigma, met expliciete analyse van wat er wel en niet wordt gelekt (bijv. beperkte reconstructie van modelgewichten).

Resultaten

De auteurs hebben PrivaDE geëvalueerd op real-world datasets (MNIST, CIFAR-10, CIFAR-100) met verschillende modelarchitecturen (LeNet, ResNet-20, VGG-8).

Performance:
- Voor kleinere modellen (MNIST/LeNet) bedraagt de online runtime slechts 45 seconden.
- Zelfs voor grotere modellen (CIFAR-100/VGG-8) blijft de totale runtime onder de 15 minuten (waarvan ongeveer 15 minuten offline voorbereiding en ~15 minuten online).
- De protocol-tijd is onafhankelijk van de grootte van de volledige dataset van de data-eigenaar, omdat alleen het representatieve subset wordt verwerkt.
Nauwkeurigheid:
- De scores die worden gegenereerd door het protocol correleren sterk (Spearman-correlatie > 0.84 voor de meeste modellen) met de scores die zouden worden verkregen door het volledige model op de volledige data te evalueren.
- Het protocol identificeert effectief hoogwaardige datasets en presteert beter dan willekeurige selectie of entropie-gedreven sampling.
Veiligheid:
- Het protocol detecteert vals spelen met een waarschijnlijkheid van >85% wanneer een adversary 15% van de punten manipuleert.
- De reconstructie van de data of het volledige model door de tegenpartij is beperkt tot een niveau dat als onherkenbaar wordt beschouwd (SSIM < 0.3 voor afbeeldingen).

Betekenis en Impact

PrivaDE legt de basis voor eerlijke en geautomatiseerde datamarktplaatsen in gedecentraliseerde ML-ecosystemen. Het lost het "trustless" probleem op waarbij data en modellen waardevolle activa zijn die niet kunnen worden gedeeld zonder compensatie.

Economisch: Het stelt modelbouwers in staat om data te kopen op basis van bewezen waarde (nutsscore) in plaats van vertrouwen.
Technisch: Het toont aan dat complexe cryptografische protocollen (MPC + ZKP) in combinatie met ML-optimalisaties praktisch inzetbaar zijn voor real-world toepassingen, zelfs onder strikte veiligheidsvereisten.
Toekomst: Het opent de deur voor volledig gedecentraliseerde AI-ecosystemen waar individuele data-eigenaren rechtstreeks kunnen participeren in de ontwikkeling van geavanceerde modellen zonder hun privacy te riskeren.