💻 computer science

PAC to the Future: Zero-Knowledge Proofs of PAC Private Systems

Dit paper introduceert een nieuw raamwerk dat Probably Approximately Correct (PAC) Privacy combineert met zero-knowledge bewijzen om verifieerbare privacygaranties en rekenintegriteit te bieden in vertrouwensloze cloudomgevingen voor machine learning-systemen.

Oorspronkelijke auteurs: Guilhem Repetto, Nojan Sheybani, Gabrielle De Micheli, Farinaz Koushanfar

Gepubliceerd 2026-02-13

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Guilhem Repetto, Nojan Sheybani, Gabrielle De Micheli, Farinaz Koushanfar

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

PAC naar de Toekomst: Hoe we bewijzen dat je privacy echt wordt beschermd (zonder te liegen)

Stel je voor dat je een heel geheim recept hebt, bijvoorbeeld voor de beste chocoladetaart ter wereld. Je wilt dit recept gebruiken om een gigantische taart te bakken voor een groot feest, maar je vertrouwt de bakker niet helemaal. Je wilt dat hij het recept gebruikt, maar je wilt niet dat hij het recept zelf ziet, en je wilt ook zeker weten dat hij niet stiekem een paar lepels van je dure chocolade heeft gestolen of dat hij het recept heeft aangepast.

Dit is precies het probleem dat dit paper oplost, maar dan met computerdata in plaats van taartrecepten.

Hier is de uitleg in simpele taal, met een paar creatieve vergelijkingen:

1. Het Probleem: Vertrouwen in de "Wolken"

Vandaag de dag slaan we onze gevoelige data (zoals medische dossiers of bankgegevens) vaak op bij grote cloudbedrijven (zoals Google of Microsoft) om er slimme computerprogramma's op te laten draaien.

Het risico: Je vertrouwt erop dat het bedrijf de data niet leest en dat ze de privacyregels volgen. Maar hoe weet je dat ze niet liegen?
De oude oplossing: Vaak voegen ze "ruis" (willekeurige data) toe om de privacy te beschermen. Maar hoe weet jij of ze juiste ruis hebben toegevoegd? Misschien hebben ze vergeten ruis toe te voegen, of hebben ze te veel ruis toegevoegd waardoor de resultaten nutteloos zijn.

2. De Twee Heldendelen: PAC en ZKPs

De auteurs van dit paper combineren twee krachtige concepten om dit op te lossen:

Deel A: PAC Privacy (De "Smaaktest")

PAC staat voor Probably Approximately Correct.

De analogie: Stel je voor dat je een schilderij wilt kopiëren, maar je wilt dat de kopie net ietsje wazig is, zodat niemand het origineel kan reconstrueren.
Hoe het werkt: In plaats van een vaste hoeveelheid ruis toe te voegen (zoals bij de oude methoden), kijkt PAC Privacy slim naar de data. Het berekent precies hoeveel "wazigheid" (ruis) nodig is om het geheim te beschermen, maar niet meer dan nodig. Zo blijft het resultaat nog steeds nuttig (de taart smaakt nog steeds goed), maar is het originele recept veilig.
Het probleem: Hoe bewijs je dat je die juiste hoeveelheid wazigheid hebt toegevoegd?

Deel B: Zero-Knowledge Proofs (De "Magische Doos")

Dit is de technologie die het bewijs levert.

De analogie: Stel je voor dat je een magische doos hebt. Je doet je geheimzinnige recept en de berekening van de ruis in de doos. De doos geeft een klein, onleesbaar briefje terug.
Het wonder: Op dat briefje staat niet wat er in de doos zat, maar het bewijst wel 100% zeker dat:
1. Het recept correct is gebruikt.
2. De juiste hoeveelheid wazigheid is toegevoegd.
3. Niemand heeft iets gestolen of veranderd.
Je kunt het briefje aan iedereen laten zien. Zelfs als je de inhoud van de doos niet kent, weet je dat de bakker eerlijk heeft gewerkt. Dit heet een Zero-Knowledge Proof: je bewijst iets zonder de geheimen te onthullen.

3. Hoe werkt het samen? (De "PAC naar de Toekomst" methode)

De auteurs hebben een systeem bedacht waarbij deze twee technologieën samenkomen:

De Bakker (De Cloud): Hij krijgt je data en moet een berekening doen (bijvoorbeeld: "Wat is de gemiddelde leeftijd van mensen in deze stad?").
De Wiskundige Berekening: De bakker gebruikt de PAC-methode om te berekenen hoeveel ruis hij moet toevoegen. Hij doet dit in een "magische doos" (een Zero-Knowledge Proof).
Het Bewijs: De bakker stuurt het resultaat (het gemiddelde met de ruis) én het magische briefje (het bewijs) naar jou.
Jij (De Klant): Je kijkt naar het briefje. Als het briefje klopt, weet je zeker dat:
- De berekening correct is.
- De privacyregels (de ruis) zijn nageleefd.
- Je hoeft de bakker niet te vertrouwen; de wiskunde doet het voor je.

4. Waarom is dit belangrijk?

Geen vertraging: De auteurs hebben getest of dit systeem te traag is. Het blijkt dat het bewijs maken wel wat extra tijd kost, maar niet zo veel dat het onbruikbaar is. Het is als het nemen van een extra minuut om een paspoort te controleren; het kost tijd, maar het geeft je veel meer veiligheid.
Toekomstbestendig: Ze gebruiken een speciale versie van de technologie (zk-STARKs) die zelfs veilig is tegen toekomstige supercomputers (kwantumcomputers).
Toepassingen: Het werkt voor alles: van het trainen van AI-modellen (zoals chatbots) tot het controleren van databases.

Samenvatting in één zin

Dit paper introduceert een slim systeem waarbij computers bewijzen dat ze je privacy respecteren en eerlijk rekenen, zonder dat ze je geheimen hoeven te onthullen, net als een magische doos die bewijst dat je taart perfect is gebakken zonder dat je het recept hoeft te delen.

Het is een grote stap naar een internet waar we data kunnen delen en gebruiken zonder bang te hoeven zijn dat onze privacy wordt geschonden.

Probleemstelling

Met de toenemende afhankelijkheid van gevoelige gebruikersdata voor het trainen van grote machinaal leermodellen (zoals Large Language Models) zijn privacyzorgen toegenomen. Gebruikers vertrouwen vaak niet op propriëtaire systemen of cloudproviders die berekeningen uitvoeren.

Bestaande beperkingen: Traditionele privacytechnieken zoals Differential Privacy (DP) kunnen leiden tot een significante verslechtering van de bruikbaarheid (utility) van de data, vooral bij kleine datasets of strenge privacyvereisten.
Het vertrouwensgap: Hoewel er technieken zijn voor privacy-bewuste berekeningen (zoals Fully Homomorphic Encryption), ontbreekt het vaak aan een manier voor gebruikers om te verifiëren dat de berekening correct is uitgevoerd en dat de juiste privacy-maatregelen (zoals het toevoegen van ruis) daadwerkelijk zijn toegepast, zonder dat de onderliggende data of het model wordt onthuld.
De uitdaging: Hoe kan men garanderen dat een cloudprovider de juiste "PAC Private" ruis toepast op een algoritme, terwijl zowel de gevoelige invoerdata als de eigendomsrechten van het algoritme geheim blijven?

Methodologie

De auteurs introduceren een raamwerk dat PAC Privacy (Probably Approximately Correct Privacy) combineert met Zero-Knowledge Proofs (ZKPs), specifiek zk-STARKs, om verifieerbare privacy te bieden in wantrouwige omgevingen.

PAC Privacy:
- In tegenstelling tot DP, die ruis baseert op de gevoeligheid van een query, bepaalt PAC Privacy de minimale benodigde ruis automatisch op basis van de "zwarte doos" (black-box) toegang tot het algoritme.
- Het doel is om een mechanisme $M$ te modificeren naar $M(X) + B$ , waarbij $B$ een ruisvector is. De ruis is zodanig gekozen dat de wederzijdse informatie (mutual information) tussen de invoer $X$ en het verstoord resultaat klein blijft, zodat een aanvaller de originele data niet kan reconstrueren.
Zero-Knowledge Proofs (zk-STARKs):
- De auteurs kiezen voor zk-STARKs (Zero-Knowledge Scalable Transparent Arguments of Knowledge) in plaats van zk-SNARKs.
- Reden: zk-STARKs vereisen geen "trusted setup" (geen vertrouwde derde partij), zijn post-kwantum veilig (gebaseerd op hash-functies in plaats van elliptische krommen) en genereren niet-interactieve bewijzen die publiek verifieerbaar zijn.
- Ze gebruiken het RISC-Zero framework, een virtuele machine die deterministische uitvoering garandeert, essentieel voor het genereren van ZK-bewijzen.
Het Stelsel (Workflow):
- Niet-interactief: Het systeem werkt in een trustless omgeving waarbij de "Prover" (de server/cloudprovider) een bewijs genereert dat de "Verifier" (de gebruiker) kan controleren.
- Deterministische Uitvoering: Omdat ZK-circuits geen willekeurige loops of input-afhankelijke vertakkingen kunnen hanteren, worden de algoritmen aangepast:
  - Het aantal iteraties wordt vastgezet (in plaats van te convergeren tot een voorwaarde).
  - Randomness wordt gegenereerd via een geheim "seed" dat door de Verifier wordt aangeleverd, zodat de uitvoering deterministisch blijft binnen het circuit.
  - Datastructuren worden gepad tot een vaste grootte om variabele lengtes te voorkomen.
- Twee-staps proces:
  1. Ruisgeneratie: De server berekent een covariantiematrix $\Sigma$ die de ruis definieert. De server bewijst in ZK dat deze matrix correct is berekend en publiceert de hash $h(\Sigma)$ , zonder $\Sigma$ zelf te onthullen.
  2. Berekening: De server gebruikt het geheim seed en de matrix $\Sigma$ om de ruis $B$ te genereren, voert het algoritme uit op de data $X$ , en bewijst dat het resultaat $M(X) + B$ correct is berekend met de juiste ruis.

Geimplementeerde Mechanismen

De auteurs hebben hun raamwerk getest op drie verschillende scenario's:

K-means Clustering: Een onbewaakte leeralgoritme. De implementatie vereiste aanpassingen zoals het vastzetten van het aantal iteraties en het gebruik van een vaste buffer voor cluster-toewijzingen om de circuit-grootte constant te houden.
Support Vector Machines (SVM): Een bewaakt leeralgoritme voor classificatie. De focus lag hier op het normaliseren van de output (hyperplannen) om consistentie te garanderen voor de ruisberekening.
Database Statistieken: Het uitvoeren van statistische queries (gemiddelde, mediaan) op gefilterde datasets. Hier werden filters gedefinieerd als vaste vectoren om variabele query-groottes te omzeilen.

Resultaten

De experimentele evaluatie is uitgevoerd met het RISC-Zero framework op kleine tot middelgrote datasets.

Schaalbaarheid:
- Voor K-means werd een perfecte lineaire (affiene) groei waargenomen in het aantal benodigde RISC-cycli in verhouding tot het aantal steekproeven ( $M$ ) en het aantal clusters ( $K$ ). Dit komt door de deterministische aard van de loop-structuren.
- Voor SVM werd een over het algemeen lineaire trend waargenomen, maar met enige fluctuaties. Dit wordt toegeschreven aan cache-gebruik en geheugenintensieve operaties die minder voorspelbaar zijn in de virtuele machine.
- Voor Database queries werd eveneens een lineaire schaalbaarheid gevonden ten opzichte van de databasegrootte.
Overhead: De overhead voor het genereren van de bewijzen is acceptabel voor kleine tot middelgrote toepassingen. De methode behoudt een hoge "utility" (bruikbaarheid) van de data, aangezien PAC Privacy minder ruis vereist dan traditionele DP-methoden.
Verifieerbaarheid: Het systeem slaagt erin om te bewijzen dat de juiste privacy-maatregelen zijn toegepast zonder de onderliggende data of de ruisparameters te onthullen.

Bijdragen en Significantie

Eerste Integratie: Dit is het eerste werk dat PAC Privacy combineert met non-interactieve Zero-Knowledge Proofs (specifiek zk-STARKs) om verifieerbare privacy in uitbesteede berekeningen mogelijk te maken.
Vertrouwen in Cloud Computing: Het biedt een oplossing voor het vertrouwenprobleem in cloudomgevingen. Gebruikers kunnen nu verifiëren dat hun data correct is verwerkt en beschermd, zonder dat ze de server hoeven te vertrouwen.
Post-Kwantum Veiligheid: Door gebruik te maken van zk-STARKs is het systeem toekomstbestendig tegen kwantumcomputers, in tegenstelling tot veel huidige ZK-oplossingen die op elliptische krommen zijn gebaseerd.
Balans Privacy-Utility: Het raamwerk biedt een praktische manier om privacy te garanderen met minder verlies aan data-utility dan traditionele methoden, terwijl de integriteit van de berekening wordt gewaarborgd.

Kortom, de paper toont aan dat het mogelijk is om een "verifieerbare PAC Private" omgeving te creëren, waarbij de server kan bewijzen dat hij de belofte van privacy nakomt, zonder de geheimen van het systeem of de data prijs te geven.