🤖 machine learning

Keyed Provenance Watermarking with Complementary Lattice-Based Secure Aggregation for Federated Learning

Dit artikel stelt een hybride federated learning-framework voor dat een Kerckhoffs-conforme, op GAN gebaseerde beeldwatermerktechniek met Physical Anchor Metadata voor gegevensherkomst integreert met een post-kwantum, op roosters gebaseerd zero-knowledge veilige aggregatieprotocol om een uitgebreide, verifieerbare bescherming tegen gegevenslekken en kwaadwillige gradiëntmanipulatie te bieden in een enkel end-to-end systeem.

Oorspronkelijke auteurs: Xinyun Liu, Zhi Lu, Yu Chen, Ronghua Xu

Gepubliceerd 2026-08-24

📖 3 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Xinyun Liu, Zhi Lu, Yu Chen, Ronghua Xu

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

In de moderne digitale wereld wordt kunstmatige intelligentie steeds vaker getraind, niet op één enkele supercomputer, maar over duizenden afzonderlijke apparaten, van smartphones tot ziekenhuisservers. Deze methode, bekend als federated learning, stelt machines in staat om samen te leren zonder ooit hun privédata te delen. In plaats van ruwe foto's of medische dossiers naar een centraal knooppunt te sturen, traint elk apparaat lokaal een klein deel van het model en stuurt alleen de wiskundige updates terug. Hoewel dit de privacy beschermt, creëert het een nieuwe reeks kwetsbaarheden. Omdat de data het apparaat van de eigenaar nooit verlaat, is het moeilijk te verifiëren waar deze vandaan komt of of ermee is geknoeid. Evenzo kan de server, omdat deze alleen de wiskundige updates ziet, niet gemakkelijk onderscheiden of een deelnemer probeert de groep te saboteren door valse of kwaadwillende instructies te sturen. Het systeem vertrouwt op vertrouwen, maar in een wereld van geavanceerde cyberaanvallen is vertrouwen alleen niet genoeg.

Onderzoekers zoeken al lang naar manieren om deze problemen op te lossen, maar zij hebben de twee kanten van het probleem doorgaans apart aangepakt. De ene groep experts werkt aan het beschermen van de afbeeldingen of gegevens zelf, terwijl een andere groep zich richt op het beveiligen van de wiskundige updates die tussen apparaten worden verzonden. Deze gesplitste aanpak laat een gat achter: een systeem kan beveiligd zijn tegen slechte wiskunde maar kwetsbaar voor gestolen data, of andersom. Een team van onderzoekers heeft dit gat nu overbrugd door een verenigd framework te creëren dat zowel de data als de wiskunde gelijktijdig beschermt. Hun werk, gepubliceerd in een recente studie, introduceert een tweelaags beveiligingssysteem dat fungeert als zowel een digitale vingerafdruk voor de data als een cryptografische zegel voor de updates, waardoor wordt gegarandeerd dat het gehele leerproces eerlijk en verifieerbaar blijft.

De eerste laag van dit nieuwe systeem richt zich op de data zelf, specifiek de afbeeldingen die voor de training worden gebruikt. Om te bewijzen dat een afbeelding authentiek is en toebehoort aan een specifieke eigenaar, hebben de onderzoekers een methode ontwikkeld om een verborgen, onvervalsbare markering direct in de foto in te bedden. In tegen tegenstelling tot eenvoudige digitale tags die gemakkelijk kunnen worden verwijderd, is deze markering geweven in de visuele structuur van de afbeelding. Het proces begint met het creëren van een unieke token op basis van feiten uit de echte wereld, zoals de exacte tijd waarop de foto is genomen, de locatie en de specifie

Technische Samenvatting: Keyed Provenance Watermarking met Complementaire Lattice-gebaseerde Veilige Aggregatie voor Federated Learning

Probleemstelling
Federated Learning (FL) wordt steeds vaker ingezet in sectoren waar veiligheid cruciaal is, maar blijft kwetsbaar voor meerlagige aanvallen die bestaande defensies geïsoleerd aanpakken. Huidige beveiligingsmechanismen richten zich doorgaans ofwel op de datalaag-provenance (het beschermen van de trainingsdataset) ofwel op de computatielaag-integriteit (het beschermen van gradiëntaggregatie), maar zelden op beide tegelijkertijd. Deze systemische kloof laat FL-systemen blootgesteld aan een samengesteld dreigingslandschap, inclusief datalekken, ongeautoriseerd hergebruik van datasets en kwaadwillige gradiëntmanipulatie (bijv. poisoning-, backdoor-aanvallen of normovertredingen). Bovendien hebben bestaande watermarking-methoden vaak moeite met de trade-off tussen robuustheid en onzichtbaarheid, of vertrouwen ze op gemakkelijk te verwijderen metadata, terwijl veilige aggregatieprotocollen vaak een gebrek aan verifieerbaarheid vertonen of leunen op cryptografische aannames die niet pre-quantum zijn en conflicteren met opkomende post-quantum standaarden.

Methodologie
De auteurs stellen een tweelaags beveiligingsframework voor dat een data-beveiligingslaag en een computatie-beiligingslaag integreert om een end-to-end vertrouwensketen te vestigen.

Datalayer: Keyed Physical Anchor Metadata (PAM) Watermarking
- Context-Provenance Token: In plaats van te vertrouwen op door de client gegenereerde metadata, maakt het systeem gebruik van Physical Anchor Metadata (PAM) afgeleid van vertrouwde infrastructuurgegevens: tijd, locatie en een Electric Network Frequency (ENF) server-ID. Deze PAM fungeert als een context-provenance token.
- Keyed Transformation: Om onvervalsbaarheid onder het principe van Kerckhoffs te garanderen, wordt de ruwe PAM niet direct ingebed. In plaats daarvan ondergaat het een keyed HMAC-SHA-256 transformatie ( $W_{in} = \text{HMAC}_K(\text{PAM})$ ) met behulp van een geheime sleutel van de client. Dit produceert een watermark-payload die niet gegenereerd kan worden zonder de geheime sleutel, zelfs als het algoritme en de publieke parameters bekend zijn.
- Embedding Framework (FMGAN): De getransformeerde payload wordt in afbeeldingen ingebed met behulp van FMGAN, een Generative Adversarial Network-gebaseerd framework. FMGAN maakt gebruik van een Feature Fusion Module (FFM) om multi-layer features te vangen en een Mamba-Guided Linear Attention (MGLA) module. De MGLA maakt gebruik van een state-space model (SSM) aangepast voor visuele taken om regio's met lage saliëntie te identificeren voor embedding, waardoor de trade-off tussen onzichtbaarheid en robuustheid tegen geometrische en signaalverwerkingsaanvallen wordt geoptimaliseerd.
- Verificatie: Tijdens de verificatie wordt de watermark geëxtraheerd en valideert het systeem de cryptografische integriteit door te controleren of $HMAC_K(\text{PAM}') = W_{in}$ , waarbij $\text{PAM}'$ de referentie-metadata is die is opgehaald uit de vertrouwde fysieke anchor-fabric.
Computatielaag: Lattice-Based Zero-Knowledge Secure Aggregation (LZKSA)
- Protocol: Het framework adopteert een lattice-gebaseerd zero-knowledge secure aggregatieprotocol gebouwd op Ring Learning With Errors (RLWE) commitments. Dit garandeert post-quantum veiligheid.
- Verificatie zonder Onthulling: Clients genereren zero-knowledge bewijzen (ZKPs) om aan te tonen dat hun gecommitteerde gradiënten specifieke beperkingen voldoen zonder de gradiënten zelf te onthullen. Deze beperkingen omvatten:
  - Key Correctness: Verifiëren dat masking keys correct zijn gevormd en globaal wegvallen.
  - Norm Bounds: Bewijzen dat gradiënten voldoen aan $L_\infty$ en $L_2$ normlimieten om schaalingsaanvallen te voorkomen.
  - Cosine Similarity: Verifiëren dat de richting van updates binnen een gedefinieerde gelijkenisdrempel blijft ten opzichte van een publieke referentie, om directionele manipulatie te mitigeren.
- Efficiëntie: In tegengensstelling tot algemene ZK-systemen (bijv. SNARKs), maakt LZKSA gebruik van algebraïsche relaties compatibel met $\Sigma$ -protocollen om de computationele overhead en communicatiekosten te verlagen.

Belangrijkste Bijdragen

Hybride Framework: Het artikel presenteert het eerste werk dat een hybride, end-to-end betrouwbaar FL-framework construeert dat data-beveiligingswatermarking en lattice-gebaseerde zero-knowledge veilige aggregatie systematisch integreert in een gezamenlijke verificatieworkflow.
Onvervalsbare PAM Watermarking: Een keyed watermarking-schema waarbij payloads existentieel onvervalsbaar zijn zonder de geheime sleutel, gebruikmakend van een "soft link" naar fysieke infrastructuur (ENF) via HMAC-SHA-256.
FMGAN Architectuur: Het ontwerp van FMGAN, met een feature fusion module en een Mamba-gestuurd lineair aandachtmechanisme, specifiek afgestemd op het embedden van cryptografisch beschermde watermarks in heterogene beelddata.
Deployment-Georiënteerde LZKSA: Een gestroomlijnde integratie van lattice-gebaseerde zero-knowledge aggregatie in praktische FL-workflows, waarbij verificatiegaranties (key correctness, norm bounds, cosine similarity) behouden blijven terwijl de systeemcomplexiteit wordt verminderd.
Uitgebreide Evaluatie: Implementatie en evaluatie van een volledig FL-pipeline die verbeterde robuustheid demonstreert tegen datasetlekken, ongeautoriseerd gebruik en gradiëntmanipulatie.

Experimentele Resultaten

Watermarking Prestaties: Op de COCO-dataset bereikte FMGAN superieure onzichtbaarheid vergeleken met state-of-the-art modellen (HiDDeN, MBRS, ReDMark), met een gemiddelde PSNR van 41,59 dB en SSIM van 0,9902 voor 64-bit payloads. Het demonstreerde een hoge robuustheid (Bit Accuracy >96%) tegen Gaussian noise, JPEG-compressie, cropping en geometrische aanvallen, waarmee het baselines aanzienlijk overtrof.
Veilige Aggregatie Efficiëntie: Het LZKSA-protocol introduceerde een verwaarloosbare computationele overhead aan de client-zijde (consistent onder de 0,2 seconden voor kleine/middelgrote datasets) en schaalde lineair aan de serverzijde. Zelfs voor grootschalige datasets (ImageNet-10 met ~11M parameters) bleven de verificatietijden binnen acceptabele marges.
Systeem-niveau Defensie: Onder samengestelde aanvalscenario's (bijv. gelijktijdige datasetvervanging en gradiëntschaling) bereikte het tweelaagse framework een detectiegraad van 100% voor ongeautoriseerde samples en filterde het effectief kwaadwillige updates (slechts 4-5% van de kwaadwillige updates accepteerde, vergeleken met 100% in onverdedigde baselines).
Utiliteitsbehoud: Het framework behield een hoge modelutiliteit, met nauwkeurigheidsdalingen van slechts 0,2% tot 0,4% vergeleken met de baseline FL-taak op MNIST en CIFAR-10, wat bevestigt dat de beveiligingsbeperkingen de reguliere training niet significant hinderen.

Betekenis en Claims
Het artikel claimt dat dit werk een nieuw paradigma vestigt voor betrouwbaar FL door de "systemische kloof" aan te pak even waarbij data- en computatiebeveiliging apart worden behandeld. Door een Kerckhoffs-compliant, contextbewust watermarking-schema te koppelen aan post-quantum veilige aggregatie, biedt het framework complementaire bescherming tegen zowel data-laag diefstal/manipulatie als computatie-laag poisoning. De auteurs benadrukken dat dit de eerste gezamenlijke evaluatie is van beide lagen in een hybride FL-framework, wat een robuuste defensie biedt tegen samengestelde aanvallen die single-layer oplossingen niet kunnen mitigeren.

Beperkingen en Toekomstig Werk
De auteurs erkennen dat de huidige PAM-mechanisme fungeert als een indirecte "soft link" naar de fysieke anchor in plaats van een directe embedding van real-time ENF-signalen, wat een abstracte afhankelijkheidslaag creëert. Daarnaast is het systeem kwetsbaar voor watermark-forger (replay) aanvallen, waarbij geldige watermarks geëxtraheerd uit gelekte assets naar ongeautoriseerde afbeeldingen kunnen worden getransplanteerd. Toekomstig werk richt zich op het ontwikkelen van verenigde provenance tokens die context-binding en content-binding data fuseren, het uitbreiden van het mechanisme naar andere modaliteiten (tekst, audio), en het onderzoeken van adaptieve, optimalisatie-gebaseerde watermark verwijderingsaanvallen.

Meer zoals dit