💻 computer science

$\pi$ Creds: Privately Inferred Credentials

本文介绍了 $\pi$ Creds，一种隐私保护的去中心化凭证系统，该系统利用受信任的大语言模型（LLM）从非结构化认证数据中推断出可验证声明，同时正式应对了诸如来源受限对抗性样本（Source-Constrained Adversarial Examples）和认证隐蔽谓词投毒（Authenticated Covert Predicate Poisoning）等新型对抗威胁。

原作者： Samuel Breckenridge, Dani Vilardell, Derek Leung, Andrés Fábrega, James Austgen, Farinaz Koushanfar, Ari Juels

发布于 2026-06-03

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Samuel Breckenridge, Dani Vilardell, Derek Leung, Andrés Fábrega, James Austgen, Farinaz Koushanfar, Ari Juels

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你想向你的朋友证明你是一位家用浓缩咖啡制作专家。目前，在数字领域证明这一点的唯一方法是展示一张刻板的、预设好的证书，上面写着“年满 18 岁”或“余额 > $100”。但如果想根据你真实的经历来证明你的专业水平呢？比如你买过的特定咖啡机、你尝试过的豆子，以及你研磨它们所度过的岁月？

现有的数字身份系统就像是机器人图书管理员。它们只能检查书是否在特定的书架上（结构化数据）。它们无法阅读书籍，无法理解故事，也无法告诉你作者是否真的是一位天才。它们受困于硬编码的规则。

$\pi$ Creds（隐私推断凭证）是一个全新的系统，它用一位聪明的私家侦探取代了那个机器人图书管理员。

核心理念：私家侦探

你不需要把整个银行流水或电子邮件历史交给别人（这会是一场隐私噩梦），而是雇佣一位在安全隔音库（称为可信执行环境，TEE）内工作的可靠侦探。

保险库： 你将银行、电子邮件或购物账户的登录密钥交给侦探。
调查： 侦探进入保险库，登录你的账户并阅读你的历史记录。
大脑： 在保险库内部，一个强大的 AI（大语言模型）充当侦探的大脑。它阅读你杂乱无章的数据（比如一长串收据或电子邮件），并理出故事线：“哇，这个人三年内买了 50 台浓缩咖啡机；他们绝对是个专家。”
判决： 侦探写下一张密封的便条，上面写着“专业水平：9/10”。
结果： 你得到了这张便条。保险库绝不会向核查便条的人展示你的实际收据。他们看到的只是最终的结论。

为什么这很重要？

它能理解人类语言： 不同于那些需要数据格式完美统一（如电子表格）的旧系统，这个 AI 可以阅读杂乱的文本、PDF 和电子邮件。
它非常灵活： 你可以要求它证明任何事情：“这个人擅长编程吗？”“他们真的买房了吗？”“这个软件安全吗？”
它保护隐私： 核查凭证的人看不到你的数据，只能看到结论。

两个新出现的反派（威胁）

因为我们使用的是智能 AI 而不是简单的机器人，出现了两种新型的捣蛋鬼。论文称之为 SCAE 和 ACPP。

1. “伪专家”（SCAE - 源约束对抗样本）

想象你想欺骗侦探，让其认为你是浓缩咖啡专家，即便你并不是。

旧方式： 你无法伪造收据，因为侦探直接与银行进行核对。
新威胁： 你可以购买真实的咖啡设备。如果你花了 100 美元购买咖啡器材，侦探看到了真实的收据，就会说：“专家！”
论文的发现： 这是一个真实存在的问题。如果你愿意花真金白银去购买特定的东西，你就可以“操纵”系统。然而，论文发现，这样做需要你付出真实的成本。你不能只靠输入虚假数字来作弊；你必须实际去购买这些物品。这就像试图通过连续一个月每天跑步来伪装成马拉松选手——这确实可行，但既昂贵又困难。

2. “房间里的间谍”（ACPP - 认证隐蔽谓词投毒）

想象一位公司雇佣了一位略微“经过修改”的 AI 侦探，而这家公司想知道你的性别，但你只要求提供一个“专业水平评分”。

威胁： 这家公司雇佣了一个被动过手脚的 AI。AI 仍然会给你一个有效的评分（例如“8/10”），但它会在数字中偷偷植入一条秘密信息。也许它总是给男性一个偶数（8），给女性一个奇数（7）。
论文的发现： 论文对此进行了测试。研究发现，由于 AI 必须给出一个“正确”的分数（它不能随便撒谎），因此很难隐藏秘密信息。这个信息的“通道”非常狭窄。这就像是在嘈杂的房间里试图通过大声回答有效答案的同时，还要低声传递秘密；噪音使得听取秘密变得非常困难。对“好分数”的规则越严格，窃听就越难。

一个特殊的应用场景：“黑盒”软件

论文还提出了一个酷炫的新用途：软件审计。
想象一家公司拥有一种蛋糕的秘密配方（他们的软件代码）。他们想向你证明这个蛋糕里没有毒（漏洞或后门），但他们不会展示配方。

$\pi$ Creds 如何提供帮助： 公司将他们的秘密配方放入安全保险库。AI 侦探阅读秘密配方，检查是否存在“毒素”，然后发布一份证书：“此代码安全。”
结果： 你得到了一个关于软件安全的保证，而无需看到任何秘密配方。

总结

$\pi$ Creds 是一个利用隐藏在数字保险库中的隐私 AI 来阅读你杂乱的现实世界数据，并为你提供经过验证且隐私的凭证的系统。

优点： 它能处理复杂的现实世界数据（如电子邮件和收据），这是旧系统无法做到的。
缺点： 你可以通过花费真金白银来改变你的数据来试图欺骗它，或者一个狡猾的 AI 提供商可能会试图在答案中隐藏秘密。
结论： 论文表明，虽然这些手段是可能的，但要实施起来既困难又昂贵，这使得该系统成为迈向隐私数字信任的重要一步。

技术摘要： $\pi$ Creds：隐私推断凭证

问题陈述

去中心化可验证凭证系统在历史上一直受限于对零知识证明（ZKP）和结构化数据的依赖。虽然这些系统在处理简单谓词（例如“年龄 > 18”）时非常有效，但在处理非结构化数据（例如银行流水、医疗记录、社交媒体帖子）时却显得力不从心，且缺乏进行复杂声明（如“产品专业知识”或“代码安全性”）所需的语义推理能力，而无需暴露底层数据。现有的解决方案需要为每种数据源和格式编写硬编码逻辑，这使得系统缺乏灵活性，无法处理不同数据源之间的语义关系。此外，使用大语言模型（LLM）进行凭证签发引入了全新的应用层威胁：恶意行为者可能会操纵经过身份验证的数据以生成误导性的凭证，或者恶意的模型提供者可能会通过模型输出编码隐蔽信道以泄露隐私信息。

方法论

本文提出了 $\pi$ Creds（隐私推断凭证），这是一个通过对经过身份验证的数据进行可信 LLM 推断，从而生成具有隐私保护性、兼容遗留系统的去中心化凭证的系统。

系统架构

核心工作流在可信执行环境（TEE）（原型中使用配备 NVIDIA H100 GPU 的 Intel TDX）内运行，以确保数据检索和推断的机密性与完整性。该过程涉及四个参与方：TEE、数据源、证明者和验证者。

预言机获取（Oracle Fetch）： TEE 作为预言机，使用用户提供的凭证登录白名单内的用户数据源（例如银行、市场平台）以获取文档。
隐私推断（Private Inference）： LLM 在 TEE 内部处理获取的文档，通过特定的提示词（Prompt）来生成一项声明。
证明（Attestation）： TEE 使用硬件支持的密钥对生成的声明进行签名，并嵌入远程证明，以验证所使用的代码和配置。
验证（Verification）： 验证者检查 TEE 证明和签名。签发后无需与 TEE 进行交互。

安全形式化

作者识别了两种区别于标准系统级安全的关键应用层威胁模型：

源约束对抗样本（SCAE）： 这模拟了一个操纵经过身份验证的数据源（例如进行策略性购买）以诱导产生误导性 LLM 输出的对手。与标准的对抗样本不同，这种扰动受到修改数据源的实际成本以及要求数据必须与数据源的身份验证逻辑保持一致的约束。
身份验证隐蔽谓词投毒（ACPP）： 这模拟了一个对手（验证者或模型提供者）通过微调模型将敏感信息（例如性别、特定购买行为）编码进凭证输出中的过程。该攻击受到输出必须保持为“有效”声明（即必须通过证明者的审计）以及微调数据必须看起来合法这两个条件的约束。

核心贡献

$\pi$ Creds 协议： 一个结合了预言机与 LLM 推断的完整签发与验证工作流。该系统在通用可组合性（Universal Composability）框架下进行了形式化，确保了完备性（忠实执行）和隐私性（数据不会在输出之外被暴露）。
威胁建模： 对 SCAE 和 ACPP 问题进行了形式化，为分析针对策略性数据操纵和通过对抗性模型选择导致的隐私泄露的鲁棒性提供了框架。
新颖应用： 本文描述了用户数据的应用场景（例如产品专业知识、信用度），并引入了一种全新的软件凭证类别。这使得服务可以在不泄露源代码的情况下，通过让 LLM 在 TEE 内部审计代码，来证明其专有代码的属性（例如“无硬编码 API 密钥”）。
实证评估： 一个支持金融、健康、电子邮件和代码源的原型实现。作者通过真实的亚马逊交易数据，对“产品专业知识”凭证的 SCAE 和 ACPP 进行了实证研究。

结果

基准准确率： 使用开源模型（如 Qwen2.5-7B-Instruct），系统在语义任务上实现了高准确率。对于产品专业知识，其与“前沿模型共识”基准真值的平均绝对偏差在 10 分制量表中为 0.45 分。
SCAE 评估： 源身份验证为对手施加了实际成本。在 20 美元（约占平均消费的 5%）的预算下，攻击使专业知识得分平均偏移了 1.24 分。在 100 美元（占消费的 20%）的情况下，偏移量为 1.75 分。虽然攻击受限于成本，但适度的预算仍能显著改变凭证的分数，表明其在面对有动机的操纵时存在脆弱性。
ACPP 评估： 研究通过分数奇偶性（even/odd numbers）来测试用于编码敏感谓词（性别、购买特定物品）的隐蔽信道。
- 无约束情况： 在没有输出约束的情况下，对手实现了对隐藏谓词的近乎完美的恢复。
- 有约束情况： 当输出被强制保持在有效容差范围（±5 分）内时，恢复准确率降至接近随机水平（人口统计学特征为 55–65%，行为特征为 45–55%）。
- 结论： 要求输出保持为“有效”声明的过程显著限制了隐蔽信道的容量，尽管更具表现力的凭证（例如自由文本解释）可能会更容易受到攻击。

重要性与主张

本文声称 $\pi$ Creds 代表了一个重要进展，因为它实现了对非结构化数据的语义推理，且具备隐私保护能力，而这是目前基于 ZKP 的系统所缺乏的能力。通过在 TEE 中利用 LLM，该系统支持兼容遗留的数据源，而无需对银行或市场平台进行修改。

作者强调，这项工作是一项初步探索，而非最终的安全定论。他们指出：

SCAE 和 ACPP 的形式化为 LLM 凭证的系统性安全分析提供了起点。
实证结果作为一种演示，展示了如何使这些威胁操作化，并表明虽然源身份验证和输出约束提供了某些防御，但有动机的对手仍然可以影响结果。
对专有软件审计的应用，为在不泄露源代码的情况下，为闭源智能体（例如在 ERC-8004 标准背景下）建立信任提供了具体路径。

文章总结道，尽管 LLM 引入了新的攻击面，但 TEE、源身份验证和受限输出空间的结合，为下一代去中心化、隐私保护的凭证提供了一个可行但并不完美的基石。