🤖 AI

FuseFSS: Efficient Secure LLM Inference with Function Secret Sharing

FuseFSS 是一个通过将定制的逐算子协议替换为统一的定点非线性流水线，从而简化安全 LLM 推理的编译器，在保持准确性的同时实现了显著的加速并降低了通信与预处理开销。

原作者： Yuhan Ma, Yong Li, Stefan Schmid

发布于 2026-06-09

📖 1 分钟阅读☕ 轻松阅读

原作者： Yuhan Ma, Yong Li, Stefan Schmid

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你想向一个超级聪明的 AI（大型语言模型）询问一个秘密问题，比如私密的医疗诊断或机密的商业策略。你不想让 AI 的所有者看到你的问题，也不想让 AI 向你透露它的“大脑”（模型）。

为了解决这个问题，研究人员使用了一种“双服务器”技巧。他们将秘密拆分到两个互不通信的服务器中。没有任何一个服务器知道全貌，但它们在一起可以计算出答案。这就像两个厨师在各自独立的厨房里工作；他们看不见彼此的食材，但可以共同协作烘焙出一个蛋糕，而无需泄露配方或秘密配料。

然而，这里有一个问题。虽然在“加密模式”下进行“简单”的数学运算（比如加法）很快，但“困难”的部分（比如判断一个数字是正数还是负数，或者对小数进行取整）却非常缓慢且笨重。目前，工程师们不得不为每一个这样的复杂数学步骤构建一个定制的、独一无二的机器。这就像是为汽车上的每一颗螺丝都准备了一把定制的专用扳手。这既昂贵又缓慢，而且很容易损坏。

于是，有了 FuseFSS。

该论文的作者构建了一个名为 FuseFSS 的编译器（翻译器）。与其为每颗螺丝制造一把定制扳手，FuseFSS 说：“让我们只使用两种通用的工具来处理所有的复杂数学步骤。”

以下是它的工作原理，我们用一个简单的类比来说明：

“掩码信封”类比

想象你有一个秘密数字，但你不能直接展示它。于是，你把它放进一个信封里，里面还放了一张随机的纸（“掩码”），然后交给服务器。服务器可以看到信封的总重量（“掩码值”），但他们不知道你信封里的秘密数字或那张随机纸。

在旧的方法（“Sigma”系统）中，每当服务器需要进行复杂的数学技巧（比如“这个数字是否大于 5？”）时，他们都必须打开一个专门为那个特定问题定制的协议盒。

FuseFSS 改变了游戏规则：

一个规范： 作者创建了一份用于任何数学技巧的“标准说明书”。他们将这些技巧描述为一组区域（区间）和简单的公式。
两个神奇工具： 不再构建新的盒子，FuseFSS 对每个技巧都使用两个标准的工具：
- 工具 A（比较器）： 它会一次性检查所有的“是否大于 X？”的问题，并给服务器提供一份“是/否”的答案列表（以加密共享的形式）。
- 工具 B（查找器）： 它就像一台自动售货机。根据来自工具 A 的答案，它会立即递交完成计算所需的正确数字和公式。
结果： 服务器进行数学计算，然后减去那张随机纸（掩码）以揭示最终答案。

为什么这很重要？

论文声称，通过从“定制扳手”转向“这两个通用工具”，他们使整个过程显著变得更快且更轻量。

速度： 他们让整个过程快了 1.24 到 1.5 倍。如果以前的一次计算需要 10 秒，现在只需要大约 7 秒。
更少通信： 两个服务器之间需要传输的数据量减少了（减少了约 9% 到 16%）。
更少设置： 在开始之前，他们需要生成一些“密钥”（就像在信封上安装锁一样）。FuseFSS 使这种设置快了 14% 到 23%，且密钥本身也缩小了 20% 到 24%。

核心结论

该论文并不声称发明了一种新型 AI 或一种新的预测股市的方法。它仅仅声称构建了一个更强大的“引擎”，用于安全地运行现有的 AI 模型。

他们在流行的 AI 模型（如 BERT 和 GPT）上进行了测试，发现其准确性与旧方法完全一致，但运行得更加流畅。这就像升级了一辆汽车的引擎：车速不变，乘客人数也不变，但因为引擎设计得更高效，所以油耗更低，加速更快。

简而言之： FuseFSS 是一个编译器，它将原本杂乱、定制化的安全 AI 数学处理过程，转化为一个简洁、标准化且更快速的流程，而这一切仅需使用两个强大且可重复使用的工具。

技术摘要：FuseFSS

问题陈述

在双服务器安全推理大语言模型（LLM）的任务中，客户端可以在不泄露提示词（prompts）或嵌入（embeddings）的情况下，通过在非合谋服务器之间进行输入份额共享来查询托管模型。虽然基于 GPU 并利用函数份额共享（Function Secret Sharing, FSS）的近期系统已使线性层变得高效，但在定点非线性运算（例如 GELU、Softmax 的组成部分等激活函数）和重缩放（rescaling）操作方面仍存在显著瓶颈。

目前的尖端系统（如 Sigma）依赖于定制化的逐算子协议。每个算子都需要一个包含特定比较、回绕修正（wrap-around corrections）和预处理材料的自定义实现。这种方法非常脆弱：它增加了正确性证明的复杂性，重复了密钥生成逻辑，并且在引入与模 $2^n$ 回绕或符号性相关的微妙错误时，使得添加新算子变得困难。此外，这些自定义协议通常会导致极高的在线通信开销和沉重的预处理成本（密钥生成时间及大小）。

方法论：FuseFSS

作者提出了 FuseFSS，这是一个将逐算子协议工程替换为统一且对 GPU 友好型编译流水线的编译器。其核心洞察在于，在常见的定点非线性运算中，数据依赖逻辑遵循相似的模式：即使用一小组谓词位（predicate bits）选择一个区域，然后应用带有少量常数的低阶算术形式。

1. 算子规范

FuseFSS 引入了一种类型的算子规范，作为元素级定点算子的中间表示（IR）。该规范定义了：

区间划分：将 $\mathbb{Z}_{2^n}$ 的规范代表元完整划分为区间 $I_i = [\alpha_i, \alpha_{i+1})$ 。
算术分量：对于每个区间，提供一个低阶多项式向量 $P_i(x)$ 用于计算算术输出。
谓词位：由基础谓词（例如 $x < \beta$ ）构建的布尔公式 $B_i(x)$ ，用于确定哪个区间处于激活状态。

2. 掩码感知编译（Mask-Aware Compilation）

编译器将这些规范转换为一种统一的协议，该协议作用于公开掩码值 $\hat{x} = x + r_{in} \pmod{2^n}$ ，其中 $r_{in}$ 是预处理期间采样的全新、份额共享的掩码。

谓词重写：编译器将针对秘密输入 $x$ 的谓词重写为针对公开 $\hat{x}$ 的比较，并利用来自掩码 $r_{in}$ 的秘密共享进位位（carry bits）来正确处理模回绕问题。
统一结构：无论具体的算子是什么，编译器都会生成恰好两次标准的 FSS 求值：
1. 打包比较（Packed Comparison）：单次求值返回所有所需谓词位（区间指示器）的 XOR 份额。
2. 向量区间查找（Vector Interval Lookup）：单次求值返回所选区间的算术系数和常数的加法份额。

3. 后处理

剩余的计算是一个固定的、基于份额的后处理电路。这包括：

秦九韶算法（Horner's Rule）：利用 Beaver 三元组，在 $x$ 的秘密份额（由 $\hat{x}$ 和 $r_{in}$ 推导而来）上评估选定的低阶多项式。
辅助操作：应用布尔逻辑（XOR、AND）以及混合域转换（B2A/A2B）来组合算术和布尔结果。
兼容规范的门电路：对于无法纯粹用多项式表达的操作（例如截断、算术右移），编译器会添加一个确定性的后处理电路 $\Phi$ ，该电路接收多项式输出和掩码派生的常数，以产生最终结果。

4. 安全性与泄露

FuseFSS 遵循掩码线语义（masked-wire semantics），确保每条线都有全新的独立掩码。至关重要的是，编译器强制执行掩码无关的公开形状（mask-independent public shapes）。比较次数、位宽以及区间查找维度仅取决于公开的算子规范和定点元数据，而不取决于采样的掩码。这防止了通过密钥大小或实例形状泄露秘密信息。安全模型假设是在两服务器预处理设置下的半诚实对手模型。

核心贡献

最先进的性能：FuseFSS 在 BERT 和 GPT 类模型上实现了已报道的 FSS 基础安全推理的最佳端到端性能，在保持模型准确性的同时，降低了延迟并减少了预处理成本。
实用的编译器目标：它证明了广泛的定点标量算子可以统一在单一的规范格式下，通过两次标准的 FSS 调用加上统一的后处理来执行，从而消除了对定制化协议设计的需求。
具备安全性的掩码感知编译：该系统从公开掩码输入中推导出正确的谓词评估，同时强制执行形状不变性，从而在不同的算子之间实现了统一的正确性和半诚实安全性证明。

实验结果

作者在序列长度为 128、批次大小为 1 的 BERT 和 GPT 类模型（包括 BERT-tiny/base/large, GPT-2, 和 GPT-Neo）上，将 FuseFSS 与当前的尖端 FSS 基础基准 Sigma 进行了对比评估。

端到端加速：FuseFSS 实现了 1.24×–1.50× 的在线延迟加速。例如，BERT-base-128 的推理时间从 Sigma 的 1613.80 ms 降至 FuseFSS 的 1149.50 ms，减少了 28.8%。
通信减少：在线通信减少了 9%–16%。
预处理效率：
- 密钥生成时间：减少了 14%–23%。
- 密钥大小：减少了 20%–24%。
可扩展性：随着序列长度从 32 增加到 512，加速效果保持稳定（1.36×–1.45×）。
归因分析：收益主要来自于标量非线性及辅助模块（如 GELU、Softmax 组成部分）的加速，这些模块在基准测试中占据了大部分延迟。例如，Softmax（nExp + reciprocal）的编译路径实现了 4.5×–4.7× 的加速。

重要性与主张

论文声称 FuseFSS 解决了两服务器安全推理中的主要瓶颈：定点非线性运算的工程复杂性和性能开销。通过从定制化的逐算子协议转向统一的编译流水线，FuseFSS 简化了系统设计，提高了正确性保证，并显著降低了在线和离线成本。

作者将 FuseFSS 定位为在需要对提示词和嵌入进行强保密性设置（如医疗、金融领域）中部署隐私保护 LLM 推理的实用解决方案。他们明确指出，其工作重点在于标量非线性；向量级操作（如归约或注意力稀疏化）仍处于算子规范 IR 之外，并由标准的 MPC 子协议处理。其安全性分析局限于两台非合谋服务器的半诚实模型，并承认将其扩展到更强的对手模型是未来的研究方向。