🤖 machine learning

MLQENABLER: Enabling Secure Machine Learning Queries over Encrypted Database in Cloud Computing

该论文提出了 MLQENABLER，一种基于索引的方案，该方案能够在云存储中加密数据库之上实现安全的机器学习查询，从而在数据安全性与可接受的机器学习性能之间取得平衡。

原作者： Xu Zhou, Haoyang Chen, Xinyu Lei

发布于 2026-07-10

📖 1 分钟阅读☕ 轻松阅读

原作者： Xu Zhou, Haoyang Chen, Xinyu Lei

原始论文根据 CC0 1.0（http://creativecommons.org/publicdomain/zero/1.0/）发布到公有领域。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你有一个巨大的、超级秘密的照片相册，想要将其存储在云端。你希望云服务公司为你做两件事：保护你的照片不被窥视，同时利用这些照片来训练一个能够识别面部或物体的超智能 AI。

这里有一个棘手的问题：如果你把照片锁在一个标准的保险箱里（加密），云服务公司看到的只是乱码般的随机静态噪声。他们无法用静态噪声来教 AI 学习。但如果为了让 AI 学习而将照片处于解锁状态，云服务公司（或黑客）就会窃取你的秘密。这是一个经典的“要么锁起来，要么用掉它”的困境。

由此，MLQENABLER 诞生了——这是由密歇根理工大学的研究员徐周（Xu Zhou）、陈浩阳（Haoyang Chen）和雷新宇（Xinyu Lei）提出的一种新方案。把 MLQENABLER 想象成一个神奇的“翻译器”，它解决了这个难题，却又没有破坏那把锁。

神奇的翻译器：EncGAN

MLQENBALE 并没有仅仅是锁定你的照片，它为每张图像创建了一个特殊的“影子副本”。它使用了一个被称为 EncGAN（加密生成对抗网络）的巧妙工具。

想象一下，一位大师级的伪造者（生成器）和一位目光敏锐的艺术评论家（判别器）。伪造者试图创造出一张看起来极其像随机噪声模式的假照片，甚至让评论家也无法分辨。与此同时，一个重构器充当了类似解码环的角色，试图将这些假噪声还原回原始照片。

通过这场高水平的博弈，伪造者学会了创造“安全索引项”。这些项目在云服务器看来就像是随机的静态噪声（从而保护了你的隐私），但它们仍然保留了原始照片的隐藏“形状”，使得 AI 能够从中学习。

他们尝试过的方法（以及为什么他们说“不行”）

研究人员研究了解决此问题的其他方法，但发现它们都不尽如人意：

全同态加密 (FHE)： 这就像是在不打开锁着的保险箱的情况下进行数学运算。论文指出这太慢了；在普通计算机上，仅仅训练一个简单的 4 层 AI 模型可能就需要数小时。
差分隐私 (DP)： 这向数据中添加随机的“静态噪声”以隐藏细节。论文认为这是一种笨拙的方法。如果添加的噪声太多，AI 会感到困惑并犯错；如果添加得太少，你的秘密就不安全了。这是一个糟糕的权衡。
联邦学习 (FL)： 它将数据保留在你的设备上，只向云端发送更新。论文指出了其中的一个缺陷：虽然你的数据保持了隐藏，但最终的 AI 模型本身会被泄露。如果该模型是你的知识产权，云端可能会窃取并出售它。

它是如何在现实世界中运作的

在 MLQENABLER 系统中，你（客户端）使用标准锁（如 AES）对照片进行加密，以便云端无法读取。然后，你使用你的密钥，通过 EncGAN 生成那些“安全索引项”（即影子副本）。你将锁定的照片和影子副本一起发送给云端。

云端利用这些影子副本训练其 AI。因为影子副本看起来像是随机噪声，云端无法得知你的照片实际展示了什么。但因为影子副本是由这个特殊的翻译器制作的，AI 仍然能学习到正确的模式。

当你想要向 AI 提问（例如“这是一只猫吗？”）时，你会发送一个特殊的“令牌”（问题的影子版本）给云端。云端通过其训练好的 AI 运行这个问题，并将答案发回。云端既看不见你的真实照片，也看不见你的真实问题。

结果：安全，但伴随微小的代价

研究人员在包括 CIFAR-10、CIFAR-100、Tiny-ImageNet、GTSRB 和 CelebA 在内的六个不同图像数据集上进行了测试。他们使用了两种不同的 AI 模型：ResNet-18 和 SwinV2-T。

以下是实验结果：

隐私性： “影子副本”看起来非常像随机噪声，以至于云端无法将它们与真实的随机数据区分开来。当他们尝试使用基于这些影子训练出的 AI 来猜测原始图像时，AI 表现得很糟糕，其准确率甚至不如随机猜测（例如，在 CIFAR-10 上，准确率从 95.75% 降至 10.18%，这基本上就是瞎猜）。
性能： 在影子副本上训练的 AI 仍然非常出色，但并非完美。与在真实照片上训练相比，准确率略有下降。
- 对于 ResNet-18，下降幅度在 0.07% 到 3.05% 之间，平均下降 1.13%。
- 对于 SwinV2-T，下降幅度在 0.21% 到 6.13% 之间，平均下降 2.86%。
- 最大的下降发生在 CIFAR-100 数据集配合 SwinV2-T 模型的情况下，准确率下降了 6.13%。

论文得出结论，MLQENABLER 成功实现了对加密数据库的安全机器学习查询。它表明，虽然你会损失一点点准确性（即“轻微的机器学习性能下降”），但你换取了使用云端计算能力而不交出秘密的能力。作者认为这种权衡是非常值得的，尤其是考虑到云存储很便宜，而隐私是无价的。

技术摘要：MLQENABLER

问题陈述

本文探讨了**基于机器学习服务的云存储（CSS-MLS）**模型中固有的安全与效用之间的权衡困境。在该模型中，云服务提供商（CSP）将存储作为主要服务，并利用客户端数据来提供二次机器学习（ML）服务（例如推荐系统）。虽然这种模式提供了经济和功能上的优势，但也引发了显著的安全担忧，因为公有云无法获得完全信任。CSP 可能存在出售数据的经济动机，员工可能窃取数据，或者服务器可能面临黑客攻击的风险。

标准的缓解措施是在外包之前对数据进行加密。然而，传统的加密技术（如 AES、3DES）会将数据变为伪随机数，使得在加密数据集上进行机器学习训练或查询变得不可能。现有的解决方案在解决此问题时存在特定的局ability：

全同态加密 (FHE)： 在训练深度神经网络时计算效率极低。
差分隐私 (DP)： 依赖于粗糙的噪声添加，在数据效用（准确性）与安全性之间存在较差的权衡。
联邦学习 (FL)： 无法保护查询隐私和模型隐私（训练出的模型本身可能会泄露）。

核心挑战在于设计一个能够对加密数据进行机器学习查询和训练，同时保护密文隐私、索引隐私、查询令牌隐私和模型隐私的系统。

方法论：MLQENABLER

作者提出了 MLQENABLER（机器学习查询使能器），这是一个通过索引辅助来解耦数据存储与机器学习效用的框架。该系统涉及四个实体：存储客户端、非存储客户端、云服务器和一个密钥生成服务器（KGS）。

核心机制：EncGAN

该系统依赖于一种名为 EncGAN 的**生成对抗网络（GAN）**架构，它由三个组件组成：

生成器 ( $G$ )： 作为全局密钥。它将原始数据项转换为“安全索引项”。
判别器 ( $D$ )： 被训练用于区分真实数据和生成的索引项。
重构器 ( $R$ )： 被训练用于从安全索引项中恢复原始数据。

操作流程

密钥生成： KGS 收集一个数据集（例如从互联网获取）来训练 EncGAN。训练好的生成器 ( $G$ ) 成为分发给客户端的秘密密钥。
数据准备（客户端侧）：
- 加密： 客户端使用本地秘密密钥对原始数据项进行正式加密（如 AES），以确保密文隐私。
- 索引生成： 客户端将原始数据项输入生成器 $G$ ，以产生安全索引项。这些项被设计为与随机噪声不可区分，以确保索引隐私。
- 外包： 客户端将加密后的数据和安全索引项（连同类别标签）一起上传至云端。
机器学习训练（云端侧）： 云服务器直接在安全索引项上训练机器学习模型。所得模型表示为 $M'$ 。
查询处理：
- 为了进行查询，客户端使用秘密密钥 $G$ 将新的数据项 $q$ 转换为安全令牌 $G(q)$ 。
- 云端使用训练好的模型 $M'$ 处理 $G(q)$ 并产生结果。
- 真实的可用模型实际上是组合 $M = G \circ M'$ 。由于云端仅持有 $M'$ 而不持有 $G$ ，因此无法重构真实的模型，从而确保了模型隐私。

隐私保证

密文隐私： 通过标准加密（AES/3DES）实现。
索引隐私： 通过生成器 $G$ 的对抗性损失进行训练，使索引项与随机数据不可区分，从而实现。
令牌隐私： 令牌使用与索引项相同的安全过程生成。
模型隐私： 云端仅持有在混淆数据上训练的模型 ( $M'$ )。没有秘密密钥 $G$ ，云端无法将该模型应用于真实数据。

核心贡献

问题形式化： 本文正式定义了 CSS-MLS 模型以及实现安全所需的特定隐私要求（密文、索引、令牌和模型隐私）。
框架设计： 提出了 MLQENABLER，一个使用标准加密进行数据存储并利用 GAN 进行索引生成以实现机器学习效用的框架。
EncGAN 设计： 引入了一种基于 GAN 的方法，其中生成器创建出与随机数据不可区分的索引项（保护索引隐私），同时重构器确保这些项保留足够的结构以进行机器学习训练。
损失函数可控 (LFC) 噪声： 本文将加密过程描述为一种新型的隐私保护技术，其噪声添加受特定损失函数的引导，提供了比差分隐私的粗糙噪声更精细的方法。

实验结果

作者使用六个图像数据集（CIFAR-10、CIFAR-100、Tiny-ImageNet、GTSRB、CelebA 和 DIV2K）以及 ResNet-18 和 SwinV2-T 架构对 MLQENABLER 进行了评估。

隐私性（索引不可区分性）： 通过视觉对比和**补丁信息熵（Patch IE）**分析表明，安全索引项在视觉上与随机图像不可区分，并且其熵水平与随机噪声相似，显著高于原始图像。
授权准确率 (AA)： 系统为授权用户保持了较高的效用。
- 对于 ResNet-18，准确率下降（原始 vs. 索引）范围为 0.07% 至 3.05%（平均 1.13%）。
- 对于 SwinV2-T，下降范围为 0.21% 至 6.13%（平均 2.86%）。
- 最大的性能退化发生在 CIFAR-100 上，而 GTSRB 的损失极小（<0.25%）。
未授权准确率 (UA)： 在原始（未加密）数据上进行测试时，在索引项上训练的模型表现接近随机猜测水平。
- 在 CIFAR-10、100 和 Tiny-ImageNet 上，UA 接近随机猜测基准（例如，对于 10 个类别的任务约为 10%）。
- 这证实了在没有秘密密钥 $G$ 的情况下，训练出的模型 $M'$ 是无效的，从而有效地保护了模型知识产权。

意义与主张

本文声称 MLQENABLER 成功解决了云环境中的数据安全与机器学习能力之间的权衡问题。通过采用索引辅助方法，它实现了四个同步的隐私目标（密文、索引、令牌和模型隐私），这是之前的技术（FHE、DP、FL）无法同时实现的。

作者断言，该系统仅造成了轻微的机器学习性能下降，同时提供了强大的安全保障。他们将 EncGAN 机制定位不仅是解决这一特定问题的方案，更是一种新型的损失函数可控 (LFC) 噪声添加技术，可以应用于除本文之外的其他隐私保护应用领域。这项工作被呈现为大数据时代“数据共享经济”的一种实用解决方案，使云提供商能够在不损害客户端隐私或知识产权的情况下提供机器学习服务。