隐私技术选型与组合边界
本节目标
能从目的、数据动作、参与方和攻击者推导候选 PET，而非追逐产品名；能写清每种技术的保证与不保护范围；能比较性能、效用、运维和证据成本并形成可回滚决策。
从隐私问题开始
先完成一句可验证声明：
在参与方和攻击者满足哪些假设时，我们希望谁不能从哪些观察中学到关于谁的什么信息，同时仍得到什么必要输出。
再问能否不收集、少收集、降低粒度、本地计算、缩短保留或限制输出。PET 不是收集过量数据的许可证。
目标到候选技术
| 隐私目标 | 常见候选 | 仍需处理 |
|---|---|---|
| 降低持有与链接风险 | 最小化、聚合、去标识、访问/保留控制 | 外部链接、自由文本、输出与删除 |
| 量化统计对主体的影响 | 差分隐私 | 邻接、贡献、参数、组合、实现、效用 |
| 原始数据不集中训练 | 联邦学习/本地计算 | 更新、参与集合、最终模型、恶意客户端 |
| 隐藏单方更新 | 安全聚合 | 多轮/串谋/掉线、输入真实性、最终聚合 |
| 多方联合函数 | MPC/PSI | 协议与腐败模型、输出、性能、活性 |
| 云端对密文计算 | HE/FHE | 运算与精度、性能、密钥、完整性、元数据 |
| 保护使用中通用计算 | TEE | 硬件/证明信任、侧信道、代码与输出 |
| 证明陈述而不透露见证 | ZKP | 关系/电路正确、参数、实现、公开输入/元数据 |
表格是候选生成器，不是自动选型器。
七步决策法
- 目的与主体：明确用途、非目标、个人/机构贡献单位和权利/治理约束。
- 数据流：列出采集、训练、推理、输出、日志、模型、备份和退役路径。
- 威胁模型：参与方信任、恶意/半诚实、串谋、掉线、外部辅助信息和侧信道。
- 保证声明：精确写出保护谁、什么输入/输出、在哪些假设和参数下。
- 候选原型：与最简单基线比较，测延迟、吞吐、内存、网络、精度、失败恢复和运维。
- 验证证据：协议/产品版本、参数、代码来源、审查、测试、证明链、会计和攻击评测。
- 责任与退出：残余风险负责人、监控、事件响应、密钥撤销、供应商替代和回滚。
组合保证要重新证明
- MPC + DP：MPC 减少原始输入暴露，DP 限制输出推断；但 DP 必须在正确聚合和贡献边界上实现。
- FL + 安全聚合 + DP：分别处理数据位置、单更新可见性和发布影响；掉线/抽样/多轮会影响整体分析。
- TEE + DP：TEE 保护机制运行中的数据和密钥，仍需证明加载代码、参数和输出正确；DP 不保护非 DP 日志旁路。
- 去标识 + 受控访问：两者降低实际风险，但不能把可链接数据自动宣称为匿名。
端到端最弱边界决定结果。若公开输出过细，计算阶段再强的密码学也无济于事；若管理员凭据被盗，DP 统计不保护原始数据库。
选型记录模板
目的/非目标、主体与贡献、资产、参与方、攻击者、数据流、候选与基线、保证、不保护范围、协议/产品/参数版本、性能和效用基准、密钥/身份/证明、失败行为、测试与审查、合规待确认项、残余风险/负责人、复查触发与退出方案。
供应商“零信任”“机密 AI”“军用级加密”不是保证。要求提供协议、威胁模型、版本、参数、审计范围、部署配置和可复现证据。
常见错误
- 先采购产品再为它寻找隐私问题。
- 只比较理论强度，不比较实施复杂度导致的配置错误与旁路。
- 把“加密中/传输中/使用中”混成一句，不说密钥和输出谁可见。
- 从一个组件的保证推断整个数据生命周期合规或匿名。
- 没有降级、撤销、回滚和供应商退出路径。
练习与自测
为两家医院联合发布疾病统计写两套方案：A 仅用最小化、本地聚合、受控共享；B 用 MPC + DP。逐项比较信任、输出、攻击、效用、性能、密钥、运维、验证和失败恢复，并说明在哪些条件下 A 反而更合适。
- 能把隐私目标映射为候选技术而非品牌。
- 能为每个候选写清“保护什么/不保护什么”。
- 能对组合后的参与方、输出和旁路重新建模。
- 能把性能与运维可行性视为保证能否落地的一部分。
下一步
用 隐私评测与泄露响应 检查选型是否在真实实现中成立。
参考资料
- NIST PEC Tools（获取日期：2026-07-21）
- NIST: Privacy-Enhancing Cryptography to Complement Differential Privacy（获取日期：2026-07-21）
- NIST SP 800-226（最终版，2025-03）