SecDVA：面向现代机器学习数据市场的恶意安全多方数据价值评估框架

核心问题：在 ML 数据市场中，买方购买前想评估卖方数据集对自己模型的价值，但现有 DVA 做法要求一方暴露数据或模型，带来隐私泄露与策略性操纵风险。

• 场景与重要性：数据交易可抽象为两方问题——买方持目标模型和测试集，卖方持待售数据；DVA 结果直接影响定价。现有两种常见做法（买方把模型和测试数据发给卖方，或卖方把数据发给买方）都要求一方暴露私有信息，卖方还可能抬高 DVA 结果促成交易。
• 现有方法不足：作者称，只交换中间结果的方案仍会泄露信息（买方可部分重建卖方数据，卖方可据此操纵估值）；TEE 方案依赖昂贵专用硬件、需信任硬件厂商并有侧信道攻击风险；MPC 方案 FullPto [4] 假设模型公开、只支持小规模常规模型、不允许买卖数据分布不一致。
• 两大挑战：一是 Applicability 与 Efficiency 的矛盾——大模型训练在 MPC 下代价高，作者引用称半诚实 MPC 下训练一个小模型就要超过 3.5 小时；二是 Security/Reliability 与 Efficiency 的矛盾——恶意安全需要检测输入与计算的不一致，现有 MAC 方案增加多轮通信、分布式 ZKP 有平方级计算开销，且 Transformer 的 GeLU/LayerNorm/Softmax 非线性运算对 MPC 不友好、精度要求高。
• 论文方案：提出 SecDVA，作者称其为首个面向现代 ML 数据市场的恶意安全 MPC DVA 框架；用 NTK 线性化模型更新、mini-batch 近似降低开销，并设计基于 FSS 的 (2+1) 方 MPC 协议。
• 威胁模型（照抄论文术语）：
  • 攻击者目标：恶意卖方想 inflate 上报的数据价值；恶意买方想最大化获取卖方数据集的信息。
  • 攻击者能力：Protocol Deviation（跳步、改超参或随机性、丢样本、伪造响应）与 Dataset Falsification（卖方用 D̃≠D，如 cherry-picked、duplicated、poisoned 数据）。
  • 受害系统与资产：卖方数据集 D、买方测试集 T 与模型 fθ，三者都可能含隐私或商业资产。
  • 平台假设：交易平台为 semi-honest，按协议执行、不与任一方合谋，但可能从转录中推断信息。

ML 数据市场

• 早期工作研究 arbitrage-free query pricing [39]–[41]，后续机制通过出售训练好的模型实例为预测能力定价 [42]；作者称这些设计侧重经济性质、很少把隐私作为核心。
• Dealer [43] 把差分隐私引入定价与补偿；Peng et al. [4]（FullPto）提出恶意安全的多方交易框架用于 utility signaling，但作者指出它假设模型公开，而实际中模型常由买方指定、应保持私有。

数据价值评估：DV 与 DS

• DV 用 Leave-One-Out [50] 或 Shapley Value [51], [52] 估计样本边际贡献，代价高，催生了降采样 [20], [21]、免训练估计 [55], [56]、重训练近似 [22], [23]；P-Shapley [23] 降低噪声影响，SecSV [57] 保护验证数据但训练仍是明文。作者称 DV 隐含假设验证数据与训练分布一致，现实中常不成立。
• DS 在训练前评估可迁移性：数据集级距离 [24], [58] 轻量但需要完整原始特征、可能丢失任务语义；基于模型的 DS [25], [26] 通过表示嵌入捕捉任务结构，但构建 model zoo 代价高 [59], [60]。

AI 中的安全数据使用

• 安全训练协议 [28], [61] 开销高、无法扩展到现代 Transformer，故本文聚焦安全推理。
• 混合方案 BOLT [29]、Bumblebee [30]、BLB [31] 结合 HE 与秘密共享，用分段多项式处理非线性；另有 FHE 非交互推理 [62]、安全三方框架 [63]、通用恶意安全 MPC [64]。Shark [32] 在半诚实 dealer 下做恶意安全推理，但作者指出其近似粗糙（如用 ReLU 近似指数、二次函数近似 GeLU），精度下降。

基线与基准

• 明文对比基线：DV 类 DAVINZ [55]、In-Run DS [87]、FreeShap [56]；DS 类 WTE [24]、Task Vector (TV) [25]；数据集为 CIFAR-10/100、PACS、Office-Home、DomainNet。
• MPC 对比基线：FullPto 的输入验证 [4]，以及 Shark [32]（含高精度重实现 Shark*）。

作者定位：作者称现有半诚实或恶意安全 MPC 框架都不适合现代数据市场的 DVA，SecDVA 是首个同时满足安全、可靠、适用、效率四项要求的 MPC DVA 框架。

整体思路：先在明文侧用 NTK 理论把"训练→测效用"的 DVA 流程近似为线性计算并做 MPC 友好的近似，再在密码侧构建恶意安全的 (2+1) 方 MPC 框架 SecDVA，含输入一致性验证与高精度非线性算子。

问题设定与 Strawman 协议

• DVA 定义为映射 V(D, T, fθ) → ν，常用两阶段近似：数据使用算子 O 把模型更新为 fθD，效用函数 U 在基准 T 上评估，价值为效用增益 V = U(T, fθD) − U(T, fθ)。
• Strawman 协议（Figure 2）：卖方先对数据集做承诺 cD ← Com(D; rD)，双方秘密共享输入后用恶意安全 2PC 计算 [fθD] = ΠO([fθ], [D])，再算基线与更新后效用并公开 ν；通过 Open([D], cD, rD) 验证数据与承诺一致，防止 Dataset Falsification。
• Strawman 的难点：承诺验证在 MPC 中开销大；数据使用阶段涉及训练，在恶意安全 2PC 下代价高；大矩阵乘、非线性激活、归一化、softmax 等操作密码开销大。

轻量 DVA 设计（NTK 线性化与投影）

• 依据梯度下降线性化定理（Theorem V.1），模型输出可一阶近似为 f(X;θ_t) = f(X;θ) + J(X;θ)·(θ_t−θ)，即用 Jacobian 把参数变化映射为输出变化。
• 为处理买卖数据分布不一致，把在 D 上训练产生的参数位移投影到在 T 上训练的位移方向（仅对特征提取器参数投影，以应对标签差异），价值正比于 V(D,T,θ) ∝ (Y − f(X_T;θ))⟨Δθ_D,Δθ_T⟩/|Δθ_T|₂²。
• 参数位移取最小范数解，等价于核岭回归，闭式解为 Δθ = J(X;θ)ᵀ Θ⁻¹ (Y − f(X;θ))，其中 Θ 为正则化 NTK 矩阵，ζ = 1/(ηt) 对应早停状态，实现中取 ζ = 0.01。

MPC 友好的近似

• 对角 batch 近似：把 D 分成大小 r 的 batch，只计算每个 batch 内的 r×r NTK 块并置于对角线，块间置零；好处是矩阵求逆可逐块独立进行、乘法可局部计算。实现中 batch size 为 32。
• Landmark 校正：均匀采样大小为 Z 的 landmark 集（实现中取数据集大小的 1%），跨 batch 流式累积 Z×Z 与 Z 维统计量 ΣΘ、ΣY，解线性系统更新 landmark 系数 τ（正则系数 µ = 0.01），再对每个 batch 用校正后的残差做局部求解；总位移为 landmark 项与各 batch 项之和，只需 O(Z²) 内存和数据单遍扫描。作者称这修正了对角近似忽略 batch 间相关性的误差，且比反复 shuffle 的方案更适合 MPC。

MPC 实现

• 输入验证：用 committed VOLE（C-VOLE）[75] 替代哈希承诺；卖方通过 C-VOLE 证明输入与承诺一致，输出可免费转换为 SPDZ 认证秘密共享；通信只需 O(polylog ℓ)、2 轮，作者称比先前方案高效 3 个数量级。
• (2+1) 方恶意安全 MPC：半诚实、不合谋的 dealer P*（由交易平台担任）只做输入无关的预处理；基于 FSS 的 DPF/DCF 与 SPDZ 结合，用 half-tree 编码 IT-MAC、借 Grotto 优化直接从 DPF 构建 DCF；作者称其 DPF 开销与半诚实协议持平、比 Shark 轻量 2 倍，DCF 去掉了 O(n²) 因子（Table I）。
• 高精度非线性算子：分段多项式近似与不经意查找表组合实现 GeLU、Softmax、LayerNorm；矩阵求逆用 Newton 法（30 次迭代）并配合动态精度技巧（临时翻倍到 24 位再移回）；定点表示为 12 位，环为 Z_2^128，值与全局密钥在 Z_2^64。
• 完整协议与安全证明在补充材料 [78] 中，正文未给出。

实验设置

• 被测模型：ViT-Tiny 为主要目标模型；敏感性分析另测 ViT-Small、ViT-Base、ViT-Large。只计算目标模型最后一个 attention 层，任务模块为单个线性层。
• 数据集与规模：CIFAR-10/100 按类划分 5 个 split（每个 10,000 样本，测试集 2,000）模拟纯标签差异；PACS、Office-Home 用 leave-one-domain-out（卖方集重复采样两次，测试集为卖方集一半：PACS 1,600、Office-Home 2,400）模拟纯特征差异；DomainNet→PACS/Office-Home（卖方每域 5,000，买方测试每域 800/1,200）模拟特征+标签差异。
• 基线：明文比 DAVINZ、FreeShap、In-Run DS、WTE、TV；MPC 输入验证比 FullPto（LowMC 与 SHA-256 两版），算子与端到端比 Shark 及高精度重实现 Shark*。
• 指标：与 ground-truth 数据价值（改编自 task transfer distance [26]，细节在补充材料）的 Pearson（P.C.）与 Spearman（S.C.）相关系数，越高越好；效率用 wall-clock 耗时；MPC 实验统计总开销（不分在线/离线）。
• MPC 环境：AMD EPYC 9555、512GB RAM、单线程，本地网络 10 Gbps、0.01 ms RTT（与 FullPto 相同）；微基准每项执行 100 万次。
• 关键超参：batch size 32、landmark 为数据集 1%、ζ = 0.01、µ = 0.01、12 位定点。

主结果

明文设置下各方法的 P.C./S.C. 与耗时（据 Table II，CIFAR 互迁，ViT-Tiny）：

表格较宽，可左右滑动

Method	C10→C100 P.C.	C10→C100 S.C.	C10→C100 Cost(s)	C100→C10 P.C.	C100→C10 S.C.	C100→C10 Cost(s)
DAVINZ	-0.632	-0.400	3923.4	-0.921	-0.800	3950.7
FreeShap	0.394	0.300	7698.3	-0.498	-0.600	7862.2
In-Run DS	0.529	0.400	1108.8	0.445	-0.200	1094.5
WTE	0.500	0.100	2980.5	0.804	0.800	2907.6
TV	0.825	0.900	3098.9	0.826	0.800	3091.4
SecDVA	0.843	0.900	207.4	0.855	0.900	192.5

• 作者称 SecDVA 在 Tables II–IV 的各数据集对中大多给出最准确的估值且耗时最短；基线表现不稳定，如 In-Run DS 与 TV 在 Office-Home 特征差异场景表现差，TV 在特征+标签差异场景好但在其他场景不成立。
• Table III（PACS/Office-Home 留一域）：SecDVA 在 PACS 四域 P.C. 为 0.862/0.928/0.922/0.914、平均耗时 89.2 s；Office-Home 四域 P.C. 为 0.833/0.971/0.894/0.835、耗时 147.6 s，均优于同表基线。
• Table IV（DomainNet→PACS/Office-Home）：SecDVA 在 PACS 四域 P.C. 为 0.934/0.945/0.825/0.836、耗时 245.9 s；Office-Home 四域 P.C. 为 0.859/0.835/0.940/0.878、耗时 280.2 s。

消融与模型规模敏感性

• 消融（Table V，DomainNet→Office-Home）：去掉 landmark 校正后四域 P.C. 降为 0.745/0.675/0.802/0.745（耗时 215.7 s）；去掉累积校正后降为 0.817/0.803/0.864/0.789（261.6 s）；完整 SecDVA 为 0.859/0.835/0.940/0.878（280.2 s）。作者称这验证了两种校正的必要性。
• 模型规模（Table VI）：ViT-Tiny/Small/Base/Large 上四域平均 P.C. 分别约 0.859/0.834/0.846/0.855（A 域数值），耗时从 280.2 s 升至 9377.4 s；作者称 SecDVA 可有效扩展。
• 超参敏感性（Figure 5）：作者称 ζ 低于约 0.01–0.001 之间某阈值后性能稳定（或对应 NTK 收敛态）；µ 大于 0.001 时稳定、过小则下降；batch size 对性能不敏感但减小会增加耗时，landmark size 呈相反现象。图中仅可见两条折线随五个取值变化的趋势与坐标轴标签，具体数值未标注。

MPC 实验

• 输入验证（Table VII，32MB 数据集）：SecDVA 2.09 ms（计算安全参数 128、统计安全参数 2⁻⁴⁰）；FullPto LowMC 版 3.49 s（64、0.01）、SHA-256 版 119 s（128、0.01）。作者称分别快 1670× 与 56938×，且 FullPto 的检查以不可忽略概率失败。
• 微基准（Table VIII，对 Shark）：DPF/DCF 通信 2080 vs 3266 MB、耗时 0.45 vs 2.21 s；DReLU 耗时为 Shark 的 19.3%、通信 70.5%；Truncation 为 20.6%、67.2%；LUT 为 58.1%、91.0%。
• Transformer 算子（Table IX）：Softmax（197×197）SecDVA mean error 0.0001 vs Shark 0.0051，但通信与耗时为 Shark 的 1.95× 与 1.66×；GeLU（197×768）Shark mean error 2.3749，SecDVA 0.0013，通信与耗时为 Shark 的 5.30× 与 2.36×；与同精度的 Shark* 比，LayerNorm/Softmax/GeLU 耗时分别为其 28.5%/19.1%/26.4%；32×32 矩阵求逆 212 MB、1.27 s、mean error 0.0009（Shark 未实现，记为"–"）。
• 端到端（Figure 6，ViT-Tiny）：完整安全推理耗时为 Shark* 的 43.6%、通信为 86.9%；CIFAR-100 上 mini-batch 参数位移计算约 8,572 s、通信 6,674 GB，与明文结果余弦相似度 0.933、欧氏距离 0.04。作者称这验证了现实可行性，并指出可通过并行化与 GPU 加速进一步优化。

作者指出的局限与后续方向

• 论文未专门讨论局限（无 Limitations 节，Conclusion 与附录说明中未列出局限或未来方向）。
• 正文提到实现优化空间：参数位移的 MPC 计算"有很大潜力引入并行化与 GPU 加速等实现优化"（Section VI-B4），属于作者指出的可改进点而非局限声明。

实验覆盖范围

• 被测模型为 ViT-Tiny/Small/Base/Large 共 4 个，均为图像 Transformer；数据集为 CIFAR-10、CIFAR-100、PACS、Office-Home、DomainNet 共 5 个图像数据集（Section VI）。
• 明文对比覆盖 5 个 DV/DS 基线；MPC 对比中输入验证比 FullPto，算子与端到端比 Shark/Shark*；作者说明因协议面向 (2+1) 方设置，排除了其他配置的比较，且 SecDVA 含 Shark 不支持的计算，仅在推理上与 Shark 对比（Section VI, Comparison Baselines）。
• MPC 实验在单线程、10 Gbps 带宽、0.01 ms RTT 的本地网络模拟环境测得；微基准每项执行 100 万次（Section VI, Implementation Details）。
• 论文未报告明文相关性实验的重复次数与方差；ground-truth 数据价值的构建细节、完整 MPC 协议与安全证明均在补充材料 [78] 中，正文未给出。
• 参数位移的 MPC 结果与明文结果的余弦相似度为 0.933、欧氏距离 0.04（Section VI-B4），非完全精确。

SecDVA 是面向 ML 数据市场的恶意安全 MPC 数据价值评估（DVA）框架，作者称其为首个此类框架。

• 要解决的问题：买方购买前评估卖方数据对自己模型的价值时，现有做法要求一方暴露数据或模型，存在隐私泄露与卖方抬高估值的风险；已有 MPC 方案 FullPto 假设模型公开、仅支持小模型且不允许分布差异。
• 方法要点：用 NTK 理论把梯度下降引起的输出变化线性化，并把卖方数据产生的参数位移投影到买方任务方向以处理分布差异；用对角 batch 近似（batch size 32）加 landmark 校正（数据集 1%）压缩 NTK 计算；密码侧用半诚实 dealer 的 (2+1) 方 FSS/SPDZ-MPC，优化 DPF/DCF，C-VOLE 做输入一致性验证，高精度实现 GeLU/Softmax/LayerNorm/矩阵求逆。
• 明文结果：在 CIFAR-10→CIFAR-100 上 P.C./S.C. 为 0.843/0.900、耗时 207.4 s，优于 5 个 DV/DS 基线（Table II）；PACS、Office-Home、DomainNet 各设置下也大多最优（Tables III–IV）。
• MPC 结果：32MB 数据输入验证 2.09 ms，作者称比 FullPto 的 SHA-256 版快 56938×（Table VII）；ViT-Tiny 端到端安全推理耗时为同精度 Shark* 的 43.6%、通信 86.9%；CIFAR-100 参数位移计算约 8,572 s、通信 6,674 GB，与明文余弦相似度 0.933。
• 作者结论：作者称 SecDVA 在明文下评估效用优于基线，并在大模型上以合理时间完成 MPC 下的 DVA，具备实际可行性；其高精度算子设计适合梯度、矩阵求逆等精度敏感计算。