面向旧款 GPU 的可验证差分隐私训练框架：用 CPU 侧 TEE 校验 GPU 梯度

如何在没有实用 GPU TEE 的旧硬件上，让外部验证者确认模型按声明的 DP-SGD 训练，同时不接触私有训练数据。

• 场景与重要性：作者称敏感数据训练带来重识别、成员推断和属性暴露风险，DP-SGD 是主要缓解手段，并被法规与实践指南推荐。噪声会降低效用，模型所有者有动机减少或省略噪声仍声称满足隐私。作者举出真实部署受到质疑的例子，并称 Apple DP 框架中有一构件被配置为关闭 DP。
• 现有方法不足：作者称可验证 DP 已用于 k-means、DP 计数与直方图发布，但扩展到深度训练仍困难。ZKP 方案 [34] 即使 0.01B 参数模型开销也可超过 1000×。完整 GPU TEE 仅见于 NVIDIA Blackwell B200 等新平台；H100/H200 依赖加密 bounce buffer，作者称开销很大；V100、A100、RTX 4090 没有 TEE。全程放在 CPU TEE 太慢。
• 核心观察：作者把偏离按频率分为稠密与稀疏。对本文评测的效用导向伪造梯度攻击，小预算带来的效用增益有限，且没有可测的额外成员泄漏。GPU 与 TEE 的数值差异本身是攻击面：验证者为诚实分歧必须给出的容差，可被不诚实 GPU 用来隐藏有界操纵。
• 本文提出什么：一个 CPU TEE 加不可信 GPU 的可验证 DP 训练框架。GPU 做逐样本梯度、裁剪与聚合；CPU TEE 持有可信随机性、优化器与模型状态，生成 DP 噪声，并用概率重算验证。协议以高概率检测反复的完全偏离，并用账本计入数值容差区域允许的累积操纵。
• 威胁模型：
  • 目标：公司（trainer）想高效得到高效用模型，并可能在仍声称合规时偏离已声明的 DP-SGD。
  • 知识与能力：trainer 控制模型结构、训练流水线与 GPU。典型偏离包括跳过或削弱裁剪、减小噪声乘数 σ 或换更弱分布、跨步复用或使用可预测随机性、改变采样（例如更大的有效 batch）、只在部分步使用 DP。
  • 受害系统与可信部分：用户提供样本与标签并要求 (ε, δ)-DP（add/remove-one 相邻）。监管方不参与训练，但要求对采样率、裁剪范数、噪声乘数等超参的可验证证据。CPU TEE（如 AMD SEV、Intel TDX）通过远程证明约束噪声生成、模型更新和对 GPU 侧裁剪与聚合的重算。
  • 验证者得到什么：训练后证书，使独立验证者能判断模型由已证明的验证协议及其声明的概率安全界产生，且验证本身不需要敏感训练数据。

• 差分隐私与 DP-SGD：Dwork 等人的 DP [13] 用 (ε, δ)-DP 与 add/remove-one 相邻关系约束单条记录对输出的影响。Abadi 等人的 DP-SGD [1] 对逐样本梯度做 ℓ2 裁剪并在聚合梯度上加高斯噪声。作者还提到机制设计 [14, 24] 与隐私保证的分析或审计 [19]，并称这些工作很少验证 DP-SGD 是否按声明执行。
• 可验证隐私机制：作者讨论了 k-means [26] 以及 DP 计数与直方图发布 [8, 26]。这些工作给出可公开检查的证据，证明所声称的 DP 机制按规范执行。作者称把同类保证扩展到深度模型训练仍然困难。
• 密码学训练证明与 TEE：作者称现有 SOTA [34] 用零知识证明认证训练过程的正确性，保证强，但计算与通信成本随模型规模和迭代次数增长；0.01B 参数模型的开销可超过 1000×。TEE 方面，作者讨论 Intel SGX、AMD SEV [33]、Intel TDX [4] 的远程证明，以及 NVIDIA Blackwell B200 [28] 的机密计算；Hopper 上的 H100/H200 通过加密 bounce buffer 做安全 I/O [5, 49]。作者称 GPU 基础设施更换慢，近期不能假设 GPU TEE 广泛可用 [44]。
• 基线方法与基准/数据集：效用分析比较诚实 DP（ε=2.0）、非私有训练，以及 Current、Nearest、Final 三种 checkpoint-steering 攻击。任务为 Purchase 上的 5-layer MLP、CIFAR-10 上的 WideResNet、E2E 与 WebNLG 上的 GPT-2-medium、QQP 与 MNLI 上的 RoBERTa-large（LoRA）。成员推断用 IMIA [12] 与 SHAPOOL [7]，数据集为 Purchase 与 CIFAR-10。效率基线是标准 GPU DP 训练，以及全程在 CPU TEE 内训练。附录 D 讨论凸光滑目标上有界梯度扰动的理论 [32]。

作者把本文定位为：在旧 GPU 上用 CPU TEE 监视不可信 GPU 上的 DP-SGD，只容忍对所评攻击族效用增益有限的稀疏偏离，并用概率检测反复的完全偏离，从而避免逐步全量验证和 ZKP 的开销。

TEE-Certified DP 把昂贵的梯度计算放到不可信 GPU，把可信随机性、优化器与模型状态、DP 噪声和概率验证留在 CPU TEE，从而在旧 GPU 上给出可检查的 DP-SGD 执行证据。

问题设定与 DP-SGD

• 相邻与保证：数据集 D 与 D′ 相差一条记录的加入或删除。随机算法 M 满足 (ε, δ)-DP，若对任意相邻对和可测集 S，Pr[M(D)∈S] ≤ e^ε Pr[M(D′)∈S] + δ。
• 更新：第 t 步在 batch Bt 上计算逐样本梯度，裁剪到 ℓ2 范数至多 C，聚合后加 zt ~ N(0, σ²C²I)，再以学习率 ηt 更新 θ。GPU 做逐样本梯度、裁剪与聚合；TEE 生成噪声并维护状态。
• 稀疏与稠密：M 是 trainer 偏离的迭代数，M 是协议愿意容忍的上限。M ≥ M 为稠密，M < M 为稀疏。作者用所评攻击族把经验阈值设为 M = 50，对应 LLM 负载训练步的 0.33%–0.89%，CIFAR-10 的 1%（Table 4）。作者称协议分析不依赖这一攻击族。

伪造梯度攻击（用于选阈值）

• 三种目标：Current 在第 t 步选取非私有轨迹上对应步的 checkpoint；Nearest 选离 TEE 模型最近的非私有 checkpoint；Final 始终指向非私有模型的最终 checkpoint。
• 步的放置：攻击者选择哪 M 步偏离，作者给予最强放置而不是随机放置。两种日程都集中在 u⋆（RoBERTa 为 0.20，GPT-2 为 0.10）：Final 取以 u⋆T 为中心的 M 个连续步；Current 与 Nearest 在每个宽度 T/M 的窗口中取最靠近 u⋆T 的一步。作者未跑均匀随机对照。梯度如何朝 checkpoint 移动见附录 A；常数见附录 B.1 与 Table 4。

两阶段验证

• 结构不变式：诚实的裁剪梯度平均满足范数 ≤ C。若提交范数 > C(1+10^{-4})，TEE 直接 ABORT。该检查每步执行，代价 O(d)，slack 只覆盖 FP32 范数舍入。
• 抽样与三条路径：TEE 秘密采样 Vt ~ Bernoulli(p)。未抽中则 ACCEPT。抽中后用 TEE 的 FP32 重算得到归一化距离 zt32 = ∥ḡtGPU − ḡt32∥2 / C。zt32 ≤ τabs 走 body：把 zt32 累加进 Zsub，超过 Ksub 则 ABORT。否则升级到 FP64，nt = (B/2) zt64，仅当 nt ≤ τnum（即 zt64 ≤ ρamb = 2τnum/B）才接受，并用 Samb 计数，超过 Kamb 则 ABORT；zt64 > ρamb 为硬拒绝。
• 设计含义：τabs 是路由阈值而不是免费容差。作者称不假设升级原因或有多少样本造成差异。CIFAR-10 的诚实 FP32 谱没有重尾，因此不用 FP64：升级步只在 zt32 ≤ ρill = 2τabs 时接受，仍用 Kamb 计数（Table 7）。
• 校准：四参数角色不同：τabs 控制路由，ρamb 控制 FP64 接受，Ksub 计量 body 累积差异，Kamb 计量已接受的回退。先用数值差异活动刻画 body/tail，再在目标 GPU–TEE 对的诚实 pilot 轨迹上校准，按模型族汇总并冻结。换 GPU 族或可信参考栈需要重校准；GPU 侧训练栈变化需再验证，若诚实差异谱超出包络则重校准。诚实误中止概率 qFA 只对验证器随机性而言，是该轨迹的性质。

容差的安全预算与重叠执行

• 预算：设 Gtol 为经 body 与 ambiguity 通道的累积归一化偏差。作者给出高概率预算 Gextra = Gsub + Gamb，使得在仍接受的条件下 Pr[Gtol > Gextra] ≤ βextra = βsub + βamb。body 用 Freedman–Bernstein（对手须在隐藏的 Bernoulli 硬币抽出前提交）；ambiguity 用精确二项抽样与 Kamb。推导在附录 E.2。主工作点 p = 0.1 时，(Gextra, βextra) 为 RoBERTa (5.48, 0.05)、GPT-2 (9.50, 0.05)、CIFAR-10 (2.51, 0.05)（Table 7）。
• 通信与流水：GPU 只向 TEE 发送裁剪并平均后的梯度，TEE 回传短随机种子。验证可与训练重叠；一次运行要等训练期间产生的全部验证任务成功结束才算完成。当 p Titer-veri / n ≤ Titer 时，验证工作可大部分藏在主训练之后；否则积压，稳态下总时间约为训练时间与 pT Titer-veri / n 的较大者。

实验设置

• 模型与数据：5-layer MLP（Purchase）、WideResNet（CIFAR-10）、GPT-2-medium（E2E、WebNLG）、RoBERTa-large（QQP、MNLI）。微调使用 LoRA。隐私预算在效用主图中为 ε = 2.0；MIA 另有 ε = 4.0。
• 攻击与基线：Current、Nearest、Final 三种 checkpoint-steering；放置取作者给出的最强日程。对照为诚实 DP 与非私有训练。M 在第 5.2 节取 {40, 50, 60}，更宽范围在 Section 8，正文未给出那些数值。
• 指标：Purchase、CIFAR-10、QQP 用 accuracy；MNLI 用 matched/mismatched 平均 accuracy；E2E、WebNLG 用 BLEU。Figure 1 注明每个柱在验证集上单独选解码配置，同一面板内各柱不共享同一配置。另两个打分器的其余指标在附录 C。
• MIA：IMIA 的主指标为 [email protected]% FPR，SHAPOOL 为 AUC。Table 9：模仿/影子模型数均为 10；IMIA 的 imitative-out 共 100 epoch（warm-up 80、imitation 20）、pivot 微调 20 epoch、batch 256、学习率 0.1、每类 pivot 样本 100；SHAPOOL 影子预训练 100 epoch、batch 128、学习率 0.1，微调 3 epoch、batch 64、学习率 0.1，专家数 5，MoE ratio 0.5。配置细节在附录 G。
• 效率：相对标准 GPU DP 训练的开销，以及全程 CPU TEE 训练。主工作点验证概率 p = 0.1。论文未在所附正文中给出每次开销的重复次数。
• 数值校准：校准轨迹与转向攻击（Section 5.2）和开销实验（Section 8）的设置不完全相同，差异包括 weight-decay 分组、GPU 侧软件栈、运行长度和记录数值数据时的 audit law（附录 E、Table 7 注）。

主结果

Figure 1（ε = 2.0）每个 M 报告三种攻击中的最好结果。正文给出的读数如下（DP 为诚实 DP；Non-private 为非私有）。

表格较宽，可左右滑动

任务	DP	M=40	M=50	M=60	Non-private
Purchase accuracy	71.91	73.36	74.23	74.32	90.30
CIFAR-10 accuracy	53.48	53.68	53.24	53.27	90.38
QQP accuracy	85.18	85.35	85.56	85.39	90.79
MNLI accuracy	85.61	85.87	85.89	85.79	90.39
WebNLG BLEU	38.53	39.20	39.33	39.51	49.39
E2E BLEU	61.44	62.30	62.21	62.22	66.77

表中数字来自 Figure 1 的柱旁标注；CIFAR-10 的 Non-private 标注为 90.38，与正文另写的 92.38 不一致时以图中成组标注为准，92.38 出现在图注文字区，条件论文未逐项对应。QQP 图中还有 85.39 与 85.56 附近的另一组 85.35。MNLI 另有 85.61 与 85.79。E2E 另有 62.30、62.21、62.22 与 61.44。

• 作者解读：M = 50 时，除 Purchase 外各任务相对诚实 DP 的提升不到 1 个点；Purchase 增益约 2.3 个点。CIFAR-10 三个预算的 accuracy 变化为 +0.20、−0.24、−0.21 个点。作者因此把 M = 50 设为稀疏–稠密阈值，并称所评策略都没有在这一区间实质缩小诚实 DP 与非私有训练的效用差距。
• 作者不声称：Current、Nearest、Final 穷尽所有能提高效用的攻击。M = 50 是该攻击族中最强攻击支持的经验工作点。
• 效率：作者称 LLM 导向任务上，框架相对标准 GPU DP 训练的开销为 4.4%–14.9%；全程 CPU TEE 为 8.0×–9.2×。CIFAR-10 上全程 CPU TEE 约为 20×。作者称这接近 “free lunch”。逐任务的 4.4% 与 14.9% 分别对应哪一数据集，所附正文未逐项列出。

成员推断

• 测了什么：Purchase 与 CIFAR-10 上，ε ∈ {2.0, 4.0}，M ∈ {40, 50, 60}，三种攻击，对比诚实 DP 与非私有模型。指标为 IMIA 的 [email protected]% FPR 与 SHAPOOL 的 AUC（Table 1）。
• 结果：SHAPOOL 的 AUC 与对应诚实 DP 相同或相差不超过 0.01。Purchase、ε = 2.0：非私有 IMIA 0.43、SHAPOOL 0.62；诚实 DP 的 IMIA 三种攻击列均为 0.12，SHAPOOL 均为 0.52；M = 50 的 IMIA 为 Current 0.09、Nearest 0.07、Final 0.08。CIFAR-10、ε = 2.0：非私有 IMIA 1.14、SHAPOOL 0.62；诚实 DP 的 IMIA 均为 0.09，SHAPOOL 均为 0.51；M = 50 的 IMIA 为 0.13、0.12、0.08。ε = 4.0 的 SHAPOOL 在 Purchase 仍为 0.52，CIFAR-10 诚实 DP 为 0.50，M = 50 的 Final 为 0.51。
• 作者解读：对所评效用导向稀疏偏离（M ≤ 60），没有超出诚实 DP 基线波动的可测额外成员泄漏。增大 ε 或 M 并不一致地提高测得泄漏。作者认为 DP 训练与 MIA 评估本身的随机波动可以与稀疏偏离的额外效应相当，甚至更大。这些结果不排除专门最大化隐私泄漏的稀疏攻击。

隐私放大与数值容差

• 定理 5.1：T 步、数据规模 N，攻击者在 M 步提交范数至多 C 的任意数据相关向量，TEE 仍加规定的高斯噪声。在小采样率高斯会计近似下，若原过程为 (ε, δ)-DP，则结果约为 (ε′, δ)-DP，ε′/ε ≈ sqrt(1 + (M/T)(4N² − 1))。作者称当恶意项占主导时，放大因子约为 2N sqrt(M/T)，实际设置中可达数百，但这对应把敏感度推到 2C 并反复打向同一用户，与效用导向威胁不同。若操纵梯度对每用户敏感度至多 2C/κ，则 ε′/ε ≈ sqrt(1 + (M/T)(4N²/κ² − 1))；κ 与 N 同阶且 M/T 很小时，膨胀可接近 1。作者称该计算是说明性的。
• 完全偏离与容差：作者称对本构造，攻击预算 M 与 Section 7.1 的完全偏离计数 Mfull 一致，除非诚实聚合几乎等于伪造聚合。伪造聚合在裁剪球边界上，被攻击步落入容差区仅当 ∥gh∥2 ≥ (1 − ρamb)C ≈ 0.99C。作者测得的最大诚实裁剪平均为 GPT-2 任务上 0.65C、RoBERTa 任务上 0.38C，因此把被攻击步当作完全偏离，且没有对每一步对照可信参考再验证。
• 安全预算：p = 0.1 时 (Gextra, βextra) 为 RoBERTa (5.48, 0.05)、GPT-2 (9.50, 0.05)、CIFAR-10 (2.51, 0.05)（Table 7）。检测保证来自 1 − (1 − p)^Mfull（Section 7.1）。诚实误中止 qFA 的 in-sample 检查与一次 held-out 估计列在 Table 7，所附正文未给出具体 qFA 数值。

其他消融与分析

• 验证概率的主工作点为 p = 0.1；正文未给出其他 p 的端到端开销表。
• 通信只传裁剪后的平均梯度 SG，TEE 回传短种子；未报告字节数。
• 校准与开销实验的 weight-decay 分组、软件栈和运行长度不同（附录 E）。
• CIFAR-10 不用 FP64 层，硬阈值 ρill = 2τabs（Table 7）。
• 作者未跑均匀随机的攻击步放置，Figure 1 的数字应读作攻击者的最佳放置。
• 脚注称梯度裁剪也常用于非 DP 训练以缓解梯度爆炸，本文不把它单独作实验变量。

作者指出的局限与后续方向

• 阈值不穷尽攻击：作者在 Section 5.1–5.2 写明，M = 50 是所评 Current、Nearest、Final 攻击族的经验工作点，不声称每种可能的稀疏攻击都无效，也不穷尽所有效用导向或隐私导向攻击。协议层分析（Section 6 与 7.1）独立于该攻击族陈述。
• 理论放大与实测泄漏不同：作者在定理 5.1 后写明，最坏情况可反复暴露同一目标用户，而所评攻击使用宽的训练信号；MIA 结果不排除专门最大化隐私泄漏的稀疏攻击。
• 校准绑定硬件软件对：作者在 Section 6.3 写明，验证器针对具体 GPU–TEE 数值环境校准。更换 GPU 族或可信参考栈需要重校准；GPU 侧训练栈变化需要再验证，若诚实差异谱超出已校准包络则触发重校准。
• 校准轨迹与主实验不完全相同：作者在 Section 6.3 与附录 E 写明，校准轨迹在 weight-decay 分组、GPU 侧软件栈、运行长度以及记录数值时的 audit law 上，与转向攻击实验和开销实验不同，并记录了每项差异的影响。
• 攻击放置不是平均：作者在 Section 5.2.1 写明没有跑均匀随机对照，因此效用数字应读作攻击者的最佳放置，而不是放置上的平均。
• 被攻击步未逐条再验证：作者在定理讨论的脚注中写明，把被攻击迭代当作完全偏离，依据是测得的诚实裁剪平均（GPT-2 任务 0.65C，RoBERTa 任务 0.38C）低于约 0.99C 的容差边界，而没有对每一步对照可信参考再验证。

实验覆盖范围

• 效用任务：Purchase 上 MLP、CIFAR-10 上 WideResNet、QQP 与 MNLI 上 RoBERTa-large、E2E 与 WebNLG 上 GPT-2-medium；Figure 1 的 ε = 2.0，M ∈ {40, 50, 60}，每格取三种攻击的最好结果。
• MIA：仅 Purchase 与 CIFAR-10，ε ∈ {2.0, 4.0}，M ∈ {40, 50, 60}，IMIA 与 SHAPOOL（Table 1、附录 G、Table 9）。LLM 任务的成员推断论文未报告。
• 效率：作者报告 LLM 负载相对标准 GPU DP 为 4.4%–14.9%，全程 CPU TEE 为 8.0×–9.2×，CIFAR-10 上全程 CPU TEE 约为 20×（Introduction 与 Section 4，细节指向 Section 8）。逐任务开销分解在所附正文中未逐项给出。
• 验证参数：主工作点 p = 0.1 的 (Gextra, βextra) 按 RoBERTa、GPT-2、CIFAR-10 三组报告（Table 7）。qFA 的具体数值在所附正文中未给出，只说明 in-sample 检查与一次 held-out 估计列于 Table 7。
• 更多 M：作者称更宽的 M 范围在 Section 8，所附正文未给出那些效用数字。均匀随机攻击日程论文写明未运行。

TEE-Certified DP 用已部署的 CPU TEE 监视不可信旧 GPU 上的 DP-SGD，使监管方能在不看训练数据的情况下检查声明的隐私机制是否被执行。

• 问题：DP 噪声降低效用，trainer 有动机少加噪仍声称合规。ZKP 在 0.01B 参数上开销可超过 1000×；全程 CPU TEE 在所评 LLM 负载上为 8.0×–9.2×，CIFAR-10 上约 20×。新 GPU TEE 并未覆盖 V100、A100、RTX 4090 以及作者认为 I/O 开销大的 Hopper。
• 方法：GPU 计算、裁剪并聚合逐样本梯度；TEE 保存随机性与优化器状态、生成高斯噪声，并以概率 p 重算。每步先拒绝范数超过 C(1+10^{-4}) 的提交。抽中的步按 FP32 距离进入 body 账本、FP64 歧义计数或硬拒绝。累积归一化偏差有高概率上界 Gextra。
• 效用：ε = 2.0、M = 50 时，Figure 1 中除 Purchase 约 2.3 个点外，各任务相对诚实 DP 的提升不到 1 个点；CIFAR-10 三个预算在 ±0.24 个点内，且方向不一致。非私有模型仍明显更高，例如 Purchase 90.30 对 DP 71.91。作者把 M = 50 当作该攻击族的经验阈值，对应 LLM 步数的 0.33%–0.89%。
• 隐私与开销：Table 1 中 SHAPOOL AUC 与诚实 DP 相同或差 0.01 以内；IMIA 远低于非私有（Purchase 非私有 0.43，DP 约 0.08–0.14）。作者称 LLM 任务开销为标准 GPU DP 的 4.4%–14.9%。p = 0.1 时容差预算 (Gextra, βextra) 为 RoBERTa (5.48, 0.05)、GPT-2 (9.50, 0.05)、CIFAR-10 (2.51, 0.05)。
• 作者的结论：频繁的完全偏离以高概率被检出；对所评伪造梯度攻击，稀疏偏离的效用收益有限且没有可测的额外成员泄漏。作者同时写明这不是对任意稀疏攻击的普遍保证，且容差参数绑定具体的 GPU–TEE 对。