🤝 多方安全计算 (MPC)

🎯 核心思想

多方安全计算（Secure Multi-Party Computation, MPC / SMPC）是密码学的一个子领域，目标是在多方各自持有私有数据的情况下，协同计算一个公共函数的输出，同时确保任何一方都无法获知他人的输入。

与传统的加密通信不同，传统密码学保护的是"传输中的数据"（防止窃听者），而 MPC 保护的是"计算中的数据"——防止参与者之间互相窥探。

两个核心保证

理想世界 vs 现实世界

MPC 安全性基于Real/Ideal 世界范式：

这给了我们一个强大的抽象：如果你的应用在理想世界是安全的，那用安全 MPC 替换掉理想第三方后，应用依然安全。

💰 百万富翁问题 (Yao's Millionaires' Problem)

1982 年，姚期智（Andrew Yao）提出了这个经典问题，开启了安全多方计算的整个领域：

数学上就是安全计算比较函数 F(x, y) = x > y，其中 x 是 Alice 的财富，y 是 Bob 的财富。

简化版方案：用随机掩码实现比较

Yao 在 1986 年将此推广到了任意函数的安全两方计算——这就是著名的混淆电路（Garbled Circuit）协议。随后 Goldreich、Micali、Wigderson 将其推广到多方情况（GMW 范式）。

🧩 秘密共享 (Secret Sharing)

秘密共享是大多数 MPC 协议的基石。核心思想：把一个秘密拆成 N 份"碎片"，任意 t 份可以重建，少于 t 份则毫无信息。

Shamir 秘密共享

由 Adi Shamir 于 1979 年提出，基于多项式插值。一个 (t, n) 门限方案：

• 选择一个 t-1 次多项式 f(x) = a₀ + a₁x + a₂x² + ... + aₜ₋₁xᵗ⁻¹，其中 a₀ = secret
• 第 i 方得到 f(i) 作为份额
• 任意 t 份可插值恢复 f(0) = secret，t-1 份则完全随机

加法秘密共享 (Additive Secret Sharing)

更简单但在 MPC 中同样广泛使用：

• 秘密 s 拆成 N 份 r₁, r₂, ..., rₙ，满足 r₁ + r₂ + ... + rₙ = s (mod p)
• 前 N-1 份随机生成，第 N 份 = s - (r₁ + ... + rₙ₋₁)
• 需要全部 N 份才能重建——门限就是 N
• 优势：可以容忍 N-1 方被腐败（t < n），信息论安全
• SPDZ 协议族使用的就是加法秘密共享

两种方案对比

⚡ 混淆电路 (Garbled Circuit)

Yao 在 1986 年提出，是安全两方计算 (2PC) 的核心技术。核心思想：把计算函数表示为布尔电路，然后"加密"每个逻辑门，使得求值方只能得到输出而不能推断输入。

工作原理

AND 门混淆示例

原始真值表:                    混淆后的真值表:
  A  B | Out                    A         B       | Enc(Out)
 ────────────                  ─────────────────────────────────
  0  0 |  0                    lbl_A₀  lbl_B₀   | Enc(lbl_Out₀)
  0  1 |  0                    lbl_A₀  lbl_B₁   | Enc(lbl_Out₀)
  1  0 |  0                    lbl_A₁  lbl_B₀   | Enc(lbl_Out₀)
  1  1 |  1                    lbl_A₁  lbl_B₁   | Enc(lbl_Out₁)

# lbl_X₀ = 随机字符串, 代表线 X 取值 0
# lbl_X₁ = 随机字符串, 代表线 X 取值 1
# Evaluator 只有正确的标签才能解密对应行
# 无法从标签推断对应的是 0 还是 1

不经意传输 (Oblivious Transfer, OT)

混淆电路的关键辅助协议。Sender 有两个值 m₀、m₁，Receiver 选择 b ∈ {0,1}：

• Receiver 只得到 m_b，不知道 m_{1-b}
• Sender 不知道 Receiver 选了哪个

OT 被证明是2PC 的完备原语——任何安全两方计算都可以用 OT 来实现。

关键优化技术

🛡️ 安全模型

MPC 协议的安全性取决于敌手模型。不同的敌手能力对应不同级别的安全保证。

敌手行为分类

腐败方数量与安全

📋 协议家族全景

MPC 协议按底层技术分为三大类，再按安全模型和计算域进一步细分。

三大技术路线

MP-SPDZ 框架协议矩阵

MP-SPDZ 是目前最全面的 MPC 基准测试框架，由 Data61 (CSIRO) 的 Marcel Keller 开发，支持以下所有协议变体：

Beaver 三元组：乘法的魔法

在秘密共享方案中，加法是"免费的"（本地执行），但乘法需要通信。Beaver 三元组是乘法的预处理技巧：

# 预处理阶段（离线完成，与实际输入无关）
# 生成三元组 (a, b, c) 其中 c = a * b，各方持有份额

# 在线阶段：计算 [x] * [y]
# 1. 各方公开 d = x - a 和 e = y - b
# 2. z = c + d*b + e*a + d*e  （仅用加法和公开值）
# 3. [z] = [x*y]  — 只用了一轮通信！

# 关键：三元组在离线阶段预生成，在线阶段乘法变成一轮通信
# SPDZ 协议的核心：用同态加密在离线阶段高效生成 Beaver 三元组

🤖 MPC 在 AI 中的应用

MPC 不是学术玩具——它在 AI/ML 领域有大量实际应用场景，核心诉求是"计算可见，数据不可见"。

四大应用场景

MPC 推理神经网络：性能参考

以下数据来自 TF Encrypted 的 ABY3 三方协议基准测试（LAN 40Gbps, RTT 0.02ms；WAN 352Mbps, RTT 40ms）：

数据来源：tf-encrypted GitHub 仓库基准测试。ResNet50 在 LAN 下 19 秒是已知最快的三方安全推理实现之一。

MPC 训练 MNIST：性能参考

数据来源：TF Encrypted vs MP-SPDZ 对比基准测试。模型 C 在 WAN 下每批 65-195 秒，说明 MPC 训练大规模网络仍有显著开销。

🏫 联邦学习中的 MPC

联邦学习 (Federated Learning) 让多方在不共享原始数据的情况下协同训练模型。但标准联邦学习有一个关键弱点：梯度更新可能泄露训练数据信息（梯度反转攻击）。

MPC 如何加固联邦学习

安全聚合 (Secure Aggregation)

最简单也最实用的 MPC+FL 组合：各方用秘密共享将梯度发给聚合服务器，服务器只能看到聚合结果，看不到任何单方梯度。

# 简化的安全聚合协议
# N 个客户端 C₁, C₂, ..., Cₙ 各有梯度 gᵢ
# 目标：服务器只学到 Σgᵢ，不知道任何 gᵢ

# Step 1: 每个客户端 Cᵢ 生成随机掩码
for each pair (i, j), i < j:
    seed_ij = PRG(seed_ij)  # 预共享的随机种子
    C_i adds +seed_ij to g_i
    C_j adds -seed_ij to g_j
    # 掩码在聚合时相互抵消

# Step 2: 各方发送被掩码的梯度
C_i → Server: g_i + Σ_j mask_ij

# Step 3: 服务器聚合
result = Σᵢ (g_i + masks) = Σᵢ g_i  # 掩码全部抵消！

# 关键：即使服务器与 t < n/2 方合谋，
# 也无法推断诚实方的梯度（被随机掩码保护）

MPC vs 同态加密 vs 差分隐私：联邦学习的三种隐私保护

🤝 多 Agent 协作中的 MPC

随着 AI Agent 系统越来越复杂，多 Agent 协作涉及敏感信息交互。MPC 为 Agent 之间的隐私协作提供了密码学基础。

关键场景

MPC 在 Agent 架构中的位置

┌─────────────────────────────────────────────────┐
│                 Agent 协作层                      │
│  ┌─────────┐  MPC 安全通道  ┌─────────┐         │
│  │ Agent A │◄──────────────►│ Agent B │         │
│  │ (数据方) │   秘密共享      │ (模型方) │         │
│  └────┬────┘   Beaver 三元组 └────┬────┘         │
│       │                          │               │
│       ▼                          ▼               │
│  ┌─────────────────────────────────────┐        │
│  │         MPC 计算引擎                  │        │
│  │  · 安全推理 (Garbled Circuit / SS)   │        │
│  │  · 安全聚合 (Secret Sharing)          │        │
│  │  · 阈值签名 (t-of-n)                 │        │
│  └─────────────────────────────────────┘        │
│       │                          │               │
│       ▼                          ▼               │
│  ┌─────────┐              ┌─────────┐           │
│  │ 工具调用 │              │ 工具调用 │           │
│  │ (需授权) │              │ (需授权) │           │
│  └─────────┘              └─────────┘           │
└─────────────────────────────────────────────────┘

🛠️ MPC 工具库 & 框架

MPyC 入门示例：百万富翁问题

# pip install mpyc
# 运行: python millionaire.py

from mpyc.runtime import mpc

mpc.run(mpc.start())  # 启动 MPC 运行时

# 各方的秘密输入（只有自己知道）
my_wealth = mpc.input(mpc.SecInt()(42))  # Alice 输入 42

# 安全比较：x > y
result = mpc.run(mpc.output(my_wealth > other_wealth))

print(f"我更富有吗? {result}")
mpc.run(mpc.shutdown())

# 运行方式（模拟 3 方）:
# python millionaire.py -M3 -I0 &  # Party 0
# python millionaire.py -M3 -I1 &  # Party 1
# python millionaire.py -M3 -I2    # Party 2

CrypTen 入门示例：加密推理

# pip install crypten
import torch
import crypten

crypten.init()

# 加载预训练模型
model = torch.load("model.pth")
private_model = crypten.load_from_party("model.pth", src=0)

# 加密输入数据
x = torch.tensor([1.0, 2.0, 3.0])
x_enc = crypten.cryptensor(x)  # 加密

# 加密推理——全程不暴露数据和模型
with torch.no_grad():
    output_enc = private_model(x_enc)

# 解密输出（需要各方同意）
output = output_enc.get_plain_text()
print(f"推理结果: {output}")

🌍 真实案例

📊 MPC vs 其他隐私计算技术

何时选择 MPC？

📐 数学直觉

为什么秘密共享是安全的？

信息论安全：少于门限 t 份份额在数学上等价于随机数。对于 Shamir 的 (t, n) 方案：

• 多项式 f(x) = a₀ + a₁x + ... + aₜ₋₁xᵗ⁻¹
• 知道 t-1 个点 (x₁,f(x₁)), ..., (xₜ₋₁,f(xₜ₋₁))
• 对于任意 a₀' 值，都存在唯一的 a₁',...,aₜ₋₁' 使得多项式通过这 t-1 个点
• 因此 t-1 份份额不给任何信息——每个可能的秘密值等概率

乘法的通信必要性

加法可以本地执行：[x+y] = [x] + [y]（份额相加即可）。
但乘法不行：[x·y] ≠ [x]·[y]（份额相乘会泄露交叉项信息）。

# 加法秘密共享下的乘法问题
# x = x₁ + x₂ + x₃  (mod p)
# y = y₁ + y₂ + y₃  (mod p)
#
# x · y = (x₁ + x₂ + x₃)(y₁ + y₂ + y₃)
#       = x₁y₁ + x₁y₂ + x₁y₃ + x₂y₁ + x₂y₂ + x₂y₃ + x₃y₁ + x₃y₂ + x₃y₃
#
# 本地只能算 xᵢyᵢ，交叉项 xᵢyⱼ (i≠j) 需要通信
# Beaver 三元组的魔法：预生成 (a,b,c=a·b) 的共享，
# 将在线乘法降为一轮通信 + 本地加法

SPDZ 的 MAC 检查：抵抗恶意敌手

在加法秘密共享中，恶意敌手可以篡改自己的份额。SPDZ 的解决方案：

• 除了秘密 s 的份额 [s]，还持有全局密钥 α 的份额 [α] 和 MAC 份额 [α·s]
• 计算结束后，公开 [α] 和 [α·s - α·output]，验证是否为 0
• 如果敌手篡改了任何份额，MAC 检查以压倒性概率失败
• 安全归约到 SZK（Simultaneous Zero-Knowledge）论证

🚀 性能优化策略

MPC 的性能瓶颈主要在通信。以下是实际项目中的优化策略：

✅ MPC 实操清单

从零到生产，MPC 项目需要考虑什么？

🟢 选择阶段

• ✅ 确定参与方数量和信任关系（2 方? N 方? 诚实多数?）
• ✅ 确定安全模型需求（半诚实? 恶意? 隐蔽?）
• ✅ 确定计算类型（推理? 训练? 聚合? 投票?）
• ✅ 评估网络条件（LAN? WAN? 带宽? 延迟?）
• ✅ 对比 MPC vs HE vs TEE vs DP——选最合适的，不是最酷的

🟡 原型阶段

• ✅ 用 MPyC 快速验证功能正确性（纯 Python，低门槛）
• ✅ 定义计算函数，用半诚实协议跑通端到端流程
• ✅ 测量通信量和计算时间，评估是否满足延迟需求
• ✅ 如果 MPC 太慢，考虑：换安全模型？混合电路？预处理？

🔴 生产阶段

• ✅ 升级到恶意安全协议（如果需要）——用 MP-SPDZ 或 SecretFlow
• ✅ 部署密钥管理和份额分发基础设施
• ✅ 实现容错：参与方掉线怎么办？（Proactive Secret Sharing）
• ✅ 安全审计：协议实现是否有侧信道？随机数质量？
• ✅ 合规检查：GDPR 数据处理者条款、中国数据安全法
• ✅ 性能基准测试：在线阶段延迟、吞吐量、通信量

📜 发展历程

🔗 交叉链接