MPC 应用：私有集合求交与机器学习

MPC 将理论转化为实践。私有集合求交（PSI）和隐私保护机器学习是当今业界部署最广泛的两类 MPC 应用。

PSI：Alice 持有集合 A，Bob 持有集合 B。他们可以计算 A∩B，而不会获知 A\B 或 B\A 中的元素。该技术用于 Google/Apple 的接触者追踪、广告欺诈检测和威胁情报共享。

如果集合较小，直接对两个集合进行哈希并比较并不安全——攻击者可以尝试所有元素。安全的 PSI 必须隐藏交集的大小（或者只公开交集）。

不经意 PRF（OPRF）：Bob 在不了解 Alice 的元素的情况下，对这些元素计算 PRF。Alice 会获得每个 x∈A 对应的 PRF(k, x)，并将其与 Bob 为 y∈B 预先计算的 PRF(k, y) 进行比较。

电路 PSI 在 MPC 电路内部计算交集，从而可以对交集元素执行进一步计算（例如对购买金额求和），而不会泄露哪些项目发生了交集。

PPML 使用来自多个参与方的数据进行训练或推理。联邦学习将数据保留在本地；MPC 更进一步——即使模型或聚合后的梯度也会被秘密共享。

Google 在 2017 年提出的安全聚合协议：每个 client 对其梯度更新进行秘密共享。服务器只重构 the 总和。即使服务器也无法看到任何单独的更新。

CrypTen（Facebook/Meta）和 MOTION 支持在秘密共享的输入上运行 PyTorch 风格的神经网络。线性层的成本较低；非线性运算（ReLU）需要进行布尔到算术的转换。

ReLU(x) = max(0,x) 需要将 x 与 0 进行比较——这是一种非线性、非算术运算。该运算通过混淆电路或位分解完成，是 PPML 中的主要成本。

Apple 的 Private Relay 使用 PSI。Meta 使用 MPC 进行私密广告测量。IETF 的 PRIO 协议（用于 Firefox Telemetry）使用秘密共享的聚合统计数据。

在基于 OPRF 的 PSI 中，哪一方持有 PRF key，另一方能了解到什么？

PSI 让参与方能够通过 OPRF 私密地计算集合交集。电路 PSI 支持对交集数据执行进一步计算。PPML 使用 MPC 进行联邦学习聚合，并在加密输入上执行模型推理。ReLU 是 PPML 的主要成本瓶颈。