[論文レビュー] Zero-Knowledge Federated Learning with Lattice-Based Hybrid Encryption for Quantum-Resilient Medical AI

Édouard Lansiaux|arXiv (Cornell University)|Mar 3, 2026

Privacy-Preserving Technologies in Data被引用数 0

ひとこと要約

論文は ZKFL-PQ を提示する。機械学習型 KEM、格子ベースの零知識証明、BFV 同型暗号を組み合わせた三層の後量子耐性 federated learning プロトコルで、医療用 AI のためのビザンチン耐性・プライバシー保護・量子耐性 FL を実現する。

ABSTRACT

Federated Learning (FL) enables collaborative training of medical AI models across hospitals without centralizing patient data. However, the exchange of model updates exposes critical vulnerabilities: gradient inversion attacks can reconstruct patient information, Byzantine clients can poison the global model, and the \emph{Harvest Now, Decrypt Later} (HNDL) threat renders today's encrypted traffic vulnerable to future quantum adversaries.We introduce extbf{ZKFL-PQ} (\emph{Zero-Knowledge Federated Learning, Post-Quantum}), a three-tiered cryptographic protocol that hybridizes (i) ML-KEM (FIPS~203) for quantum-resistant key encapsulation, (ii) lattice-based Zero-Knowledge Proofs for verifiable \emph{norm-constrained} gradient integrity, and (iii) BFV homomorphic encryption for privacy-preserving aggregation. We formalize the security model and prove correctness and zero-knowledge properties under the Module-LWE, Ring-LWE, and SIS assumptions \emph{in the classical random oracle model}. We evaluate ZKFL-PQ on synthetic medical imaging data across 5 federated clients over 10 training rounds. Our protocol achieves extbf{100\% rejection of norm-violating updates} while maintaining model accuracy at 100\%, compared to a catastrophic drop to 23\% under standard FL. The computational overhead (factor $\sim$20$ imes$) is analyzed and shown to be compatible with clinical research workflows operating on daily or weekly training cycles. We emphasize that the current defense guarantees rejection of large-norm malicious updates; robustness against subtle low-norm or directional poisoning remains future work.

研究の動機と目的

• GDPR/HIPAA 制約下で医療用 AI の連合学習におけるプライバシーとセキュリティを確保する。
• FL における量子耐性チャネル、検証可能な勾配整合性、プライバシー保護付き集約を提供する。
• HNDL 攻撃とビザイティンの故障によるデッドロックの潜在性を、格子仮定の下で証明可能なセキュリティ保証とともに扱う。

提案手法

• ハイブリッド三層プロトコル： Layer 1 は量子耐性鍵封筒化のために ML-KEM-768 を使用。
• Layer 2 は格子ベースの零知識証明を用いて、更新を開示せずに勾配ノルムの境界を検証する。
• Layer 3 は BFV 同型暗号を適用して、暗号化された勾配のサーバー側安全集約を実現する。

Figure 1 : Test accuracy over 10 FL rounds. The malicious client activates at round 4. Standard FL and FL+ML-KEM collapse; ZKFL-PQ maintains perfect accuracy by rejecting Byzantine updates.

実験結果

リサーチクエスチョン

• RQ1 ZKFL-PQ は FL トラフィックと更新のポスト量子機密性を達成できるか？
• RQ2 プロトコルはビザイティン勾配更新を検出・拒否しつつモデル精度を保てるか？
• RQ3 勾配の集約は同型暗号化を介して個別更新を漏らさずに privately 行えるか？
• RQ4 実際の FL ラウンドで部分 HE カバレッジを伴う場合の計算オーバーヘッドと実用的な実行時間はいくらになるか？

主な発見

指標	標準 FL	FL + ML-KEM	ZKFL-PQ（本研究）	平均ラウンド時間（秒）	最終精度（%）	最終損失	1 ラウンドあたりの平均メッセージサイズ（KB/ラウンド）	ビザイタン検出率	量子耐性	勾配プライバシー（サーバー対）
Mean round time (s)	0.149	2.376	2.912
Final accuracy (%)	23.0	23.5	100.0
Final loss	15.37	21.14	0.006
Mean message size (KB/round)	4,258	4,298	991
Byzantine detection rate	0%	0%	100%
Quantum resistance	✗	✓	✓
Gradient privacy (vs. server)	✗	✗	✓

• ZKFL-PQ は勾配ノルム違反の更新を実験で 100% の精度で拒否する。
• 標準 FL および ML-KEM を用いた FL はビザイタン攻撃下で壊滅的な精度低下を被り、最終精度が 23% に低下する。
• ZKFL-PQ はビザイタン更新が拒否された場合に最終精度を 100% に維持し、損失を低下させる。
• 1 ラウンドあたりの計算オーバーヘッドは約 2.91 秒で、基準 0.149 秒の約 20 倍。
• 支配的なコストはローカル学習と ML-KEM にあり、HE 暗号化が続く；ZKP のコストはごくわずか。
• この設定では 108,996 個のパラメータのうち 512 のみが HE 暗号化され、メッセージサイズとオーバーヘッドを制限している。

Figure 2 : Training loss (log scale). ZKFL-PQ continues converging while other protocols diverge.