[논문 리뷰] Zero-Knowledge Federated Learning with Lattice-Based Hybrid Encryption for Quantum-Resilient Medical AI

Édouard Lansiaux|arXiv (Cornell University)|2026. 03. 03.

Privacy-Preserving Technologies in Data인용 수 0

한 줄 요약

논문은 ML-KEM, 격자 기반 무지성 증명, BFV 동형암호를 결합한 3단계 포스트 양자 연합학습 프로토콜 ZKFL-PQ를 제시합니다. 이는 의료 AI를 위한 Byzantine-내결함성, 프라이버시 보장, 양자 저항의 FL을 가능하게 합니다.

ABSTRACT

Federated Learning (FL) enables collaborative training of medical AI models across hospitals without centralizing patient data. However, the exchange of model updates exposes critical vulnerabilities: gradient inversion attacks can reconstruct patient information, Byzantine clients can poison the global model, and the \emph{Harvest Now, Decrypt Later} (HNDL) threat renders today's encrypted traffic vulnerable to future quantum adversaries.We introduce extbf{ZKFL-PQ} (\emph{Zero-Knowledge Federated Learning, Post-Quantum}), a three-tiered cryptographic protocol that hybridizes (i) ML-KEM (FIPS~203) for quantum-resistant key encapsulation, (ii) lattice-based Zero-Knowledge Proofs for verifiable \emph{norm-constrained} gradient integrity, and (iii) BFV homomorphic encryption for privacy-preserving aggregation. We formalize the security model and prove correctness and zero-knowledge properties under the Module-LWE, Ring-LWE, and SIS assumptions \emph{in the classical random oracle model}. We evaluate ZKFL-PQ on synthetic medical imaging data across 5 federated clients over 10 training rounds. Our protocol achieves extbf{100\% rejection of norm-violating updates} while maintaining model accuracy at 100\%, compared to a catastrophic drop to 23\% under standard FL. The computational overhead (factor $\sim$20$ imes$) is analyzed and shown to be compatible with clinical research workflows operating on daily or weekly training cycles. We emphasize that the current defense guarantees rejection of large-norm malicious updates; robustness against subtle low-norm or directional poisoning remains future work.

연구 동기 및 목표

• GDPR/HIPAA 제약 하에 의료 AI를 위한 연합학습의 프라이버시 및 보안을 해결합니다.
• FL에서 양자 저항 채널, 검증 가능한 그래디언트 무결성, 프라이버시 보전 집계를 제공합니다.
• 격자 가정 하에서 입증 가능한 보안 보장을 제공하며 HNDL 공격 및 Byzantine 결함으로 인한 교착 상태 가능성을 다룹니다.

제안 방법

• 하이브리드 3-layer 프로토콜: Layer 1은 양자 저항 키 캡슐화에 ML-KEM-768을 사용합니다.
• Layer 2는 업데이트를 노출하지 않고 그래디언트 노름 한계를 검증하기 위한 격자 기반 무지성 증명을 사용합니다.
• Layer 3은 서버 측 안전한 집계를 가능하게 BFV 동형암호화를 적용합니다.

Figure 1 : Test accuracy over 10 FL rounds. The malicious client activates at round 4. Standard FL and FL+ML-KEM collapse; ZKFL-PQ maintains perfect accuracy by rejecting Byzantine updates.

실험 결과

연구 질문

• RQ1 ZKFL-PQ가 FL 트래픽 및 업데이트에 대해 포스트 양자 기밀성을 달성할 수 있는가?
• RQ2 프로토콜이 Byzantine 그래디언트 업데이트를 탐지하고 업데이트를 거부하면서 모델 정확도를 보존할 수 있는가?
• RQ3 그래디언트 집계가 개인 업데이트를 누설하지 않고 동형 암호화를 통해 비공개로 수행되는가?
• RQ4 부분 HE 커버리지로 현실적인 FL 라운드를 수행할 때 계산 오버헤드와 실용적 런타임은 어떠한가?

주요 결과

• ZKFL-PQ는 실험에서 노름 위반 업데이트를 100% 정확도로 거부한다.
• 표준 FL 및 ML-KEM이 Byzantine 공격에서 재앙적 정확도 손실을 겪으며 최종 정확도가 23%로 떨어진다.
• ZKFL-PQ는 Byzantine 업데이트를 거부할 때 최종 정확도가 100%를 유지하고 손실을 감소시킨다.
• 라운드당 계산 오버헤드는 약 2.91초로, 기준선 0.149초의 약 20배이다.
• 지배적인 비용은 로컬 학습과 ML-KEM에서 나오고 HE 암호화가 뒤따른다; ZKP 비용은 무시할 만하다.
• 이 설정에서 HE로 암호화된 파라미터는 108,996개 중 512개뿐으로 메시지 크기와 오버헤드를 제한한다.

Figure 2 : Training loss (log scale). ZKFL-PQ continues converging while other protocols diverge.