[论文解读] Zero-Knowledge Federated Learning with Lattice-Based Hybrid Encryption for Quantum-Resilient Medical AI

Édouard Lansiaux|arXiv (Cornell University)|Mar 3, 2026

Privacy-Preserving Technologies in Data被引用 0

一句话总结

本文提出 ZKFL-PQ，这是一个三层的后量子联邦学习协议，结合 ML-KEM、基于格的零知识证明和 BFV 同态加密，以实现对医疗人工智能的对抗性鲁棒、隐私保护、后量子安全的联邦学习。

ABSTRACT

Federated Learning (FL) enables collaborative training of medical AI models across hospitals without centralizing patient data. However, the exchange of model updates exposes critical vulnerabilities: gradient inversion attacks can reconstruct patient information, Byzantine clients can poison the global model, and the \emph{Harvest Now, Decrypt Later} (HNDL) threat renders today's encrypted traffic vulnerable to future quantum adversaries.We introduce extbf{ZKFL-PQ} (\emph{Zero-Knowledge Federated Learning, Post-Quantum}), a three-tiered cryptographic protocol that hybridizes (i) ML-KEM (FIPS~203) for quantum-resistant key encapsulation, (ii) lattice-based Zero-Knowledge Proofs for verifiable \emph{norm-constrained} gradient integrity, and (iii) BFV homomorphic encryption for privacy-preserving aggregation. We formalize the security model and prove correctness and zero-knowledge properties under the Module-LWE, Ring-LWE, and SIS assumptions \emph{in the classical random oracle model}. We evaluate ZKFL-PQ on synthetic medical imaging data across 5 federated clients over 10 training rounds. Our protocol achieves extbf{100\% rejection of norm-violating updates} while maintaining model accuracy at 100\%, compared to a catastrophic drop to 23\% under standard FL. The computational overhead (factor $\sim$20$ imes$) is analyzed and shown to be compatible with clinical research workflows operating on daily or weekly training cycles. We emphasize that the current defense guarantees rejection of large-norm malicious updates; robustness against subtle low-norm or directional poisoning remains future work.

研究动机与目标

• 在 GDPR/HIPAA 约束下解决医疗AI 联邦学习中的隐私与安全问题。
• 为联邦学习提供量子抗性通道、可验证的梯度完整性以及隐私保护聚合。
• 针对 HNDL 攻击和拜占庭故障的僵局潜在性，给出在格假设下可证明的安全保证。

提出的方法

• 三层混合协议：第1层使用 ML-KEM-768 进行量子抗性密钥封装。
• 第2层采用基于格的零知识证明，在不暴露更新的情况下验证梯度范数上界。
• 第3层应用 BFV 同态加密，实现服务器端对加密梯度的安全聚合。

Figure 1 : Test accuracy over 10 FL rounds. The malicious client activates at round 4. Standard FL and FL+ML-KEM collapse; ZKFL-PQ maintains perfect accuracy by rejecting Byzantine updates.

实验结果

研究问题

• RQ1 ZKFL-PQ 是否能实现对FL传输和更新的后量子保密性？
• RQ2 该协议能否在保持模型准确性的前提下检测并拒绝拜占庭梯度更新？
• RQ3 是否通过同态加密对梯度聚合进行私密处理且不泄露单个更新？
• RQ4 在部分 HE 覆盖的现实场景中，单轮计算开销和实际运行时间是多少？

主要发现

• 在实验中，ZKFL-PQ 能以 100% 准确率拒绝范数违规更新。
• 在拜占庭攻击下，标准FL及ML-KEM 的 FL 会导致灾难性准确率下降至最终准确率 23%。
• ZKFL-PQ 在拒绝拜占庭更新时，保持了 100% 的最终准确率并降低了损失。
• 单轮计算开销约为 2.91 秒，为基线 0.149 秒的约 20×。
• 主要成本来自本地训练加上 ML-KEM，其次是 HE 加密；ZKP 成本可以忽略。
• 在此设置中，只有 108,996 个参数中的 512 个被 HE 加密，限制了消息大小和开销。

Figure 2 : Training loss (log scale). ZKFL-PQ continues converging while other protocols diverge.