# Privacy-preserving Computation × AI

CURRENT_STATUS: CURRENT
OBSERVATION: SPEC_ONLY
FRESHNESS: CURRENT
PAGE_TYPE: reference
CANONICAL_URL: /tools/ea-278-privacy-preserving-computation-ai
CLAIM_IDS: none
EVIDENCE_IDS: EA-278-CURRENT-APPROVAL, EA-278-CURRENT-BODY-READBACK
UNKNOWN_IDS: EA-278-UNKNOWN-01
OPS_IDS: none

## Summary
Privacy-preserving computationは一つのcontrolではありません。DP、MPC/FHE、federated/remote computation、TEEは異なる境界を保護します。攻撃者、保護対象、許可output、trust assumption、parameter、verification evidenceを明示し、単一PETから匿名性やend-to-end confidentialityを推定しません。

## Current judgment
Privacy-preserving computationは一つのcontrolではありません。DP、MPC/FHE、federated/remote computation、TEEは異なる境界を保護します。攻撃者、保護対象、許可output、trust assumption、parameter、verification evidenceを明示し、単一PETから匿名性やend-to-end confidentialityを推定しません。

## Scope
Privacy-preserving Computation × AI

## Confirmed

## UNKNOWN
- EA-278-UNKNOWN-01: 組織のthreat model、data classification、法域、要求privacy definition、epsilon/delta/accounting、participant/collusion model、key custody、TEE technology/TCB/attestation policy、side-channel posture、model/tool compatibility、fallback、performance/cost、tenant realized behaviorは未確認です。

## Evidence
- EA-278-CURRENT-APPROVAL (RESEARCH): 現行本文の監査・revision対応
- EA-278-CURRENT-BODY-READBACK (IMPL): 現行本文の収録照合

## Failure / limits
wrong threat model、DP budget exhaustion/composition error、sensitivity/clipping error、collusion assumption違反、key compromise、protocol misuse、gradient/update leakage、metadata leakage、TEE/firmware/driver vulnerability、stale/unverified attestation、side channel、output exfiltration、membership inference/model inversion、unsupported accelerator/region、性能劣化、private path失敗時のnon-private fallbackを含みます。
## 公開claim
「privacy-preserving AI」を単一機能として扱いません。Differential Privacy（DP）、MPC/FHE等の暗号計算、federated/remote computation、TEE/confidential computingは、守る対象・攻撃者・漏えい面が異なります。採用時は **threat model → protected asset → allowed output → trust assumptions → mechanism parameters → verification evidence** を固定します。

## 境界を分ける
DPは、定義したmechanismとprivacy budgetの下で、公開・照会結果から個人について増える情報を定量的に制約する方式です。データを暗号化して実行する仕組みやruntime integrityの証明ではありません。

MPC/FHE等は、参加者間や計算中のplaintext露出を減らせますが、許可されたoutputが何を漏らすかを自動的には制約しません。protocol、participant/collusion assumption、key custody、実装version、性能制約を別に検証します。

Federated/remote computationはraw dataを中央へ集約しない設計を可能にしますが、model update、result、metadata、query pattern等の漏えいをゼロにはしません。「データが端末から出ない」だけを匿名性や秘密性の保証にしません。

TEE/confidential computingはdata-in-useをhardware isolation/memory encryptionで保護し、attestation evidenceを提供できます。ただしattestationは「期待する測定値・TCB・policyに合うか」をverifier/relying partyが判定して初めて意味を持ちます。TEE採用だけでapplication correctness、output privacy、全side-channel耐性を保証しません。

## Composition
複数PETを組み合わせる場合、各layerの責任を明記します。例えばTEEがruntime isolation、DPがreleased statisticsのprivacy boundを担当しても、DP accountant、attestation policy、key lifecycle、output approval、fallback経路は別々に検証します。「二つ使ったから二重に安全」とは表現しません。

## Failure envelope
wrong threat model、DP budget exhaustion/composition error、sensitivity/clipping error、collusion assumption違反、key compromise、protocol misuse、gradient/update leakage、metadata leakage、TEE/firmware/driver vulnerability、stale/unverified attestation、side channel、output exfiltration、membership inference/model inversion、unsupported accelerator/region、性能劣化、private path失敗時のnon-private fallbackを含みます。

## SAFE_WORDING
Privacy-preserving computationは一つのcontrolではありません。DP、MPC/FHE、federated/remote computation、TEEは異なる境界を保護します。攻撃者、保護対象、許可output、trust assumption、parameter、verification evidenceを明示し、単一PETから匿名性やend-to-end confidentialityを推定しません。

## OPEN_UNKNOWN
組織のthreat model、data classification、法域、要求privacy definition、epsilon/delta/accounting、participant/collusion model、key custody、TEE technology/TCB/attestation policy、side-channel posture、model/tool compatibility、fallback、performance/cost、tenant realized behaviorは未確認です。

NEXT: /agent/start.json
STOP: This is a knowledge projection, not an execution order.