Privacy-preserving Computation × AI

「privacy-preserving AI」を単一機能として扱いません。Differential Privacy（DP）、MPC/FHE等の暗号計算、federated/remote computation、TEE/confidential computingは、守る対象・攻撃者・漏えい面が異なります。採用時は threat model → protected asset → allowed output → trust assumptions → mechanism parameters → verification evidence を固定します。

DPは、定義したmechanismとprivacy budgetの下で、公開・照会結果から個人について増える情報を定量的に制約する方式です。データを暗号化して実行する仕組みやruntime integrityの証明ではありません。

MPC/FHE等は、参加者間や計算中のplaintext露出を減らせますが、許可されたoutputが何を漏らすかを自動的には制約しません。protocol、participant/collusion assumption、key custody、実装version、性能制約を別に検証します。

Federated/remote computationはraw dataを中央へ集約しない設計を可能にしますが、model update、result、metadata、query pattern等の漏えいをゼロにはしません。「データが端末から出ない」だけを匿名性や秘密性の保証にしません。

TEE/confidential computingはdata-in-useをhardware isolation/memory encryptionで保護し、attestation evidenceを提供できます。ただしattestationは「期待する測定値・TCB・policyに合うか」をverifier/relying partyが判定して初めて意味を持ちます。TEE採用だけでapplication correctness、output privacy、全side-channel耐性を保証しません。

複数PETを組み合わせる場合、各layerの責任を明記します。例えばTEEがruntime isolation、DPがreleased statisticsのprivacy boundを担当しても、DP accountant、attestation policy、key lifecycle、output approval、fallback経路は別々に検証します。「二つ使ったから二重に安全」とは表現しません。

wrong threat model、DP budget exhaustion/composition error、sensitivity/clipping error、collusion assumption違反、key compromise、protocol misuse、gradient/update leakage、metadata leakage、TEE/firmware/driver vulnerability、stale/unverified attestation、side channel、output exfiltration、membership inference/model inversion、unsupported accelerator/region、性能劣化、private path失敗時のnon-private fallbackを含みます。

Privacy-preserving computationは一つのcontrolではありません。DP、MPC/FHE、federated/remote computation、TEEは異なる境界を保護します。攻撃者、保護対象、許可output、trust assumption、parameter、verification evidenceを明示し、単一PETから匿名性やend-to-end confidentialityを推定しません。

組織のthreat model、data classification、法域、要求privacy definition、epsilon/delta/accounting、participant/collusion model、key custody、TEE technology/TCB/attestation policy、side-channel posture、model/tool compatibility、fallback、performance/cost、tenant realized behaviorは未確認です。