Google перевела федеративное обучение в TEE: приватность теперь можно проверить

Что объявила Google

Google Research представила следующее поколение своей системы федеративного обучения: гарантии приватности в ней подтверждаются снаружи, а вычисления перенесены на сервер ради скорости, точности и охвата устройств.

Федеративное обучение — метод, при котором модель обучается на децентрализованных приватных данных, не собирая их в одном месте; Google применяет его с 2017 года для предсказания следующего слова и Smart Compose в Gboard, подсказок ответов в Google Messages и Smart Text Selection в Android.

Компания перечисляет четыре принципа, которыми руководствуется: минимизация данных, анонимизация, прозрачность и контроль, а также проверяемость и аудируемость.

Новая система опирается на TEE: логика, исполняемая в такой среде, доступна для удалённой аттестации, то есть третья сторона может убедиться, какой именно код выполняется, а сам код получает конфиденциальность и целостность — с оговоркой на ограничения нынешнего поколения таких сред.

Как устроена система

Заявленная новизна в том, что гарантии приватности становятся внешне проверяемыми: белая книга описывает систему как первое решение, которое даёт проверяемые центральные гарантии дифференциальной приватности и при этом улучшает соотношение приватности и полезности.

Устройства локально шифруют обучающие примеры и загружают их; перед этим устройство утверждает политику доступа — набор вычислений в TEE, которым разрешено обрабатывать эти данные, и такие вычисления выдают только анонимизированные результаты.

Сами политики доступа публикуются в Rekor, публичный журнал прозрачности, а внешние аудиторы наблюдают по этим журналам полный набор серверных нагрузок, в которых устройства могли бы участвовать.

Ключи расшифровки выдаёт система управления ключами (KMS) — кластер TEE, реализующий протокол консенсуса RAFT; она отдаёт их только тем серверным нагрузкам, которые совпадают с вычислениями из политики доступа.

Загрузка данных устроена так: данные шифруются и привязываются к политике, описывающей, как их можно использовать, а расшифровать их смогут только компоненты, доказавшие удалённой аттестацией, что исполняемый ими код разрешён этой политикой.

Обрабатывающая TEE исполняет программу на Python с обучающим циклом и делегирует параллельные подзадачи кластеру рабочих TEE; распределённая логика выражается на Federated Language — фреймворке для реализации федеративных алгоритмов и вычислений на приватных данных, выросшем из TensorFlow Federated.

В конце раунда обучения программа сохраняет состояние восстановления, зашифрованное KMS, — это позволяет пережить отказы корневой или рабочих TEE, не раскрывая дополнительных приватных сведений.

Почему это меняет гарантии приватности

В прежних системах данные устройств загружались для немедленной агрегации, но внешний наблюдатель не мог убедиться, что их нигде не залогировали и не просмотрели; Secure Aggregation защищала загрузки криптографически, но была несовместима с современными гарантиями центральной дифференциальной приватности.

В новой системе операторам нагрузок видны только метрики и дифференциально приватные веса модели: зашифрованные обучающие данные могут быть расшифрованы и обработаны только внутри TEE, исполняющих программы, перечисленные в политиках доступа, и только в течение ограниченного времени после загрузки.

Чтобы защитить проприетарные архитектуры моделей и предобработку данных, сохранив аудируемость, обработчики поддерживают подгрузку сериализованных данных во время исполнения: пока вся приватностно значимая логика жёстко зашита в программе, эта подгрузка позволяет проприетарной части работать в TEE без потери внешне проверяемых гарантий.

Компоненты, работающие внутри TEE и взаимодействующие с пользовательскими данными, выложены как публично проверяемые, а KMS и бинарники обработки данных собираются воспроизводимо из открытого кода в репозитории Confidential Federated Compute.

Google отдельно оговаривает, что гарантии действуют с учётом ограничений текущего поколения TEE: против атак по побочным каналам на динамически загружаемые нагрузки нужны будущие аппаратные решения и продолжающиеся исследования, а в перспективе компания рассчитывает на полные доказательства корректности программных реализаций алгоритмов дифференциальной приватности.

Что это даёт Gboard

Gboard уже развернул новую систему для англоязычной и японской моделей предсказания следующего слова — с более сильными гарантиями приватности и лучшей точностью.

Одно из объяснений — отказ от суточных колебаний доступности устройств: теперь все загрузки собираются до запуска серверной обучающей нагрузки, а оптимальное расписание участия устройств вычисляется уже внутри программы.

Дело в скорости: раньше обучение таких моделей могло занимать по одному-два месяца, а прогресс упирался в доступность устройств, их вычисления и конкуренцию нескольких нагрузок за одни и те же ресурсы; в новой системе узкие места переехали на сервер.

Что дальше

Перенос вычисления клиентских градиентов на сервер снимает ограничения по вычислениям на устройствах и открывает путь к обучению всё более крупных моделей федеративными методами.

В планах — сочетание TEE с ускорителями, эксперименты с другими нагрузками вроде генерации синтетических данных и совместная работа с TEE, специализирующимися на инференсе больших языковых моделей.

Белая книга с деталями дизайна выложена как препринт arXiv:2609.31494 в разделе «Криптография и безопасность»: первую версию подали 25 сентября 2026 года, последнюю ревизию — 30 сентября.