RSA 2023创新沙盒盘点｜Zama：开源全同态加密方案支持自动化改造

根据公开信息，Zama在三轮融资中累计获得了5160万美元，最新的是在2022年4月的A轮融资，由Protocol Labs领投。Zama参与了许多开源社区的建设，如Rust、W3C、FHE.org等，其公开产品也都在Github开源了代码，但不论在官网或是其他来源，都没有查询到Zama的付费产品和客户的有关信息，其财务状况与商业模式不得而知。

Rand Hindi博士则是一位连续创业者和科技投资者。他目前担任Zama的CEO。作为投资者，他资助了隐私保护、人工智能、区块链、医疗科技等领域的30余家企业，而他个人也有着丰富的创业经历。2013年Hindi合伙在法国创立了语音AI公司Snips，提供原生私密设计（private-by-design）的语音平台和工具，据称Snips是第一款符合欧盟通用数据保护条例GDPR的同类平台[2]。2019年Snips被音响厂商Sonos以约3750万美元的价格收购。

TFHE的安全性来源于机器学习领域背景的一个计算困难问题，错误学习问题（Learning with Errors, LWE）。这是一个经过充分研究的密码学原语，即使量子计算机已经实用的情况下，也普遍被认为是安全的。基于LWE问题可以构建所谓同态加密的密码方案。

同态加密的思想是，可以在消息加密的情况下直接对密文进行计算，而不需要知道消息明文。如果支持以下至少两个操作（x是明文，是相应的密文E[x]），则称方案为完全同态：

■ 同态单变量函数可交换：f(E[x])=E[f(x)]

■ 同态加法：E[x]+E[y]=E[x+y]

■ 同态乘法：E[x]∗E[y]=E[x∗y]

而在论文提出的加密方案基础上，Ilaria Chillotti等人开发了TFHE开源C/C++库[4]，由二进制门组成的任意布尔电路都可以使用TFHE库加密计算，而不泄露任何原始数据信息。用户视角下，该库的主要功能包括[5]：

■ 生成一个私钥集和一个云密钥集。私钥集是私有的，并提供加密/解密功能。云密钥集可以导出到云，并允许对加密数据进行操作。

■ 通过私钥集，库允许对数据进行加密和解密。加密数据可以安全地外包给云，以便执行安全的同态计算。

■ 有了云密钥集，库可以对二进制门的列表进行同态计算，而无需解密中间变量。提供门序列以及输入位的密文后，库负责计算输出数据bit位的密文。

TFHE开源库目前已经停止开发，建议用户使用Zama提供的TFHE-rs库来获取具有最新功能的增强API。

在Rust程序中使用TFHE-rs来支持FHE特性的典型工作流如下：

■ 使用安全参数生成客户端密钥和服务器密钥：

■ 在服务器，使用服务器密钥同态地操作密文，并返回给客户端

■ 在客户端，使用客户端密钥将结果的密文解密为明文，计算流程完成

TFHE-rs声称自己是最高效的TFHE方案的公开实现，支持AVX512加速。[10]针对布尔运算，在128比特安全强度和2-40错误概率下，平均运行时间仅需7ms。与其他TFHE实现相比，官方提供的性能评测结果如下：

TFHE-rs目前最新发布的为v0.2.0。

官方给出的应用Concrete编译Python程序的例子如下：

a) 显式调用编译器concrete.Compiler

值得注意的是Concrete ML仅支持对模型推理进行FHE改造，因此训练过程仍需使用明文数据进行。同时，Concrete ML仅支持处理量化后的模型（目前支持16比特整数），且不支持模型输入输出进行预处理和后处理，如文本到数字的特征转换、降维、KNN或聚类、特征化、归一化，以及集成模型结果的混合。

Concrete ML目前最新发布的版本为v1.0.0。

在技术之外，Zama的商业模式并不明确。产品、客户信息的缺失，或许只是因为公开信息的缺乏，但也侧面映射出Zama目前的主攻方向是技术而非产品。如何在A轮融资之后继续推动公司发展和产品成熟，是有待Zama向投资者展现的。以目前纯开源的模式，恐怕难以讲好商业故事，获得持续的投资与增长。