2. 跨机构联合计算场景与威胁建模
跨机构联合计算的核心矛盾在于：参与方希望从多方数据中获取统计或模型收益，但任何一方都不愿（或不被允许）把原始数据交给对方。因此，安全工程的第一步不是选算法，而是把“谁和谁、在什么约束下、要算什么、可能被谁怎么攻击”说清楚。本节围绕四类典型场景、敌手模型、信任假设与攻击面展开，并给出可落地的威胁建模方法。
一、四类典型协作场景
多方数据协作是最宽泛的形态，参与方共同完成查询、聚合或分析，输出可能是统计量、报表或中间结果。其关键特征是“数据不出域、结果可共享”，典型如跨银行的反欺诈名单核验、跨医院的病例计数。
隐私求交（PSI）解决的是“双方各有一组标识，想知道交集但不想暴露差集”。例如两家电商比对黑名单手机号，A 有 100 万条、B 有 80 万条，双方只希望得到交集条数与交集明细，而不泄露各自独有的部分。PSI 的输出通常是交集本身或交集上的后续计算入口。
联合统计在求交或对齐之后进行，计算均值、方差、分位数、频次等。例如三家区域银行联合计算某类商户的平均逾期率，各方只上传加密的局部统计量，由聚合方合并。这里要特别关注小样本泄露：当某个分组只有 1～2 条记录时，统计结果可能反推出个体信息。
联合建模最复杂，参与方用各自特征或样本共同训练模型。横向联邦（样本划分）如多家医院各有不同患者；纵向联邦（特征划分）如银行有交易特征、运营商有通信特征，样本重叠但特征互补。纵向场景通常需要先做 PSI 对齐样本 ID，再进入梯度或分裂点交互。
二、敌手模型：先约定“坏人有多坏”
威胁建模必须明确敌手能力，否则安全证明没有意义。工程上常用三档：
- 半诚实（honest-but-curious）：参与方严格按协议执行，但会记录并分析所有收到的消息，试图推断额外信息。这是最常被假设的基线，实现代价低，但无法防御主动作恶。
- 恶意（malicious）：参与方可任意偏离协议，伪造输入、篡改消息、提前中止。需要可验证秘密分享、零知识证明等机制，开销通常上升一个数量级。
- 隐蔽（covert）：介于两者之间，作恶有概率被检测到并公开，适合商业合作中“既要效率又要威慑”的场景。
还需区分合谋阈值：例如 3 方计算中允许至多 1 方被腐化，还是 2 方合谋。阈值直接决定能否使用信息论安全的秘密分享（通常要求腐化方少于半数）。
三、信任假设：谁掌握什么
常见信任假设包括：是否存在可信第三方（TTP）、是否假设参与方之间不共谋、是否信任聚合服务器、是否信任密钥管理系统。以纵向联邦为例，若假设“参与方不共谋”，则可以用较高效的半诚实协议；若现实中两家机构可能被同一集团控制，该假设不成立，必须升级到恶意安全或引入独立审计方。
另一个关键假设是样本 ID 空间可信。PSI 的前提是双方 ID 编码一致且不可被恶意构造。若攻击者能任意构造 ID，就可能通过多次求交“探测”对方集合，这属于输入侧攻击，需要在协议外增加查询审计与频次限制。
四、攻击面分析与威胁建模落地
建议按“资产—入口—能力—影响”四步走。资产是原始数据、模型参数、中间梯度、交集明细；入口是输入提交、协议消息、结果发布、运维接口；能力对应敌手模型；影响则评估泄露范围与可逆性。
以联合统计为例，一个可操作的检查表如下：
| 攻击面 | 具体威胁 | 缓解措施 |
|---|---|---|
| 输入侧 | 恶意方提交极端值拉偏均值 | 截断/缩尾、鲁棒聚合、贡献度审计 |
| 协议侧 | 两方合谋还原第三方局部统计量 | 秘密分享阈值≥2、独立随机掩码 |
| 输出侧 | 分组计数为 1 时反推个体 | 最小分组阈值 k≥5、拉普拉斯噪声 |
| 系统侧 | 通信未加密导致中间值被窃听 | mTLS、消息级签名、密钥轮换 |
参数选择上，差分隐私的 ε 是核心旋钮：ε 越小隐私越强、噪声越大。示例中若某统计查询敏感度为 1、希望 ε=0.5，则拉普拉斯噪声尺度 b=1/0.5=2，即噪声服从尺度为 2 的拉普拉斯分布。这只是教学示例，实际 ε 需结合数据规模与合规要求协商确定。