【FHE 同态加密】我们如何实现同态加密推理十六未完成清单与已知边界同态加密推理的精度、性能与安全关键词同态加密 FHE 已知边界 未完成清单 精度 安全强度 可复现性 机制验证级 大模型密文推理导读这是全系列的收尾清单。前面十五篇的未解问题在这里收拢并按严重程度排序。一句话概括这套同态加密推理引擎能跑、能复现、能被第三方独立验证但它不安全而且有几个已知缺口我们没堵。本文照实列出精度余量、超阈项与三个非安全事实。项目仓库Gitee 主仓https://gitee.com/pei-xiaoguang/kestrel-llmGitHub 镜像https://github.com/m13253246268-ship-it/kestrel-llm相关文档术语与数据口径 性能与基准 构建与复现 快速上手 架构总览0. 一句话结论这一篇不给结论只给清单。前面十五篇里每一篇的未解问题都是零散的这里把它们收拢到一处并按严重程度排序。如果你只想看一句话这套东西能跑、能复现、能被第三方独立验证但它不安全而且有几个已知缺口我们没堵。1. 安全边界本系列最终版本项目所述参数为机制验证级n2048、112 素数内层链、2100 素数自举链 远低于 HE 参数标准的 128-bit 水平不得用于保护真实数据。 本项目主张的是机制可行性、可复现性、可独立验证、以及完整的工程量账本。 本项目不主张安全强度、性能优越性、与任何其他方案的优劣对比。 三个具体的非安全事实 1. 随机数源是原型级 xorshift非密码学 RNG 2. 私钥 sk.bin 与密文一起在接力包内流转无密钥托管、无分段解密 3. 为换取自举的数值可行性私钥稀疏度 hw 被降到 8。这三条不是待改进项是当前状态。任何引用本项目的地方都请连带引用这三条。2. 阻塞级最关键的三条2.1 位级可复现性缺陷尚未修复现象T23_NT4与T23_NT8输出位级不同根因_Thread_localRNG 以固定常量播种随机数消耗与调度绑定方案按自同构指数k播种代码里已有按k的入口状态❌未落地。源码仍是static _Thread_local uint64_t ckks_rng_state 0x243F6A8885A308D3ull;影响所有位级复现声明必须绑定线程数详见第 13 篇2.2 精度余量不宽链尾已有超阈项对象结果u0/u0r112PASS 8/81.27e-03量级u26/u26r112PASS 8/84.47e-03~2.30e-02u27⚠️6/8t1h13.8216e-02、t3h17.9687e-02超3e-2我们不调容差把它变成通过。但这两项算不算失败我们还没有定论——详见第 14、15 篇。2.3 密文 attention 的定标越界无兜底softmax 用预定标替代了max-sub第 10 篇。一旦真实输入让score跑出统计区间拟合多项式在区间外的行为没有任何保证而且不会报错。这是整个系列里我最担心的一处它是静默的且随输入而定。3. 重要的技术缺口#缺口说明篇1自举域变换未归因coeff_to_slotslot_to_coeff占自举 80%但为什么贵只有推测疑为内存带宽没有微架构 profiling152精度预算无闭环逐层独立定标 事后整链验收没有从 28 层反推每层可用误差的推导93无最小可用链长扫描boot编到 2100实际用多少、能压到多少是拍的5, 74缺失即默认模式未清理silu{L}.bin只是其中一例全树同类文件读取需逐一审查85DIRECT_LAYERS是固化调参不是推导规则 → 换模型不能自动适配86协议无版本号、无输入指纹参数一变旧包新包长得一样下一棒无法验证输入是不是上一棒声明的那个11, 147线程池无非重入断言、无 A/B 数据非可重入是静默失败省了多少没有同轮实测128NTT 只做 radix-2未 SIMD 化两条模乘路径未做交叉验证无形式化验证39预处理脚本未做完整性对拍只验了权重9/9与silu26/26、embed4、参考值_full_layers.py/_tail_ref.py/ 各拟合脚本的产出未逐字节对拍210换模型需整体重跑 人工判断定标、拟合、SiLU 路径选择都依赖对明文参考的统计94. 已知取舍有意为之不是 bug这些是我们主动选的列出来是为了避免被当成疏漏取舍我们换到了什么hw 8私钥更稀疏、更不安全自举折叠的混叠变小 →sin逼近只需 9 次多项式保留 BFV 那代实现不删它是最简正确性自检T1–T6也是为什么走不通的原始证据自研线程池不支持嵌套并行更低的调度开销 确定的分块数据包不随仓库分发约 7 GB仓库体积可控代价是必须能自助生成已验证逐字节一致不追求链尾全项通过照实记账而不是调容差接力包内含sk.bin免去密钥分发协议代价是没有隐私性质5. 文档与一致性欠账#欠账1vllm_ckks.h顶部「架构」段仍写4 个 60-bit 素数支持深 3而CKKS_NPRIMES默认已是32——描述停留在最初原型第 5 篇2boot日志中out np2083与编译期2100、落盘112的精确关系未核实我们在文档里显式标注而不做断言第 11 篇3phase 2 (l1)与phase 6 (lay)语义重叠属开发阶段遗留第 11 篇4fin阶段的判据与前面几层不同描述不够显眼——我们自己复现时撞过第 11 篇5各篇标注的未核实项会随代码演进过期需要一次统一的审计6. 如果你想接着做从哪开始按收益 ÷ 难度排序我认为这是前三件落地 RNG 按k播种第 2.1 条结构现成、方案明确、影响面清晰。做完之后位级可复现才能不带星号地讲。并且顺手在 CI 里加一条不同线程数比字节的回归检查。给自举的域变换做一次真正的 profiling第 3.1 条80% 的时间在那里。哪怕只是确认瓶颈是带宽还是算力就能把优化方向从优化卷积改成正确的那个。让DIRECT_LAYERS变成推导出来的规则第 3.5 条判据窄值域→直接拟合原理上可以从明文参考统计自动生成。这一步做完换模型才有自动适配的可能。7. 一件我没能做到的事本系列写到这里有件事必须说清楚我们还没有让这套东西陌生人可用。仓库、文档、Release 资产都准备好了但还没走到能被外部独立复现那一步——因为公开访问的入口仓库推送 Release 上传还没完成。也就是说本系列所有可复现可独立验证的结论目前都是我们自己在两套独立工作区里验证的一份含既有数据、一份全新克隆还没有第三方跑过。这正是最初那 21 跳待认领的原因也是这套设计存在的意义。如果你读到这里并且手上有一台愿意跑 1.8 小时的机器——欢迎接手一跳。系列完全系列 16 篇。若发现任何与源码不符之处以源码为准——本文档的每一处断言都标注了它的依据与不确定性。
【FHE 同态加密】我们如何实现同态加密推理十六未完成清单与已知边界同态加密推理的精度、性能与安全关键词同态加密 FHE 已知边界 未完成清单 精度 安全强度 可复现性 机制验证级 大模型密文推理导读这是全系列的收尾清单。前面十五篇的未解问题在这里收拢并按严重程度排序。一句话概括这套同态加密推理引擎能跑、能复现、能被第三方独立验证但它不安全而且有几个已知缺口我们没堵。本文照实列出精度余量、超阈项与三个非安全事实。项目仓库Gitee 主仓https://gitee.com/pei-xiaoguang/kestrel-llmGitHub 镜像https://github.com/m13253246268-ship-it/kestrel-llm相关文档术语与数据口径 性能与基准 构建与复现 快速上手 架构总览0. 一句话结论这一篇不给结论只给清单。前面十五篇里每一篇的未解问题都是零散的这里把它们收拢到一处并按严重程度排序。如果你只想看一句话这套东西能跑、能复现、能被第三方独立验证但它不安全而且有几个已知缺口我们没堵。1. 安全边界本系列最终版本项目所述参数为机制验证级n2048、112 素数内层链、2100 素数自举链 远低于 HE 参数标准的 128-bit 水平不得用于保护真实数据。 本项目主张的是机制可行性、可复现性、可独立验证、以及完整的工程量账本。 本项目不主张安全强度、性能优越性、与任何其他方案的优劣对比。 三个具体的非安全事实 1. 随机数源是原型级 xorshift非密码学 RNG 2. 私钥 sk.bin 与密文一起在接力包内流转无密钥托管、无分段解密 3. 为换取自举的数值可行性私钥稀疏度 hw 被降到 8。这三条不是待改进项是当前状态。任何引用本项目的地方都请连带引用这三条。2. 阻塞级最关键的三条2.1 位级可复现性缺陷尚未修复现象T23_NT4与T23_NT8输出位级不同根因_Thread_localRNG 以固定常量播种随机数消耗与调度绑定方案按自同构指数k播种代码里已有按k的入口状态❌未落地。源码仍是static _Thread_local uint64_t ckks_rng_state 0x243F6A8885A308D3ull;影响所有位级复现声明必须绑定线程数详见第 13 篇2.2 精度余量不宽链尾已有超阈项对象结果u0/u0r112PASS 8/81.27e-03量级u26/u26r112PASS 8/84.47e-03~2.30e-02u27⚠️6/8t1h13.8216e-02、t3h17.9687e-02超3e-2我们不调容差把它变成通过。但这两项算不算失败我们还没有定论——详见第 14、15 篇。2.3 密文 attention 的定标越界无兜底softmax 用预定标替代了max-sub第 10 篇。一旦真实输入让score跑出统计区间拟合多项式在区间外的行为没有任何保证而且不会报错。这是整个系列里我最担心的一处它是静默的且随输入而定。3. 重要的技术缺口#缺口说明篇1自举域变换未归因coeff_to_slotslot_to_coeff占自举 80%但为什么贵只有推测疑为内存带宽没有微架构 profiling152精度预算无闭环逐层独立定标 事后整链验收没有从 28 层反推每层可用误差的推导93无最小可用链长扫描boot编到 2100实际用多少、能压到多少是拍的5, 74缺失即默认模式未清理silu{L}.bin只是其中一例全树同类文件读取需逐一审查85DIRECT_LAYERS是固化调参不是推导规则 → 换模型不能自动适配86协议无版本号、无输入指纹参数一变旧包新包长得一样下一棒无法验证输入是不是上一棒声明的那个11, 147线程池无非重入断言、无 A/B 数据非可重入是静默失败省了多少没有同轮实测128NTT 只做 radix-2未 SIMD 化两条模乘路径未做交叉验证无形式化验证39预处理脚本未做完整性对拍只验了权重9/9与silu26/26、embed4、参考值_full_layers.py/_tail_ref.py/ 各拟合脚本的产出未逐字节对拍210换模型需整体重跑 人工判断定标、拟合、SiLU 路径选择都依赖对明文参考的统计94. 已知取舍有意为之不是 bug这些是我们主动选的列出来是为了避免被当成疏漏取舍我们换到了什么hw 8私钥更稀疏、更不安全自举折叠的混叠变小 →sin逼近只需 9 次多项式保留 BFV 那代实现不删它是最简正确性自检T1–T6也是为什么走不通的原始证据自研线程池不支持嵌套并行更低的调度开销 确定的分块数据包不随仓库分发约 7 GB仓库体积可控代价是必须能自助生成已验证逐字节一致不追求链尾全项通过照实记账而不是调容差接力包内含sk.bin免去密钥分发协议代价是没有隐私性质5. 文档与一致性欠账#欠账1vllm_ckks.h顶部「架构」段仍写4 个 60-bit 素数支持深 3而CKKS_NPRIMES默认已是32——描述停留在最初原型第 5 篇2boot日志中out np2083与编译期2100、落盘112的精确关系未核实我们在文档里显式标注而不做断言第 11 篇3phase 2 (l1)与phase 6 (lay)语义重叠属开发阶段遗留第 11 篇4fin阶段的判据与前面几层不同描述不够显眼——我们自己复现时撞过第 11 篇5各篇标注的未核实项会随代码演进过期需要一次统一的审计6. 如果你想接着做从哪开始按收益 ÷ 难度排序我认为这是前三件落地 RNG 按k播种第 2.1 条结构现成、方案明确、影响面清晰。做完之后位级可复现才能不带星号地讲。并且顺手在 CI 里加一条不同线程数比字节的回归检查。给自举的域变换做一次真正的 profiling第 3.1 条80% 的时间在那里。哪怕只是确认瓶颈是带宽还是算力就能把优化方向从优化卷积改成正确的那个。让DIRECT_LAYERS变成推导出来的规则第 3.5 条判据窄值域→直接拟合原理上可以从明文参考统计自动生成。这一步做完换模型才有自动适配的可能。7. 一件我没能做到的事本系列写到这里有件事必须说清楚我们还没有让这套东西陌生人可用。仓库、文档、Release 资产都准备好了但还没走到能被外部独立复现那一步——因为公开访问的入口仓库推送 Release 上传还没完成。也就是说本系列所有可复现可独立验证的结论目前都是我们自己在两套独立工作区里验证的一份含既有数据、一份全新克隆还没有第三方跑过。这正是最初那 21 跳待认领的原因也是这套设计存在的意义。如果你读到这里并且手上有一台愿意跑 1.8 小时的机器——欢迎接手一跳。系列完全系列 16 篇。若发现任何与源码不符之处以源码为准——本文档的每一处断言都标注了它的依据与不确定性。
平方复杂度无法被常规优化消除｜TaoToken 统一 Key 通道实测)
