Google ย้าย Federated Learning ลง TEE เพิ่มความเป็นส่วนตัวใน Gboard

Google Research ได้ ประกาศ ระบบ Federated Learning (FL) ยุคถัดไปที่พัฒนาขึ้นบน Trusted Execution Environments (TEEs) โดยทีมวิจัยยืนยันว่านี่เป็นครั้งแรกที่มีการรับประกันความเป็นส่วนตัวแบบ Central Differential Privacy (DP) สำหรับ FL ที่บุคคลภายนอกสามารถตรวจสอบความโปร่งใสได้

Federated Learning บน TEE ช่วยแก้ปัญหาอะไร?

Google เปิดตัวเทคโนโลยี Federated Learning (FL) มาตั้งแต่ปี 2017 เพื่อขับเคลื่อนฟีเจอร์ ทำนายคำถัดไป และ Smart Compose บน Gboard รวมถึงการแนะนำคำตอบใน Google Messages และ Smart Text Selection ใน Android

อย่างไรก็ตาม ระบบรุ่นเดิมยังมีช่องว่างด้านความเชื่อมั่น เนื่องจากอุปกรณ์ต่างๆ จะอัปโหลดข้อมูลมารวมกัน (Aggregation) โดยที่บุคคลภายนอกไม่สามารถตรวจสอบได้ว่าข้อมูลเหล่านั้นถูกจัดเก็บหรือตรวจสอบในระหว่างทางหรือไม่ แม้ว่าเทคโนโลยี Secure Aggregation จะช่วยเพิ่มการป้องกันด้วยรหัสผ่านได้ แต่ก็ยังไม่รองรับอัลกอริทึม Central DP ระดับสูงอย่าง matrix factorization DP-FTRL นอกจากนี้ผู้ใช้ยังต้องไว้วางใจ Google เพียงฝ่ายเดียวว่าจะใส่สัญญาณรบกวน (DP noise) อย่างถูกต้อง

การออกแบบใหม่นี้จึงย้ายการคำนวณ Gradient ของไคลเอนต์ไปไว้บนเซิร์ฟเวอร์ และทำให้ตรรกะการทำงานของเซิร์ฟเวอร์นั้นสามารถตรวจสอบรับรอง (Attestable) ได้ ส่งผลให้ผู้ใช้ไม่จำเป็นต้องมอบความไว้วางใจให้แก่ผู้ให้บริการเพียงอย่างเดียวอีกต่อไป

ระบบทำงานอย่างไร?

ระบบนี้ต่อยอดจากงานด้าน confidential federated analytics ของ Google โดย ประสานงานผ่าน 4 องค์ประกอบหลัก:

• การอัปโหลดข้อมูล (Data upload): อุปกรณ์จะเข้ารหัสข้อมูลการเทรนจากในเครื่องและกำหนดนโยบายการเข้าถึง (Access Policy) ล่วงหน้า โดยนโยบายนี้จะระบุว่า TEE ชุดใดประมวลผลข้อมูลได้บ้างและต้องปรากฏในบันทึกความโปร่งใสสาธารณะ
• KMS และการตรวจสอบนโยบาย: ระบบจัดการกุญแจ (Key Management System) ที่สร้างจาก TEE ซึ่งรัน RAFT consensus protocol จะปล่อยกุญแจให้เฉพาะงานที่ตรงตามนโยบายเท่านั้น
• การดำเนินภาระงาน (Workload execution): Root TEE จะรัน Python Training Loop และมอบหมายงานย่อยให้ Worker TEEs โดยใช้ Federated Language ที่ดัดแปลงมาจาก TensorFlow Federated ซึ่งจะปล่อยเฉพาะค่าน้ำหนักโมเดล (Model Weights) ที่ผ่านการทำ DP แล้วเท่านั้น
• การกู้คืนเมื่อเกิดข้อผิดพลาด (Fault-tolerant recovery): มีการบันทึกสถานะการกู้คืนที่เข้ารหัสด้วย KMS ในทุกรอบการทำงาน เพื่อรองรับกรณีที่ระบบเกิดความล้มเหลว

ทำไมการรับประกันความเป็นส่วนตัวถึงตรวจสอบได้?

นโยบายการเข้าถึงจะถูกเผยแพร่ไปยัง Rekor ซึ่งเป็นบันทึกความโปร่งใสสาธารณะของ Sigstore ทำให้ผู้ตรวจสอบภายนอกติดตามได้ว่าอุปกรณ์ส่งข้อมูลไปให้เซิร์ฟเวอร์ชุดใดบ้าง โดยที่ KMS และไบนารีประมวลผลข้อมูลสามารถสร้างซ้ำ (Reproducible) ได้จากซอร์สโค้ดเปิด

นโยบายดังกล่าวจะอธิบายโปรแกรมการเทรนด้วยภาษา Python โดยตรง เพื่อปกป้องสถาปัตยกรรมโมเดลที่เป็นความลับทางการค้า TEE จะรองรับการ Sideload ตรรกะในขณะรันไทม์ แต่ตรรกะที่เกี่ยวกับความเป็นส่วนตัวทั้งหมดต้องถูกฝังรหัส (Hardcoded) ไว้ในโปรแกรมที่ได้รับการรับรองเท่านั้น ข้อมูลที่เข้ารหัสจะสามารถถอดรหัสได้ในช่วงเวลาที่จำกัดหลังการอัปโหลด

Gboard ได้รับประโยชน์อะไรบ้าง?

Gboard ได้นำระบบนี้มาใช้กับโมเดลการทำนายคำถัดไปทั้งภาษาอังกฤษและภาษาญี่ปุ่น ซึ่งช่วยให้มีความเป็นส่วนตัวสูงขึ้นและเพิ่มความแม่นยำของโมเดล โดยมีปัจจัยหลักสองประการ:

ประการแรก การอัปโหลดข้อมูลจะถูกรวบรวมให้ครบก่อนเริ่มเทรน ทำให้ความผันผวนของการเชื่อมต่ออุปกรณ์ในแต่ละวันไม่ส่งผลให้การเทรนล่าช้า และสามารถปรับแต่งพารามิเตอร์ DP ได้อย่างมีประสิทธิภาพมากขึ้น Google พบว่ากราฟ Privacy-utility ดีขึ้นจากการทดสอบกับอุปกรณ์ 6,500 เครื่อง

ประการที่สอง คอขวดของระบบย้ายไปอยู่ที่ฝั่งเซิร์ฟเวอร์ จากเดิมที่การเทรนโมเดล FL อาจใช้เวลานานถึง 1-2 เดือน แต่ปัจจุบันสามารถเทรนแบบขนานข้ามเครื่องได้โดยจำกัดเพียงทรัพยากรของ TEE เท่านั้น ซึ่ง Google รายงานว่าความเร็วเพิ่มขึ้นอย่างมีนัยสำคัญ

คำอธิบายแบบโต้ตอบ: ภายใน TEE-Based FL Pipeline

การทำงานของ Federated Learning บน TEE ของ Google

คำอธิบายแบบโต้ตอบอ้างอิงจากโพสต์และเอกสารของ Google Research วันที่ 2 ตุลาคม 2026 (arXiv:2609.31494)

ขั้นตอนที่ 1 การอัปโหลดข้อมูล ขั้นตอนที่ 2 KMS + นโยบาย ขั้นตอนที่ 3 การรันภาระงาน ขั้นตอนที่ 4 การกู้คืนจากข้อผิดพลาด

▶ เล่นอัตโนมัติ ขั้นตอนถัดไป

FL แบบเดิม FL บน TEE

เลือกภาระงานเซิร์ฟเวอร์ที่ร้องขอกุญแจถอดรหัสจาก KMS เฉพาะโค้ดที่ระบุในนโยบายการเข้าถึงที่เผยแพร่เท่านั้นที่จะได้รับกุญแจ

โปรแกรมการเทรนที่ได้รับอนุมัติ hash = ตรงกับนโยบายใน Rekor log

โปรแกรมที่ถูกแก้ไข (บันทึกข้อมูลดิบ) hash = ไม่อยู่ในนโยบายการเข้าถึง

ร้องขอกุญแจถอดรหัส

🔒

กำลังรอการร้องขอ KMS ตรวจสอบการรับรองระยะไกล (remote attestation) ของ TEE เทียบกับนโยบายการเข้าถึง

แหล่งที่มา: research.google blog, arXiv:2609.31494 สร้างโดย Marktechpost

▶❚❚🔒🔓🔒

เปรียบเทียบกับ FL Framework อื่นๆ อย่างไร?

แหล่งที่มา: Google Research blog, Confidential Federated Compute repo, NVIDIA FLARE docs, FLARE attestation guide, Flower 1.8 release notes, pfl-research repo. ตรวจสอบเมื่อ 4 ตุลาคม 2026

ประเด็นสำคัญ

• Google ประสบความสำเร็จในการย้ายการคำนวณ FL Gradient จากมือถือไปยัง TEE ฝั่งเซิร์ฟเวอร์ที่ได้รับการรับรองความปลอดภัย
• การรับประกันความเป็นส่วนตัวแบบ Central DP สามารถตรวจสอบความโปร่งใสผ่าน Rekor และการสร้างไบนารีซ้ำได้
• ระบบนี้ถูกใช้งานจริงแล้วในโมเดลทำนายคำถัดไปของ Gboard ทั้งภาษาอังกฤษและญี่ปุ่น
• ระยะเวลาการเทรนลดลงอย่างมากจากเดิมที่ใช้เวลาหลายเดือน โดยปัจจุบันขึ้นอยู่กับทรัพยากรของ TEE
• ไบนารีหลักและภาษาที่ใช้ในระบบเปิดให้เข้าถึงแบบ Open Source ภายใต้สัญญาอนุญาต Apache 2.0