Breaking Euston 論文閱讀分析：很多 secure inference 真正先破掉的，不是密文算得不夠快，而是你為了省頻寬偷偷漏掉了本來不該漏的子空間

本文由 AI 產生、整理與撰寫。

如果最近幾篇 sectools.tw 的主線，已經一路從 embedding privacy、confidential inference、hosted model audit 看到一個很明顯的共同問題：AI 安全很多時候不是「有沒有加密」這麼簡單，而是你為了把系統做得比較能跑，究竟在哪些地方偷偷把安全假設掏空了，那這篇 Breaking Euston: Recovering Private Inputs from Secure Inference by Exploiting Subspace Leakage 很值得補進來。

它最刺的地方在於：作者不是在說 secure inference 整體沒用，而是在指出一個更實際、也更危險的工程落差——當系統為了把隱私保護推理做得更省頻寬、更好部署，若引入了會洩漏結構資訊的傳輸協定，那麼你以為自己保護的是「原始輸入內容」，實際上可能只是在保護它的表面形式；真正足以把輸入重建回來的子空間線索，早就沿著優化路徑流出去了。

• 論文標題：Breaking Euston: Recovering Private Inputs from Secure Inference by Exploiting Subspace Leakage
• 作者：Jiaqi Zhao、Fengwei Wang
• 來源：arXiv:2604.17238（2026）
• 研究類型：AI 隱私 / secure inference protocol analysis / privacy attack
• 論文連結：https://arxiv.org/abs/2604.17238

這篇論文在處理什麼問題？

背景是這樣：在隱私保護機器學習（privacy-preserving machine learning）裡，大家一直想解一個很現實的矛盾——如果使用者想把私密輸入交給模型推理，但又不想把原始資料直接交給模型持有者，那 secure inference 就必須一邊保護輸入，一邊盡量把通訊與計算成本壓下來。

Euston 是先前提出的一個 secure transformer inference framework，賣點之一是更有效率的矩陣傳輸。它透過一個基於 singular value decomposition（SVD） 的傳輸協定，號稱能把輸入矩陣傳輸所需頻寬大約降到原本的 1 / 2.8，也就是約 2.8 倍的帶寬改善。

但這篇 paper 的核心觀察是：頻寬壓縮不是白拿的。 你如果是靠保留某些幾何 / 子空間結構來達成效率，這些結構本身就可能變成攻擊面。作者認為，Euston 的傳輸設計會讓隨機遮罩（random masks）的某些子空間資訊外洩，而這些外洩訊號已足夠讓模型持有方去恢復使用者的私密樣本。

核心洞見：真正外洩的不是像素或 token，而是足以把它們拉回來的方向資訊

這篇最值得記住的一點，是它把問題重新講得很清楚：在 secure inference 裡，很多時候不需要把原始輸入逐值洩漏出去，攻擊者只要拿到足夠穩定的 low-dimensional structure，就可能把你以為被保護住的內容重新推回來。

作者指出，Euston 使用 SVD-based matrix transmission protocol 時，會暴露出和隨機遮罩相關的 subspace leakage。而一旦模型方能觀察到這種子空間層級的資訊，它就不再只是看到「一堆被處理過的中間表示」，而是能把這些表示當作恢復私密輸入的約束條件。

這個 framing 很重要，因為它提醒大家：隱私保護 AI 系統真正該防的，不只是明文暴露，也包含那些在數學上仍保留可逆結構的中間表徵。

作者怎麼攻擊？

就摘要與論文說明來看，作者不是做很花俏的複雜攻擊，而是抓住協定設計本身的結構性弱點，然後直接驗證：

• Euston 的傳輸協定會洩漏 random masks 的子空間資訊
• 這些資訊可被模型擁有者利用來恢復 private samples
• 攻擊不需要極端假設，而是在協定正常運作前提下即可成立

作者特別強調，他們用的是 simple experiments，而且在 image 與 language datasets 上都驗證了攻擊有效。這點反而讓問題更嚴重：如果一個 privacy break 不是只在很人工的 toy setting 才成立，而是能跨模態出現在影像與語言資料上，那代表這不是單一資料型態的小 bug，而是協定層的設計缺陷。

這篇論文真正打到的，是「安全最佳化」很容易滑向「最佳化掉安全」

我認為這篇最有價值的地方，不只是指出 Euston 有洞，而是它再次提醒一個 AI infra 團隊很常犯的錯：把 performance optimization 視為純工程問題，卻忘了 optimization 過程本身常常就是 attack surface 重畫的過程。

在 secure inference、encrypted inference、TEE-accelerated inference 這類系統裡，常見的工程誘惑是：

• 少傳一點資料
• 保留一些可重用的分解結果
• 把原本嚴格隨機化的步驟改成較易計算的近似形式
• 把隱私與效能 tradeoff 藏進「實務上看起來夠安全」的假設裡

但這篇 paper 的意思很直白：只要你留下的不是純雜訊，而是帶有可利用結構的殘差，攻擊者就可能順著那個殘差一路把私密輸入撿回來。

為什麼這對 AI 安全實務特別重要？

因為現在很多團隊談 AI 隱私，還是太容易停在很粗的分類：

• 有沒有加密
• 有沒有 TEE
• 有沒有 secure aggregation
• 有沒有 differential privacy

但實務上真正決定風險的，往往是下一層：

• 中間表示是否保留可逆幾何結構？
• 傳輸協定是否會洩漏 rank / subspace / projection-level signal？
• 模型方觀察到的 metadata 是否足以縮小輸入候選空間？
• 效能優化是否破壞了原始隱私證明的前提？

這也就是為什麼這篇很適合接在最近幾篇 PPPQ-ANN、AgenTEE、Hosted LLM 稽核、embedding privacy 路線後面看：真正該被治理的，常常不是模型輸出，而是那些你以為只是 infrastructure detail 的 representation 與 transport choices。

這篇 paper 帶出的幾個關鍵訊號

• Euston 的 SVD-based matrix transmission protocol 雖然帶來約 2.8x communication bandwidth reduction，但也引入了可被利用的 subspace leakage。
• 這種 leakage 不是理論上很遙遠的 concern，而是作者已經展示可讓模型擁有者 recover private samples。
• 攻擊在 image 與 language 資料上都能成立，代表風險具有跨模態一般性。
• 問題核心不是單點實作瑕疵，而是協定層為了效率保留了不該保留的結構資訊。

我的看法：AI 隱私真正要怕的，常常不是明文洩漏，而是「可重建性」

很多人談 AI 隱私，還是會直覺地把風險想成「資料有沒有直接被看到」。但這篇論文再次說明，在現代 ML 系統裡，很多高風險暴露其實不是原文照單全收地流出去，而是系統在某個優化步驟中，留下了足以讓有能力的一方做 reconstruction 的結構線索。

換句話說，安全與否不該只問：

「攻擊者有沒有拿到原始輸入？」

更該問的是：

「攻擊者拿到的那些中間資訊，是否已足以把原始輸入逼近回來？」

這也是我覺得這篇特別有警示性的原因。它提醒所有在做 privacy-preserving AI infra 的團隊：如果你的效能是靠保留某些可辨識結構換來的，那你就不能把那部分再當成無害 implementation detail。

可以怎麼讀這篇？

如果你是做 AI infra、confidential inference、RAG / embedding security 或 AI platform security，我會建議把這篇當成一個很好的 stress test case：

• 檢查你目前的「隱私保護」是不是其實只保護了表面明文
• 重新審視中間表示、壓縮、投影與分解步驟是否帶來 side-channel-like structural leakage
• 把 representation leakage 視為一級威脅，而不是 implementation footnote
• 在 protocol review 時，把「是否可重建」放進和「是否可觀察」同等重要的位置

總結

Breaking Euston 真正重要的，不只是指出某個 secure inference framework 有漏洞，而是把一個更普遍的問題講透：在 AI 隱私系統裡，很多最危險的洩漏不是直接把資料交出去，而是為了讓系統更快、更省，留下了足以讓對手沿著子空間把私密輸入重新拉回來的結構訊號。

對 AI 安全實務來說，這篇最大的提醒是：privacy-preserving inference 的威脅模型，不能只畫到密文、TEE 或傳輸加密為止，還要一路往下看 representation、decomposition、projection 與 protocol-side structural leakage。 否則你以為自己守住的是資料，其實只是守住了資料最表面的外皮。