数据上传之后，怎样证明它只按约定使用？

用户点了同意，后面的用途还能查清吗？#

假设一个办公助手想用历史问答改进回答。管理员同意的是“改善本单位的知识检索”，后来团队又想拿同一批记录训练别的功能。产品页面上的一句“数据已经加密”，回答不了这次新用途是否被允许。

这是一个假设场景，却对应着很具体的产品问题：数据交出去之后，谁能用、用来做什么、最后能拿走什么结果，能不能被检查？

Google Research 在 2026 年 10 月 2 日介绍了一套新的联邦学习系统。联邦学习可以理解为多个设备共同帮助训练模型。新方案让设备先上传加密的训练数据，再由服务器上受保护的计算环境处理；数据的允许用途也随之绑定。它给产品经理的启发是：隐私说明应该进一步变成系统能够执行、团队能够验证的规则。官方介绍

先约定用途，再决定让哪个程序读取#

Google 方案里，可信执行环境（TEE）是硬件支持的隔离计算环境。设备提前约定哪些程序可以处理数据；密钥管理系统核对程序符合约定后，才允许它解密。相关规则进入公开记录，便于外部检查。

官方代码仓库进一步说明，这些规则描述数据允许经过哪些处理步骤。系统通过远程证明确认，正在运行的是规则允许的程序，才授予访问权限。这不等于“给服务器一个账号，然后相信它不会乱用”。授权落到了具体的数据处理程序上。

对普通产品团队，不必一上来照搬这套基础设施。先把需求写清楚，就能暴露很多过去被忽略的选择：允许改进检索，是否也允许训练生成模型？允许输出统计结果，是否允许导出逐条问答？处理程序换了版本，旧的授权是否还适用？

这些问题应该在接入数据之前有答案。等用户投诉之后再解释，很难补回已经发生的使用。

效果要同时看隐私、体验和训练时间#

这次工作的证据不只有架构说明。配套论文第 5.3 节报告了 Gboard 英文输入模型的线上 A/B 实验，每组包含 350 万台设备。

其中表现最好的新系统实验组，以 zCDP 衡量的隐私预算为 0.215，对照生产模型按相同隐私计算机制调整后为 0.641，约降到三分之一。这里的“隐私预算”是限制训练可能透露多少个体信息的量化指标；在相同定义和条件下，数值越小，约束越严格。它不能被翻译成“泄露概率下降三倍”。

两组的每分钟输入词数、建议词修改比例等关键使用指标保持中性，论文没有给出这些指标的具体变化百分比。新模型训练用了 3 周，旧生产模型用了 2 个月。这些结果来自整套系统及训练安排的变化，不能把全部收益单独归因于某一个硬件组件。

还有一个重要限制：论文当时使用该系统训练的模型最大为 1000 万参数。这不是一个已经验证到大型通用语言模型训练规模的结论。它证明了具体输入法场景里的可行性，扩大规模仍需要进一步验证。

产品经理可以把承诺改成三类验收题#

以下是我的产品化判断，不是原文给出的通用标准。

第一类：用途越界时，系统会不会拒绝？

仍以上面的办公助手为例：拿一份只获准用于检索改进的测试数据，尝试用于另一个训练任务。验收应检查是否被阻止、拒绝理由能否追溯。只看正常任务成功，测不到用途限制有没有真正生效。

第二类：拿到的结果，会不会比授权更多？

如果批准的是汇总问题类型，就尝试导出逐条原始记录；如果批准的是某个部门的数据，就尝试跨部门读取。记录哪些结果被放行、哪些被拦截。日志也要检查，避免正文没有外泄，调试信息却复制了完整内容。

第三类：规则变了，旧数据怎么处理？

升级程序、增加用途、改变输出范围，都应有明确的重新评审路径。可以先列一张变更清单，写明是否需要重新授权、谁负责审核、如何验证旧规则仍有效。不能把“此前点过同意”当成以后所有变化的依据。

这些测试可以先用合成数据做。观察重点是越界是否被阻止、正常任务是否被误拦、核查记录是否足够定位问题。若出现误拦，应缩小并说明需要调整的规则，再回归测试；不要为了让任务跑通，直接扩大整批数据的用途。

能核查，不代表没有剩余风险#

Google 的介绍仍保留了硬件隔离和侧信道的限制。侧信道可以简单理解为：攻击者可能从运行时的间接线索推测信息。文章也把软件组件的完整正确性证明列为未来方向，不能把标题中的“可证明”理解为所有风险已经消失。

因此，是否采用类似方案，仍要看数据敏感程度、工程成本、性能影响和组织的核查能力。若一个任务根本不需要历史原始数据，优先少收集一些，通常更容易解释和验收。

我更愿意把这次工作看成一种产品要求的变化：当团队说“只会按约定使用数据”，下一句话应该说明，约定在哪里、由什么机制执行、用什么测试证明。用户不需要理解全部底层原理，但产品团队应该能拿出可检查的答案。

来源与边界#

• 最新来源： Google Research《Toward provably private learning from federated data》，2026 年 10 月 2 日，Katharine Daly 与 Daniel Ramage。本文依据其新工程介绍选题，没有把早期论文当成当日新发论文。
• 实验来源： 同名研究论文 v4，Google 团队；初稿 2026 年 9 月 25 日，v4 为 9 月 30 日。上文数字来自第 5.3 节线上对照与第 6.1 节规模说明。对象是 Gboard 模型，比较新系统训练方案与旧生产模型，不是厂商模型排名，也不是单变量硬件实验。
• 实现材料： 官方博客链接的 Confidential Federated Compute 仓库用于核对用途规则与程序验证机制。README 说明它不是 Google 官方支持的产品；公开代码不等于商业服务承诺。
• 结论边界： 本文没有独立复现实验，也没有测试硬件安全性。实验数据不能证明任意办公助手或大模型都能获得相同比例收益。办公助手例子、三类验收题及变更清单均为本文的产品建议，不是作者个人项目成果或 Google 的部署要求。