49、联邦学习安全问题解析与防御策略

联邦学习安全问题解析与防御策略

1 攻击类型及其特点

1.1 角度偏差

在联邦学习中，许多防御策略采用聚类方法来区分良性更新和中毒更新。然而，使用角度偏差来丢弃中毒模型时，可能会遗漏良性模型。若客户端的数据分布高度非独立同分布（Non - IID），或者其训练数据特征与其他客户端相比独特，会导致客户端的模型更新偏离预期范围。若这些异常值被误判为异常并丢弃，全局模型将无法学习到这些独特特征，这对所有客户端来说都是损失。

1.2 幅度偏差

幅度偏差更多是模型中毒而非数据中毒的结果。攻击者为了在全局模型中扩大自身影响或用中毒的本地模型替换全局模型，会在将本地梯度更新提交给服务器之前进行放大。主要原因包括：
- 在后门攻击中，通常在轻微角度偏差后对中毒模型进行放大。
- 在拜占庭攻击中，修改梯度更新以使其远离收敛，使用缩放来削弱良性客户端的贡献。

防御幅度偏差主要是对更新进行裁剪，确保其与客户端提交的其他更新相匹配。虽然裁剪不能完全去除中毒更新，但能减轻恶意模型在聚合过程中的影响。

1.3 轻微偏差

如果攻击者不想被检测到，会更谨慎地控制角度和幅度偏差的程度。他们会改变恶意模型，使其保持在阈值范围内。假设防御方法找到了限制中毒模型影响的最佳阈值，攻击模型的影响将极小，攻击成功率也可忽略不计。即使攻击者成功发起轻微偏差的攻击，其效果也会在接下来的几轮中逐渐减弱，使全局模型恢复良性。

2 常见防御方法

2.1 聚类

当攻击者的模型试图使全局模型偏离其主要任务目标时，往往会有较大的角度偏差。利用这个角度偏差可以将良性