本文目录导读：
联邦学习（Federated Learning, FL）通过“数据不动模型动”的方式，在一定程度上缓解了数据隐私问题，这种分布式训练范式也引入了全新的、独特的攻击面。
联邦学习面临的安全威胁主要分为两大类：投毒攻击（Poisoning Attacks） 和 推断攻击（Inference Attacks），通信和模型聚合过程中的基础设施漏洞也值得关注。
以下是详细的分类和解析：
模型投毒攻击（Model Poisoning Attacks）
这是联邦学习中最致命的威胁之一,攻击者通过操控参与训练的客户端或服务器，破坏全局模型的完整性、可用性或引入后门。
-
针对数据投毒（Data Poisoning）——上游攻击
- 方式：攻击者控制一个或多个客户端，在本地数据中注入恶意样本或错误标签。
- 目标：破坏模型的收敛性，或诱导模型学习错误模式。
- 变种：
- 随机标签翻转：简单但影响大，会显著降低全局模型精度。
- 后门攻击（Backdoor Attack）：最常见且隐蔽的威胁，攻击者在特定触发模式（如特定像素图案）下让模型输出错误结果（如将带“黄色方块”的Stop标志识别为限速标志），而在正常数据下模型表现良好，极难被服务器检测。
-
针对模型更新投毒（Model Update Poisoning）——中游攻击
- 方式：攻击者不直接修改本地数据，而是直接修改上传的模型梯度或参数，这使得攻击更高效，可以绕过数据层面的防御。
- 常见手段：
- 梯度缩放：恶意客户端发送的更新向量方向正确，但幅度极大，从而盖过大多数诚实客户端的更新。
- 替代模型训练：攻击者本地训练一个恶意模型，然后将该模型的参数上传，试图将全局模型“拉”向错误方向。
- 拜占庭攻击：发送任意随机的或精心构造的错误更新，破坏聚合算法的鲁棒性。
推理攻击（Inference Attacks）
这类攻击的目标是窃取其他参与方的隐私信息，联邦学习虽然降低了直接接触原始数据的风险，但模型的参数和梯度仍然携带了大量用户特征。
-
成员推理攻击（Membership Inference Attack）
- 目标：推断某条特定数据是否被用于训练某个客户的模型。
- 风险：推断某个用户的数据是否被用于训练某个疾病预测模型，从而获知该用户患有某种疾病。
- 原理：攻击者（通常是恶意服务器或恶意客户端）观察模型在目标数据上的表现，模型往往对其训练数据过拟合，从而泄露成员信息。
-
属性推理攻击（Attribute Inference Attack）
- 目标：推断训练数据集中未被直接包含的全局统计属性，或推断特定用户的其他敏感属性。
- 例子：参与方想训练一个“性别分类”模型，但攻击者可以通过分析梯度推断出用户画像（如某用户数据集中“是否有孩子”这一特征）。
-
梯度/参数窃取（Gradient Leakage / Deep Leakage from Gradients）
- 目标：从上传的梯度中完整重构原始数据，这被认为是最严重的隐私威胁之一。
- 方式：攻击者（通常是恶意服务器）在接收到梯度后，通过优化算法迭代生成伪数据，使得伪数据的梯度与真实梯度尽可能接近，最终恢复出训练数据的高清晰度图像或文本，研究表明，即使在小批量数据（如batch size=8）上，重建效果也相当好。
基础设施与协作破坏
-
通信攻击
- 窃听：攻击者通过不安全的通信渠道截获客户端上传的模型更新，用于后续的推断攻击。
- 篡改/丢包：攻击者故意丢弃或修改传输中的数据，破坏模型的聚合过程。
- 拒绝服务（DoS）：攻击服务器或关键客户端，导致全局训练中断或失败。
-
拜占庭故障（Byzantine Failures）
虽然这包含在投毒攻击中,但它更侧重于指代非恶意但行为异常的客户端（如硬件故障、软件Bug、被恶意软件感染），这些客户端会输出任意错误的更新，可能同样导致全局模型失效。
-
恶意服务器攻击（Malicious Server）
- 服务器是整个联邦学习系统的中心,如果服务器被攻破，风险极大：
- 获取所有明文梯度：可以执行梯度窃取攻击。
- 选择性跳过更新：有选择地忽略某些客户端的更新，操控模型收敛方向。
- 数据重放攻击：重复使用历史更新，干扰模型学习。
- 服务器是整个联邦学习系统的中心,如果服务器被攻破，风险极大：
攻击的深度剖析与总结
| 威胁类型 | 攻击者 | 主要目标 | 典型手段 | 检测难度 |
|---|---|---|---|---|
| 模型投毒 | 恶意客户端 | 破坏模型可用性或完整性 | 梯度缩放、标签翻转、后门触发、拜占庭攻击 | 中等（后门攻击非常隐蔽） |
| 推理攻击 | 恶意服务器/客户端 | 窃取用户隐私 | 成员推断、属性推断、梯度重构数据 | 极高（依赖统计特性） |
| 基础设施攻击 | 外部攻击者/恶意服务器 | 中断服务或获取控制权 | DoS攻击、通信窃听、选择性聚合 | 较低（有成熟防护手段） |
实际场景的复杂性
现实中的攻击往往是组合式的。
- 攻击链：外部攻击者先通过漏洞攻破一个客户端（变成恶意客户端），然后利用该客户端进行投毒攻击（破坏模型），同时进行推断攻击（窃取其他客户端的梯度信息）。
- 多轮攻击：攻击者可能在前几轮中保持诚实，建立信誉，在关键时刻发动一次毁灭性投毒，增加被检测出来的难度。
如何防御？
对应的防御方向主要包括：
- 针对投毒：鲁棒聚合算法（如Krum、Trimmed Mean、Median）、差分隐私（DP-SGD，有损精度但有效）、异常检测与剪枝、客户端验证（认证、白名单）。
- 针对推断：差分隐私（在梯度中加入噪声，是最强的数学隐私保护手段）、安全多方计算（SMPC）、同态加密（HE）、模型蒸馏。
- 针对基础设施：加密通信（TLS）、身份认证与访问控制、监控与审计。
一句话总结：联邦学习的核心安全悖论在于——你必须向服务器暴露梯度来训练模型，而梯度恰恰是重建隐私数据的关键线索，最有效的方法通常是结合差分隐私（抵御推理）和鲁棒聚合（抵御投毒），但这会牺牲模型精度和训练速度。
