消除梯度反转攻击中的硬标签约束
内容提要
该文综述联邦学习中的梯度反演攻击与防御。攻击可从共享梯度或权重中恢复训练图像，在CIFAR-10、ImageNet上超越GradInversion；新方法利用最后一层梯度与标签映射、多重时间梯度等提升重构效果。防御方面，重叠梯度、损失函数设计、同标签批处理、梯度量化与稀疏化可降低泄露风险。
延伸解读
攻击演进：从硬标签约束到多重时间梯度
文章梳理了梯度反演攻击的演进脉络。早期方法如GradInversion依赖硬标签约束，而新方法通过利用最后一层梯度与标签映射、多重时间梯度（TGIAs-RO）等，在CIFAR-10和ImageNet上实现了更优的重构效果。这表明攻击者正逐步放宽假设，提升攻击的实用性和鲁棒性，防御方面临更大挑战。
防御策略：梯度混合与量化稀疏化
针对梯度泄露，文章指出重叠梯度、设计合适的损失函数、同标签批处理可最大程度混合梯度，避免数据泄露。此外，梯度量化和稀疏化能显著降低攻击成功率。这些防御手段从梯度生成和传输环节入手，为联邦学习隐私保护提供了可行方向，但需平衡模型效用与隐私开销。
评估与度量：信息泄露的连续统计
文章提出基于绝对变异距离的信息泄露连续统计，用于量化泄露程度。这种度量方式有助于更细致地评估防御效果，而非仅依赖攻击成功与否的二值判断。结合对多种防御机制的性能开销评估，该统计为权衡隐私与效用提供了量化依据，推动更系统的防御设计。
Q&A
梯度反演攻击是什么？它如何威胁联邦学习中的隐私？
梯度反演攻击是一种从共享梯度或权重中恢复训练数据的方法，在联邦学习中，攻击者可以利用这些梯度信息重构出用户的私有训练图像，从而造成数据泄露。
有哪些方法可以防御梯度反演攻击？
防御方法包括：重叠梯度以在全连接层提供数值抵抗、设计合适的损失函数、对相同标签的样本进行批处理以混合梯度、以及梯度量化和稀疏化来降低攻击成功率。
如何从模型最后一层的梯度和标签映射中推断训练样本的标签？
通过分析模型最后一层的梯度和id映射，可以发现训练样本的标签，该方法适用于图像分类和自动语音识别等多种模型架构。
TGIAs-RO攻击是什么？它有什么特点？
TGIAs-RO是一种新型梯度反演攻击，采用多重时间梯度来恢复本地客户端保留的私有数据，能有效克服瓶颈，提高重构性能和鲁棒性。
梯度量化和稀疏化如何影响梯度反演攻击的成功率？
梯度量化和稀疏化可以显著降低梯度反演攻击的成功率，从而增强隐私保护。
在联邦学习中，如何通过损失函数设计来防御梯度反演攻击？
通过设计合适的损失函数，可以最大程度地混合梯度，避免数据泄露的风险。例如，使用语义损失函数和注入对抗样本增加训练数据多样性，使攻击模型更关注类相关部分，从而提高防御效果。
