联邦蒸馏中的对数攻击
内容提要
该文综述联邦学习中的数据毒化攻击与防御，涵盖AT2FL的多任务投毒策略计算、FLDetector基于历史更新的恶意客户端检测、FedMD共享输出日志面临的PLI攻击，以及FreqFed频域聚合、FedDefender客户端防御、LearnDefend防御数据集检测和FMPA灵活可控攻击等方法，并指出简单低成本防御在实践中已较为稳健。
延伸解读
从攻击到防御：联邦学习安全研究的演进脉络
文章按时间顺序梳理了联邦学习中毒攻击与防御的代表性工作，从2020年的AT2FL多任务投毒策略，到2022年的FLDetector检测工具，再到2023年的PLI攻击、FreqFed频域聚合等。这一脉络显示，攻击与防御在持续博弈：早期研究揭示漏洞，随后出现基于历史更新预测的检测方法，而新的攻击又利用共享输出日志等环节。读者可借此理解该领域问题如何被逐步细化。
简单低成本防御在实践中已较为稳健
文章特别指出，与过去认为简单防护不足的错误认识不同，实验验证即使是简单低成本的防护措施，联邦学习在实践中也高度强健。这一结论对实际部署有参考价值：在资源有限时，不必过度追求复杂防御机制，基础防护可能已能应对多数非定向毒化攻击。但需注意，该结论针对生产环境中的非定向攻击，定向攻击仍可能构成威胁。
频域聚合与客户端防御：两种防御思路的对比
FreqFed将模型更新转换到频域进行过滤，声称可无视攻击类型、策略和客户端数据分布，在不影响实用性的前提下缓解毒化攻击。FedDefender则从客户端角度，通过攻击容忍的本地元更新和全局知识蒸馏来抵御中毒并提取知识。两者分别从聚合机制和客户端防御切入，展示了防御策略的多样性。读者可关注其适用场景与计算开销的差异。
模型蒸馏的隐私风险：共享输出日志并非绝对安全
FedMD使用模型蒸馏共享输出日志而非模型参数，被认为比直接共享梯度更安全。但文章指出，恶意服务器仍可利用PLI攻击FedMD及其变体，在面部识别数据集上实验验证了数据曝光风险。这提醒读者，隐私保护方案需考虑输出日志可能泄露的信息，不能仅因不共享参数就放松警惕。
Q&A
联邦学习中的AT2FL攻击是什么？
AT2FL是一种针对联邦多任务学习系统的设备投毒攻击方法，它通过自适应双层优化和系统感知优化来计算投毒策略，实验表明无论是直接毒害目标节点还是利用通信协议间接毒害相关节点，联邦多任务学习模型都极易受到该攻击影响。
FLDetector如何检测联邦学习中的恶意客户端？
FLDetector基于Cauchy均值定理和L-BFGS对客户端的历史模型更新进行预测，通过检测更新不一致性来识别恶意客户端，并在多种模型投毒攻击中准确检测，去除恶意客户端后能提高模型准确性。
FedMD共享输出日志存在什么安全风险？
FedMD使用模型蒸馏共享公共数据集的输出日志而非模型参数以保护隐私，但恶意服务器仍可利用PLI攻击FedMD及其变体，导致数据曝光风险，该风险在多个面部识别数据集上得到验证。
FreqFed如何防御联邦学习中的投毒攻击？
FreqFed是一种新颖的聚合机制，它将模型更新转换到频域，从而有效过滤恶意攻击，无论攻击类型、策略和客户端数据分布如何，都能在不影响聚合模型实用性的前提下缓解毒化攻击。
FedDefender客户端防御机制包含哪些组件？
FedDefender包含两个组件：攻击容忍的本地元更新和攻击容忍的全局知识蒸馏，通过这两个组件实现对联邦学习模型中毒攻击的抵御和知识提取，提高鲁棒性。
LearnDefend如何利用防御数据集检测被毒害数据？
LearnDefend使用一小部分防御数据集来估计客户更新是恶意的概率，并学习一个可以标记清洁或污染例子的被毒害数据检测器模型，同时在配对优化时估计客户端的重要性模型，实验证明它能有效防御最先进攻击且对清洁样本大小和噪音具有鲁棒性。
FMPA攻击有什么特点？
FMPA是一种灵活的模型中毒攻击方法，它利用全局历史信息构建预测模型并进行微调，无需额外知识即可攻击联邦学习，并能对全局准确性进行细粒度可控攻击，是目前最优秀的攻击方法之一。
简单低成本的防御措施在联邦学习实践中效果如何？
根据系统化研究，与过去的错误认识不同，即使是简单低成本的防护措施，联邦学习在实践中也是高度强健的，能够有效抵御非定向毒化攻击。
