面向联邦学习中高效且可验证的恶意攻击恢复
内容提要
该文综述联邦学习中的投毒攻击与防御研究：FedRecover利用历史信息恢复全局模型，FLDetector基于历史更新检测恶意客户端，FLCert用集成学习实现可证明安全，FLTracer可追踪攻击并鲁棒检测，FreqFed在频域过滤恶意更新；另有研究探讨NextG分布式学习中的主动防御及数据无关的图自编码器攻击，表明防御仍需加强。
延伸解读
防御思路的分化：恢复、检测与过滤
文中列举的防御方法并非同一路径：FedRecover 侧重事后恢复，利用历史信息重建全局模型；FLDetector 和 FLTracer 侧重检测恶意客户端，分别基于更新预测和跨轮次卡尔曼滤波；FreqFed 则在聚合阶段将更新转换到频域过滤恶意成分。读者可据此区分“攻击后恢复”“攻击中识别”和“聚合时过滤”三类机制，理解它们在不同环节发挥作用。
可证明安全与经验检测的差异
FLCert 通过客户端分组、集成学习和多数投票，对有限数量恶意客户端提供可证明的安全性，这与 FLDetector、FLTracer 等依赖历史更新异常检测的方法形成对比。后者在实验中报告了较高真阳性率和较低假阳性率，但属于经验性评估；前者有理论保证，却受限于恶意客户端数量假设。两者互补，而非互相替代。
简单防御在实践中可能被低估
文中一项系统化研究指出，与过去认识不同，即使是简单低成本的防护措施，联邦学习在实践中也表现出高度强健性。这一结论提醒读者，不必默认只有复杂机制才有效；同时该研究还提出了新型数据和模型投毒攻击，说明防御效果需结合具体攻击形式评估，简单防御的强健性也有其边界。
数据无关攻击暴露检测盲区
基于对抗图自编码器的攻击方法不依赖直接操纵训练数据，而是通过监听本地和全局模型提取图结构关联，生成恶意本地模型，导致联邦学习准确性逐渐下降。文中明确指出现有防御机制无法检测这种攻击。这提示读者，依赖更新一致性或历史模式的检测方法可能面对新型攻击时失效，防御研究仍需加强。
Q&A
FedRecover 是如何恢复被攻击的联邦学习全局模型的？
FedRecover 通过储存全局模型和客户机模型更新的历史信息，利用几种优化策略来恢复准确的全局模型，从而防止对联邦学习的攻击。
FLDetector 检测恶意客户端的原理是什么？
FLDetector 基于 Cauchy 均值定理和 L-BFGS 对客户端的历史模型更新进行预测，以检测其是否存在不一致性，从而准确检测恶意客户端。
FLCert 如何实现可证明的安全性？
FLCert 基于集成学习方法，将客户端分组，使用现有联邦学习算法为每组客户端学习全局模型，并在全局模型之间取多数投票来分类测试输入，从而对有限数量的恶意客户端攻击具有可证明的安全性。
FLTracer 在检测攻击方面的性能如何？
FLTracer 在平均真阳性率高于 96.88% 的情况下，平均假阳性率低于 2.67%，明显优于现有的检测方法。
FreqFed 如何过滤恶意攻击？
FreqFed 通过将模型更新转换到频域，可以有效过滤掉恶意攻击，无论攻击类型、策略和客户端数据分布，从而在不影响聚合模型实用性的前提下有效缓解毒化攻击。
在 NextG 分布式学习中，主动防御机制是如何工作的？
主动防御机制对参与分布式学习系统的客户端的准入或拒绝进行明智决策，以保护 NextG 通信中分布式学习系统免受毒化攻击。
