联邦学习漏洞：分布式训练攻防实录
一、漏洞全景：威胁分类与攻击路径
联邦学习（FL）虽以隐私保护为核心，但其分布式架构衍生出三类高危漏洞，需测试人员重点关注：
后门攻击
攻击原理：恶意客户端在本地数据植入隐蔽触发器（如特定像素图案），使全局模型对含触发器的输入产生定向误分类。
测试验证点：
触发器检测：通过梯度反转技术重构潜在触发器，验证模型对扰动样本的鲁棒性。
模型一致性：对比不同客户端模型更新量的KL散度，识别异常参数分布。
隐私泄露攻击
攻击场景：
梯度反演（GGL）：利用共享梯度+生成对抗网络（GAN）重建原始数据。
成员推断：通过模型输出分布推测特定数据是否参与训练。
测试防御有效性：
噪声注入验证：评估差分隐私（DP）噪声对梯度反演成功率的影响（如ε≤2.3时重建图像PSNR<25dB）。
加密传输测试：模拟中间人攻击，检查同态加密参数解密一致性。
模型中毒攻击
攻击形式：
类型
手段
测试检测指标
数据中毒
标签翻转/伪造样本
本地训练损失突变率
模型中毒
梯度符号翻转
聚合参数L2范数偏差
女巫攻击
伪造虚假客户端
客户端身份认证失败率
数据来源：中毒攻击分类框架参考，测试指标设计依据
二、攻防实录：典型攻击案例与防御对抗
案例1：医疗影像联合诊断系统的后门攻击
攻击过程：恶意医院在COVID-19 CT扫描数据中添加微小三角触发器，使感染病例被误判为健康。
防御测试方案：
触发器反转验证：从聚合梯度中提取潜在触发器模式，生成对抗样本注入测试集。
置信度过滤：监控客户端预测置信度分布，拦截置信度偏移＞30%的模型更新。
测试结果：采用对抗训练后，后门攻击成功率从98%降至7%。
案例2：银行反欺诈模型的梯度泄露
攻击重现：基于开源框架SecretFlow，利用GAN先验从加密梯度重建用户交易特征。
防护测试关键：
噪声粒度测试：调整DP噪声参数(ε,δ)，平衡隐私预算与模型精度（AUC下降需＜1.5%)。
压缩算法验证：1-bit量化使梯度重建PSNR降低46%，传输量减少60%。
三、测试工程师的联邦学习验证框架
针对漏洞特性，构建三层测试体系：
客户端本地测试层
数据预处理检查：验证特征对齐与标签一致性（如IID与非IID数据分布模拟）。
资源约束测试：低配设备训练崩溃率需＜2%。
通信安全测试层
传输加密：TLS证书有效性验证（漏洞检出率提升40%）。
聚合逻辑测试：模拟拜占庭节点，验证Krum/Bulyan算法对异常更新的过滤效率。
全局模型验证层
公平性评估：各客户端测试集准确率差异≤5%。
动态监测：部署Prometheus实时跟踪隐私预算消耗与收敛速度。
四、未来挑战：测试左移与红蓝对抗
法规驱动测试：欧盟AI法案要求隐私预算审计前置，需在算法设计阶段集成DP验证模块。
持续对抗演练：
每月渗透测试降低40%漏洞风险。
构建攻击知识库：收录HDPA（超维数据中毒攻击）等新型攻击向量。