“可信联邦学习”的研究被 IEEE TDSC 录用

近日，论文 《Verifiable and Byzantine-Robust Differentially Private Federated Learning》 被 IEEE Transactions on Dependable and Secure Computing（IEEE TDSC）录用。

IEEE TDSC 的全称是 IEEE Transactions on Dependable and Secure Computing，是网络空间安全领域的顶级学术期刊之一，被中国计算机学会（CCF）推荐为 A 类期刊，同时也是一区 TOP 期刊。

多方一起训练 AI，数据不出门就真的安全吗？

想象一下，多家医院、银行、智能终端厂商想共同训练一个 AI 模型，但谁都不能直接把病历、交易记录或个人设备数据交出去。

这时，联邦学习提供了一种思路：

• 数据留在本地；

• 每个参与方各自训练；

• 只上传模型更新；

• 云端服务器把各方结果汇总；

• 大家共同得到一个更好的模型。

它像是多人合写一本书：每个人不交出自己的原始资料，只交出“我建议这样修改”的意见。

但问题也随之而来。

第一，模型更新真的不会泄露隐私吗？ 第二，会不会有人故意上传错误更新，把模型带偏？ 第三，负责汇总的云服务器，真的会诚实、正确地完成计算吗？

这篇论文提出的 VBDPFL，正是围绕这三个问题，尝试构建一套“隐私保护、恶意客户端防御、服务器结果验证”三位一体的联邦学习安全方案。

第一层防护：不给原始数据，也要防“从学习痕迹中偷看”

很多人会觉得，既然原始数据没有上传，隐私问题就解决了。

其实并不完全是。

在联邦学习中，参与方虽然不直接上传原始病历、图像或交易记录，但会上传模型参数和梯度更新。对攻击者来说，这些更新有时像“学习留下的痕迹”：如果分析得足够深入，仍可能推测某些训练样本是否参与过模型训练，甚至尝试恢复数据的大致特征。

因此，论文引入了差分隐私。

简单理解，就是在上传的模型更新中加入经过精确控制的随机噪声。这样，即使攻击者看到了更新，也更难判断某一条具体数据是否参与过训练。

可以把它想象成给每个人提交的“修改意见”加上一层适度模糊：总体方向仍然有用，但无法精准还原某个人的原始信息。

当然，差分隐私不是免费午餐。

隐私保护越强，加入的噪声通常越大；噪声越大，模型训练就越可能变慢、准确率也可能下降。论文的实验也体现了这一点：当隐私预算更小、保护更严格时，模型性能会受到一定影响。

第二层防护：有人故意捣乱，怎么识别？

联邦学习里，并非每个参与者都是诚实的。

有些客户端可能因为被入侵、故障，或存在恶意目的，故意上传错误更新。它们可能想让模型无法收敛，也可能想在模型中植入“后门”——平时看起来正常，一遇到某个特殊输入就做出错误判断。

在分布式系统里，这类任意作恶或行为异常的节点通常被称为“拜占庭节点”。

问题在于：现实中的正常客户端也未必完全一致。

例如，不同医院的患者结构不同，不同手机用户的使用习惯不同，不同工厂设备的运行环境也不同。于是，正常更新之间本来就会存在差异。

如果系统简单地把“和别人不同”的客户端都剔除，很容易误伤真正诚实、但数据分布特殊的参与者。

论文提出的办法，是为每位客户端建立一种综合的“可信度评分”。它不只看某一次上传结果，而会综合评估：

• 这次更新是否有助于模型表现改善；

• 它是否偏离其他更新太远；

• 它和自己过去的行为是否突然变化；

• 它与当前全局模型的方向是否异常不一致。

如果一个客户端在多个指标上都表现可疑，它的更新就会被降低权重，或被过滤掉。

这有点像风控系统判断一笔交易是否异常：不只看金额大不大，还看频率、地点、历史行为和模式是否反常。

第三层防护：谁来监督云服务器？

即使所有客户端都很谨慎，云服务器本身仍然可能成为风险点。

服务器不一定非要“故意作恶”，也可能因为算力受限、存储错误、实现漏洞或配置问题，最终返回一个并不正确的全局模型。

而在传统联邦学习中，客户端往往只能“相信服务器说它算对了”。

论文希望改变这一点。

它通过密码学中的双线性配对等工具，为客户端上传的更新附加可验证信息。服务器完成聚合后，需要返回能够通过验证的结果；每个客户端都可以独立检查：

服务器给回来的全局模型，是否确实符合预先约定的聚合关系？

这相当于多人共同记账时，不再只是相信会计口头说“我算好了”，而是每个人手里都有一套可以核验总账是否正确的凭证。

重要的是，客户端不必重新获取其他人的原始更新，也不需要重新执行完整训练过程，就能检查服务器返回的聚合结果是否可信。

这套机制如何运作？

论文提出的 VBDPFL，大致可以概括为四步：

1. 本地训练      每个客户端用自己的本地数据训练模型，原始数据不直接上传。

2. 隐私处理      对模型更新进行裁剪，并注入差分隐私噪声，降低从更新中反推出原始数据的风险。

3. 恶意更新识别与过滤      云服务器利用多项可信度指标评估各客户端更新，识别可能的拜占庭攻击者，并降低或排除其影响。

4. 全局模型验证      客户端收到服务器返回的新模型后，可验证聚合是否正确；如果验证失败，就不接受该结果。

论文在行为传感器数据、CIFAR-10、Fashion-MNIST、血细胞图像等数据集上进行了实验，并模拟了多种攻击，包括异常均值攻击、LIE 攻击、后门攻击、自利客户端攻击和 Fang 攻击。

从实验结果看，在多种攻击、不同恶意客户端比例以及 IID/non-IID 数据分布条件下，VBDPFL 能保持相对稳定的模型性能，并在隐私、鲁棒性和验证能力之间取得一定平衡。

这项工作和普通人有什么关系？

它背后对应的是一个越来越现实的技术场景：

• 医院想联合训练辅助诊断模型，但不能集中病历；

• 银行想联合识别欺诈行为，但不能共享用户明细；

• 手机上想利用本地行为改进 AI，又不希望把个人习惯上传到云端；

• 工厂希望联合预测设备故障，但不愿暴露核心生产数据；

• 车联网、智能家居、可穿戴设备，都希望在保护数据的前提下共同提升模型能力。

未来的 AI 不会只运行在一个中心服务器里，而会越来越多地运行在由设备、机构、云端和边缘节点共同组成的复杂网络中。

在这样的环境里，“模型准确”当然重要，但远远不够。还要回答：

• 数据会不会从训练过程中泄露？

• 恶意参与者会不会破坏模型？

• 服务器的结果能不能验证？

• 数据来源差异很大时，系统能否稳定工作？

这篇论文的意义，就在于尝试把这些问题放在同一个框架中处理。

也要看到：这不是一把万能钥匙

论文自身也指出，它目前依赖服务器侧拥有可靠的参考数据集，以辅助评估客户端更新；但在现实应用中，服务器未必总能获得这样的数据。

此外，面对完全了解系统规则、并专门针对检测机制设计的白盒自适应攻击，方案尚未给出覆盖所有情形的严格保证。

再者，差分隐私永远伴随着权衡：

隐私越强，噪声越大； 噪声越大，模型效用越可能下降。

如何选择合适的隐私参数、如何降低大规模密码学验证的系统成本、如何应对更复杂的攻击者，仍然是联邦学习走向实际部署时必须解决的问题。

最后

如果把联邦学习比作“多人共同训练一个 AI”，那么这篇论文想解决的是：

每个人都不交出原始数据； 有人乱传信息时，系统能发现； 云服务器汇总后，大家还能验证它没有算错、改错或伪造结果。

这也是它被 IEEE TDSC 录用的意义所在：它关注的不只是“让模型学得更好”，而是试图让分布式 AI 在隐私、攻击和系统不可靠性同时存在的情况下，依然具备可验证的可信基础。

支持单位：