FedMAST：用多轴结构痕迹检测并遏制联邦学习后门

联邦学习中，受隐蔽约束的后门投毒会把异常从单一证据通道挪走，现有防御仍可能放过这些更新。

• 场景：作者认为，联邦学习不共享原始数据，但全局模型依赖客户端提交的更新；恶意客户端可在保持正常性能的同时植入隐藏行为，常规评测下难以发现。
• 现有不足：Krum、坐标中位数和 trimmed mean 等按距离或坐标统计做选择，作者称其在 non-IID 下选择性有限，且恶意更新被约束到接近良性更新时可以绕过。只依赖聚类、裁剪、历史一致性、方向对齐或层感知过滤中某一证据视角时，攻击者可针对该视角优化。
• 核心观察：作者认为，压低被优化针对的异常信号、同时保留有效后门，会把恶意足迹转移到另一条结构、历史、时序或谱通道；被孤立信号漏掉的痕迹仍可能留在耦合特征与持续方向变化里。
• 提出的方法：FedMAST（Federated Multi-Axis Structural Tracing）在服务端用互补的结构、谱和历史证据给客户端更新打分，再做分层过滤和轮级遏制。配套有 squeeze-pair 相干评分、有符号时序谱漂移，以及针对 FedMAST 可观测结构构造的 method-aware 攻击 COVERT LAYERS。
• 威胁模型：
  • 目标：在全局模型中诱导由触发条件决定的目标行为，同时保持模型效用，并把可观测证据压到仍能通过服务器聚合与防御规则。
  • 知识与能力：恶意子集可投毒本地数据、修改本地训练、协调行为或后处理本地模型更新。method-aware 攻击者可针对 FedMAST 的可观测结构自适应，但不观察当前良性更新，也不观察服务器运行时的历史状态、阈值、缓冲区和谱累加器。
  • 服务器所见：服务器分发当前全局模型并接收本地模型，只观察更新和协议级元数据，不观察原始客户端数据，也不需要可信参考数据集。FedMAST 需要稳定的假名客户端标识，历史可从冻结检查点初始化，或由低风险接受更新在线滚动建立。
  • 受害系统：标准联邦训练中的全局模型；主实验为 CIFAR-10 上约 0.27M 参数的 Tiny ResNet-18。

联邦后门攻击

• 模型替换与持久后门：Bagdasaryan 等（2020）的 model-replacement 放大恶意更新，把聚合模型推向攻击者选定行为；Attack of the Tails（Wang 等，2020）和 Neurotoxin（Zhang 等，2022）针对良性训练动态提高后门持久性。
• 分布式与防御感知攻击：DBA（Xie 等，2019）把部分触发模式分到协同客户端，聚合后形成后门。3DFed（Li 等，2023）组合角色协同、噪声掩码、诱饵模型与自适应调节以躲避多类防御；BC-Layers（Zhuang 等，2024）把投毒集中在后门关键层；LGA（Yang 等，2025）使恶意更新与良性的逐层方向对齐。作者称，距离、方向、层集中度和轮内聚类因此都可能成为明确的逃避目标。

模型投毒与后门防御

• 鲁棒聚合：Krum 与 MultiKrum（Blanchard 等，2017）按邻居距离选择更新；坐标中位数和 trimmed mean（Yin 等，2018）削弱极端坐标。作者称其在 non-IID 下选择性有限（Hsu 等，2019），且更新被约束到接近良性时可以绕过（Guerraoui 等，2018；Baruch 等，2019）。FLTrust 用服务器可信数据，FLDetector 用历史预测，CRFL 约束全局模型移动。
• 后门专用与有状态防御：FLAME 结合聚类、裁剪和噪声注入；DeepSight 做模型行为检查；另有多指标更新检测、频率信息、方向对齐（AlignIns）和按层关键性做代理替换的方法。有状态防御把跨轮信息用于检测与缓解。作者称这些证据源有用，但每一源也可被 defense-aware 攻击者当成逃避目标。

基线方法与基准

• 基线：Table II 按攻击机制匹配基线：Constrain and Scale、Neurotoxin 对 Trimmed Mean；BC-Layers 对 MultiKrum；LGA、DBA、3DFed 对 AlignIns 与 FLAME。自适应实验另含 FedAvg。主基准为 CIFAR-10，并在 EMNIST-Balanced 与 FEMNIST 上做跨数据集评测。

作者把 FedMAST 定位为评测多条异常信号之间的相干性及其跨轮演化，而不是依赖单一聚合分数；有符号时序谱漂移保留阶段性谱变化的方向，squeeze-pair 显式刻画结构相关特征之间的关系，目标是自适应攻击压低幅度、方向、谱或逐层异常后仍可能留下的残差不一致。

FedMAST 在服务端把每个客户端更新映射到互补证据轴，用稳健阈值做硬共识和谱标记，再决定本轮用 FedAvg 还是遏制，并隔离可疑轮的历史。

问题设定与证据轴

• 更新：第 t 轮服务器采样客户端集合，收到本地模型后计算更新 Δi,t = w̃i,t − wt，再按聚合规则得到下一全局模型。七条证据轴为 round、squeeze、hist、anchor、traj、mom、spec。
• 结构库：Table I 的 22 维结构特征分五族：全局更新几何、方向对齐、层能量守恒、谱/形状、跨层一致性。另有 6 个 layer-2–4 的 top-SV-ratio 与谱熵特征专用于有符号 Dspec，不并入无符号结构库。
• 轮内标准化：对结构特征 k，用当前可评分集合的中位数和缩放 MAD 得到 zi,k（式 2，常数 1.4826）。非有限值用有限值的中位数替换；无有限值或缩放 MAD 低于 10^−12 的特征贡献为零。

Squeeze-pair 与历史、时序分数

• Squeeze-pair：对预定义配对 Q，Dsqueeze 取各对 √(zi,a² + zi,b²) 的最大值。四对来自结构约束：历史基线距离与 layer-4 ℓ2 范数；到轮均值的余弦与分类头谱熵；头/总范数比与头 top-SV 比；分类器/骨干范数比与骨干最大峰度。作者称，压低其中一个特征可能把残差推到配对的另一侧。
• Dround 与 Dhist：Dround 是五族内各取 top-2 均值后再取最大。Dhist 把结构证据相对已接受更新的冻结或滚动基线再标准化，阈值用去掉首轮离群后再做一次 MAD、且不低于首轮阈值一半的 IterMAD。Danchor 用原始特征到历史中心的距离，供簇二分、反转检查和基于锚点的重选；当采样群体整体远离该参考（中位 Danchor 大于 θcat=100）时，锚点相关决策关闭。
• 轨迹与动量：轨迹跟踪分类器/骨干比、头/总比、头 top-SV 比、layer-4 ℓ∞/ℓ2 比和 layer-4 偏度，使用 EMA 偏差（新值权重 0.3）、波动、绝对线性趋势和相继变化的一致性。动量是 RankScore 分位数的 EMA（衰减 0.7），五次出现后启用。二者需要足够历史，只影响排序，不单独触发拒绝。

有符号谱漂移与轮级决策

• 谱分数：谱证据在至少两个 top-SV 和两个熵特征有效时可用。单次出现的有符号分数为 si,t = −ẑ_topSV + ẑ_entropy；同一假名分区重复出现时用衰减 α 的 EMA 累加。谱阈值取出现次数不少于 na 的分区上 Dspec 的分位数与下限 θmin 的较大者；满足条件的分区少于五个时阈值设为无穷，即不启用。
• 标记：硬轴为 round、squeeze、hist，阈值为中位数加 k 倍缩放 MAD。客户端在至少 c=2 条硬轴超阈时进入 H；三条都超阈且至少一条超过 2 倍阈值时进入更强的 H*。谱集合 Σ 独立于硬共识。
• 接受集与遏制：锚点有效且簇二分选出较近簇时，接受集去掉 Σ 与 H*，并在规模仍大于 nfloor 时按 RankScore 从 H 中弹出最高者，本轮标为可疑。否则接受集为可评分集合去掉 H 与 Σ；若少于 nmin，则从 H 中排除 Σ 与 H* 后按最低 RankScore 救回，直到达到 nmin。簇二分把原始特征相对历史中位数和 MAD 标准化，从最远一对初始化两个簇，仅当两簇都至少有两名客户端且较远质心到历史原点的距离至少为较近者的 1.5 倍时接受划分。
• 校验：接受集反转在两边人数足够且接受集平均锚点距离超过 max(10, 1.5×拒绝集) 时成立。聚合漂移 Dagg 是接受联盟六阶段 ℓ2 范数签名与其历史 EMA（衰减 0.8）的余弦距离，五个可靠轮之后启用，超过 0.3 则标记。校验失败会把本轮标为可疑并触发锚点重选或遏制。可靠轮对接受集做 FedAvg，并把 RankScore 不高于当轮中位数的客户端写入历史；可疑轮使用配置的遏制策略，实验中为坐标中位数，接受集小于 nfloor=3 时保留原全局模型，且历史不更新。

评测用自适应攻击与成功判定

• COVERT LAYERS：在 BC-Layers 上保留触发关键层的后门目标，同时压低 FedMAST 可见的幅度、方向和层集中证据。攻击者用本地代理模型估计良性更新结构，经层替换分析得到关键层集合 L*。对每个关键层，用 λ 把恶意权重与良性代理平均混合（式 11）；非关键层从良性参考初始化。随后在可训练参数空间做三步：向非关键层注入校准噪声以平滑层能量，把更新方向混向良性代理均值（式 12），并把范数投向良性代理范数的中位数。若逃避后的后门成功低于完整恶意模型成功的某个最小比例，则分阶段放宽约束：减弱方向混合与非关键层平滑、减弱范数匹配、增大 λ，必要时把下一个最关键层加入 L*。
• 指标：每轮在干净测试样本上算 MTA，在带触发的测试样本上算 ASR；ASR 只计真实标签不是目标标签的样本。DBA 用组装后的全局触发计算 ASR。表中 MTA 与 ASR 为最后 100 轮的均值加减标准差。

实验设置

• 联邦设置：CIFAR-10，N=100 个客户端，每轮采样 10 个，共 200 轮。Dirichlet non-IID，α=0.9，每分区 80/20 本地划分，种子 42。模型为约 0.27M 参数的 Tiny ResNet-18。
• 训练：良性客户端用带动量 0.9 的 SGD、权重衰减 5×10^−4、标签平滑 0.05、批大小 64、余弦学习率衰减；学习率从 {0.003, 0.004, 0.005}、本地轮数从 {1, 2, 3} 独立抽样。恶意客户端从同一全局模型出发，但换成攻击目标。除非攻击自带触发，目标标签为 2，固定触发攻击每个中毒小批 20 个触发样本。附录称共同触发为右下角 8×8 橙色块。
• 防御参数：主 CIFAR-10 实验从冻结的 50 轮无攻击历史初始化；无冻结历史时用两轮预热。可疑轮遏制为坐标中位数。k=3，最少接受 5 个客户端，历史缓冲 20 轮，轨迹窗口 15 次出现，谱 EMA 衰减 0.7，谱标记至少 5 次出现、85 分位、下限 0.5。作者称这些默认值只选一次，并未按特定攻击或数据集优化。
• 攻击与基线：Table II：C&S、Neurotoxin 各 1 个恶意客户端，基线 Trimmed Mean；BC-Layers 1 个，基线 MultiKrum；LGA 3 个，基线 AlignIns 与 FLAME；DBA 4 个，3DFed 3 个，基线同为 AlignIns 与 FLAME。Table IV 的 COVERT LAYERS 另与 FedAvg、MultiKrum 比较。所有防御使用相同采样、划分和攻击预算。
• 指标：MTA、ASR（最后 100 轮 μ±σ）；Sel. 为接受的恶意更新百分比，FPR 为拒绝的良性更新百分比，二者统计 200 轮中全部适用出现。Trimmed Mean 的 Sel. 与 FPR 标为不适用。
• 其他数据：同一实现在 47 类 EMNIST-Balanced 与 FEMNIST 上评测。Figure 3 给出六种攻击的 200 轮 ASR 轨迹，正文未列出图中逐点数值。

主结果

据 Table III，最后 100 轮（μ±σ）。LGA、DBA、3DFed 各有两个基线，FedMAST 每个攻击只报一行。

Swipe horizontally to read the table

攻击（恶意数）	基线 MTA / ASR	FedMAST MTA / ASR	FedMAST Sel. / FPR
C&S（1）	94.66±0.81 / 85.72±7.73	94.58±0.83 / 2.63±1.07	3.50 / 16.28
Neurotoxin（1）	94.47±0.95 / 94.37±5.22	94.52±0.97 / 1.10±0.51	0.00 / 10.44
BC-Layers（1）	82.89±3.26 / 99.97±0.10	94.46±0.84 / 1.01±0.52	0.00 / 15.44
LGA（3）	AlignIns 83.15±2.44 / 100.00±0.00；FLAME 95.08±0.84 / 94.69±5.77	95.76±0.76 / 1.61±0.60	7.73 / 23.75
DBA（4）	AlignIns 75.88±4.20 / 90.17±2.68；FLAME 85.08±1.96 / 89.52±2.22	94.36±1.03 / 0.93±0.41	0.00 / 4.23
3DFed（3）	AlignIns 92.63±2.61 / 99.01±0.88；FLAME 87.55±19.44 / 85.34±21.22	94.01±1.07 / 1.17±0.74	0.00 / 9.82

• 作者解读：作者称在六种攻击的全部九次对比中，FedMAST 的 ASR 都低于基线防御；摘要给出完整 200 轮平均 ASR 1.51%、MTA 94.84%。Table III 的 FedMAST ASR 为最后 100 轮，范围从 DBA 的 0.93±0.41% 到 C&S 的 2.63±1.07%。
• 选择率：Table III 中五种攻击的 FedMAST 恶意选择率为 0，LGA 为 7.73%、C&S 为 3.50%。结论把六种攻击加上 COVERT LAYERS 合称七次评测，恶意选择率为 0–7.7%，其中五次为零。
• 摘要中的另一组 200 轮数字：完整 200 轮 method-aware COVERT LAYERS 上，FedMAST 为 1.53% ASR、92.26% MTA；FedAvg、MultiKrum、AlignIns、FLAME 的 ASR 分别为 100.00%、99.67%、99.53%、32.84%。这组与 Table IV 的最后 100 轮统计窗口不同。

自适应攻击与误拒

• COVERT LAYERS：Table IV 最后 100 轮，FedAvg 的 ASR 为 99.76±0.20%、恶意选择率 100.00%；MultiKrum 为 99.77±0.34%、56.17%；AlignIns 为 98.70±1.41%、42.17%；FLAME 为 26.23±16.38%、40.62%；FedMAST 为 0.95±0.49%、0.00%，MTA 为 94.77±0.93%。作者称 FedMAST 拒绝了该设置下全部恶意更新，ASR 低于 1% 且 MTA 最高。
• 良性拒识：作者称六次实验中，五个分区占良性拒识的 33.2%，却只占良性出现的 6.5%，其 FPR 为 69.2%，整体为 13.5%。LGA（α=0.3）下，五个反复出现的良性客户端占假阳性的 28.26%、良性出现的 8.27%，拒绝率 82.98%，其余为 19.00%。其归一化标签熵为 0.646 对整体 0.620，主导类占比 43.3% 对 45.9%；作者称标签分布与总体大体相当。该攻击窗口前 MTA 为 95.74%，最后一轮为 95.26%。
• 轮级检测：附录 Table XI 在攻击者活跃轮上报告召回与零捕获轮：C&S 召回 96.50%、零捕获轮 3.50%；LGA 召回 92.27%、零捕获轮 2.76%；Neurotoxin、BC-Layers、DBA、3DFed、COVERT LAYERS 召回均为 100.00%、零捕获轮为 0。FPR 与 Table III 对应行一致，COVERT LAYERS 的 FPR 为 14.65%。

预算、开销与消融

• 恶意客户端预算：LGA 下每轮 10 个采样客户端中恶意数从 1 增到 5。MTA 在 95.87% 到 96.19% 之间。1–2 个恶意客户端时 ASR 为 1.27% 和 1.17%，3 个时 3.14%，占采样一半时 8.15%。最后一轮 ASR 从 1–2 个攻击者的 0.71% 和 1.13% 增至 5 个攻击者的 14.32%。
• 开销：作者称 FedMAST 不改变客户端训练、通信或模型结构，端到端运行时增加 9.1%，平均执行时间从 98.5 分钟增至 107.4 分钟，约每轮 2.7 秒。
• 轴覆盖：Neurotoxin、BC-Layers 和 COVERT LAYERS 在结构与历史轴上的覆盖为 99.5–100%。LGA 主要由谱轴检出（89.0%，其他轴 ≤1.8%）；3DFed 则结构/历史覆盖 100%、谱覆盖 0%。

其他消融与分析

• Table V，攻击窗口：LGA 上完整 FedMAST 的 ASR/召回/FPR 为 1.18 / 99.67 / 23.00；去掉谱漂移为 24.14 / 29.63 / 24.97；谱漂移并入特征库为 25.91 / 23.87 / 23.65；无符号逐轮谱为 22.74 / 34.57 / 28.53；去掉历史基础设施为 5.70 / 67.49 / 18.17。
• Table V 续：C&S 上完整方法 1.50 / 99.00 / 18.33，去掉 Dsqueeze 为 1.82 / 92.00 / 22.22。DBA 上完整方法 1.09 / 100.00 / 0.00，去掉 Dhist 为 1.07 / 100.00 / 9.10。
• 冷启动：C&S 从第 1 轮投毒且无冻结历史时，两轮预热的 ASR 为 19.89% 和 20.50%；第 3 轮起拒绝随后 98 次恶意更新，预热后召回 100%（总体 98%）。
• non-IID：LGA 下 α∈{0.3, 0.5, 0.7}，MTA 在 95.55%–95.93%，ASR 在 1.74%–2.21%，FPR 在 24.36%–29.37%；前五假阳性分区的合计 FPR 为 81.8%–92.6%。
• 跨数据集：EMNIST-Balanced 上 LGA，100 轮 MTA 93.01±1.12%、ASR 0.22±0.18%。FEMNIST 上 method-aware COVERT LAYERS，最后 100 轮 MTA 85.15±2.25%、ASR 0.14±0.08%。
• 附录：Table XII 在攻击者活跃轮上，DBA 的遏制为坐标中位数的比例是 100.00%，LGA 为 98.34%，C&S 为 81.00%。Table XIII 中最强预定义 squeeze 配对在全部 231 对里的分位：C&S 98.3、LGA 99.6、DBA 92.2、3DFed 90.5、Neurotoxin 87.0、COVERT LAYERS 84.8。作者称不把二维与一维分离度之比当作 squeeze 机制的证据。

作者指出的局限与后续方向

• 良性拒识（Discussion and Limitations）：更强异构下良性拒绝率更高，错误集中在少数自然变化与攻击证据相似的分区。作者认为客户端级校准可能降低这种集中。
• 身份假设（同节）：FedMAST 的分区级时序状态需要稳定的假名标识。
• 未评测的攻击者（同节）：LGA 与 COVERT LAYERS 压力测试了方向感知和结构感知逃避；身份重置/Sybil，以及直接针对 FedMAST 运行时谱状态优化的攻击者，留待未来评测。
• 推广（同节）：作者称还需要在更多模态、更大模型结构、更强 non-IID 区间和更长时域的自适应攻击者上做更广验证，才能完整刻画泛化。
• 结论中的范围：结论报告七次评测里恶意更新选择率被限制在 0–7.7%，其中五次为零，同时维持较高主任务准确率；未再单列新的局限。

实验覆盖范围

• 主协议：CIFAR-10、100 客户端、每轮 10 个、200 轮、Dirichlet α=0.9、Tiny ResNet-18；MTA 与 ASR 为最后 100 轮 μ±σ。另在 47 类 EMNIST-Balanced（LGA，100 轮）和 FEMNIST（COVERT LAYERS，最后 100 轮）上使用同一实现。
• 攻击：C&S、Neurotoxin、BC-Layers、LGA、DBA、3DFed，以及 method-aware 的 COVERT LAYERS。恶意客户端数在 Table III 中为每轮 1、1、1、3、4、3；LGA 预算扫描为 1 到 5。
• 基线：按 Table II 匹配 Trimmed Mean、MultiKrum、AlignIns、FLAME；Table IV 另含 FedAvg。可疑轮遏制在全部实验中为坐标中位数。
• 历史与检测：主 CIFAR-10 从冻结的 50 轮无攻击历史初始化；另有一次 C&S 冷启动（无冻结历史、第 1 轮起投毒）。附录 Table XI 给出攻击者活跃轮的召回、FPR、完美轮与零捕获轮比例。
• 论文未报告：主结果表未给重复实验次数；EMNIST-Balanced 与 FEMNIST 的客户端数、采样率和 non-IID 参数论文未在正文结果段写明。运行时只报告一次从 98.5 到 107.4 分钟的端到端比较。

FedMAST 是面向隐蔽联邦后门的服务端检测与遏制方法：不看原始数据、不用可信参考集，靠结构、历史和谱证据的残差不一致给更新打分。

• 问题：恶意客户端可在保持主任务的同时植入触发条件行为，并把幅度、方向或层集中度压到接近良性更新。作者认为只针对单一证据的聚合或过滤会被这种优化躲开，但投毒仍会在另一条结构、历史或谱通道留下痕迹。
• 方法：22 维结构库加上独立保存方向的 6 个谱特征；squeeze-pair 看耦合特征是否一起偏离，有符号谱漂移按假名分区用 EMA 累积 top-SV 与谱熵的带符号变化。硬轴 2-of-3 共识与独立谱标记决定拒绝，簇二分、接受集反转和聚合漂移决定本轮是否改用坐标中位数并冻结历史。轨迹和动量只参与排序。
• 主结果：Table III 最后 100 轮，六种攻击上 FedMAST 的 ASR 为 0.93±0.41%（DBA）到 2.63±1.07%（C&S），五种的恶意选择率为 0，LGA 为 7.73%。摘要称九次对比的 ASR 都低于基线，完整 200 轮平均 ASR 1.51%、MTA 94.84%。
• 自适应与代价：COVERT LAYERS 在 Table IV 上使 FedAvg、MultiKrum、AlignIns 的 ASR 仍在 98.70% 以上，FLAME 为 26.23±16.38%；FedMAST 为 0.95±0.49%，恶意选择率 0，MTA 94.77±0.93%。摘要的完整 200 轮数字为 ASR 1.53%、MTA 92.26%。良性 FPR 在 Table III 为 4.23%–23.75%，且集中于少数分区。LGA 上去掉有符号谱漂移后，Table V 的 ASR 从 1.18% 升至 24.14%，召回从 99.67% 降到 29.63%。
• 作者结论：作者认为有符号谱漂移、squeeze-pair 和历史结构分别抓住持续方向证据、配对扭曲和轮内看似合理但偏离可信历史的更新。他们同时指出，该稳健性以更高的良性拒绝为代价，并依赖稳定假名；身份重置、Sybil 和直接优化运行时谱状态的攻击者尚未评测。