FedGraph：用图聚合防御联邦大语言模型微调中的后门攻击

联邦大模型微调不共享原始数据，但恶意客户端可通过投毒更新植入后门。

• 场景：多个客户端协同微调LLM且不上传原始数据。作者认为高质量数据稀缺、敏感，并受GDPR与数据所有权约束；去中心化也使攻击者能在聚合中反复上传被操纵的更新。
• 现有不足：作者称现有FL防御多把每个更新独立做统计或距离异常检测，并在高维参数空间划界。良性更新因数据异构和优化噪声而分散，恶意更新又可能与良性分布重叠或模仿正常行为。
• 核心观察：作者称恶意客户端被共享后门目标隐式协调，更新一致性更高；良性客户端局部目标不同，更新更分散。该信号是跨客户端的关系模式，即过度一致，而不是单条更新的偏离。
• 本文做法：作者提出FedGraph，把客户端作为动态图节点，抽取结构指纹，再在聚合时识别并压低恶意贡献。作者称这是首个用图结构利用客户端一致性、以防御联邦LLM后门的框架。
• 威胁模型：
  • 目标：植入covert backdoor。干净输入上行为正常，预定义触发器出现时输出攻击者指定内容。触发器常为自然语言语义短语；引言提到可导向有偏生成或越狱回答。
  • 能力：可攻陷少于半数参与者（fewer than half of all participants），并操纵训练数据与优化。相关工作还写攻击者可选触发器、投毒比例、训练过程及上传哪些更新。论文未使用white-box或black-box。
  • 受害系统：中心服务器加多个客户端的联邦LLM微调。服务器下发全局模型，客户端上传更新或梯度后被加权聚合，如FedAvg。
  • 防御方：服务器能看到全部上传更新，看不到本地数据集、被攻陷人数或攻击目标。目标是检测并抑制后门，同时保持accuracy与reliability。

后门攻击

• 一般后门：Gu et al.（2017）及文中所引工作把后门描述为隐藏行为：干净输入正常，触发器出现时给出攻击者指定输出。集中训练常用“输入+触发器、目标输出”的数据投毒。
• LLM触发：作者称LLM的语义能力使攻击更多样、更难检测。后文实验使用的包括复合触发CTBA、多触发MTBA、虚拟提示注入VPI和Sleeper；引言认为细触发与多触发会削弱孤立异常检测。
• 联邦参与者：Gong et al.（2022）、Xie et al.（2019）让攻击者控制一个或多个客户端。Nguyen et al.（2023）、Wang et al.（2020）、Zhang et al.（2022）涉及触发器、投毒比例、训练过程或上传哪些更新。作者称联邦微调范式下的影响仍underexplored，因而把已有数据投毒策略适配到FL。

联邦学习防御

• 逐更新检测：引言把FLTrust（Cao et al., 2021）、RFLBAT（Wang et al., 2022）一类方法归为对单条更新做统计或距离异常检测，并称该范式在联邦LLM微调上变脆。
• 聚合前过滤与组合：相关工作把主流FL防御分成聚合前过滤恶意更新（含FreqFed、FLDetector）、用范数裁剪和加噪的差分隐私（Naseri et al., 2022），以及组合多种策略（含FLAME、DeepSight）。论文在此处只做归类，没有逐篇给出与FedGraph的数值对比。
• 对LLM的适用性：作者称巨大参数空间和更复杂的攻击会降低这些防御的效果，联邦LLM微调的后门防御仍是开放问题。

LLM侧防御

• 数据与训练后：文中把LLM后门防御概括为数据级筛选、训练后检测和模型净化，并点名CleanGen与BEEAR等。作者称在FL中，训练期间阻止植入通常更有效。
• 未展开的对比：论文没有在相关工作里逐项说明这些LLM防御与FedGraph的查询或精度差别。

基线与基准

• 基线方法：主实验对照FedAvg、FLAME、FreqFed。另评估标准DP、FLAME中的自适应DP、RFA，以及PCA降维后的HDBSCAN。
• 基准/数据集：Jailbreak用AdvBench，误分类用SST2，Negative Sentiment与Refusal用Alpaca。攻击为BadNets、CTBA、MTBA、Sleeper、VPI。

作者把本文从“单条更新是否异常”转到“一组客户端是否内部过度一致”，并用图拓扑指纹做无标签过滤。

FedGraph把高维客户端更新转成低维图指纹，再对指纹做无监督离群检测，聚合时去掉被标为离群的更新。

问题设定

• 每轮服务器下发全局模型，客户端在私有数据上本地训练后上传更新或梯度。标准聚合是加权和；FedAvg的权重为1/N。
• 恶意客户端以投毒率ρ∈(0,1]把带预定义触发器、目标输出由攻击者指定的样本混入本地良性数据，并优化兼顾良性训练与后门植入的混合损失。触发字符串与插入位置见附录A，此处不展开。
• 作者列出的难点是更新维数高、攻击形式多样，以及不能拆开层级而破坏语义完整性。文中称LLaMA2-7B-Chat超过6.7 billion参数；LoRA取r=32、α=64时仍有16,777,216个可训练参数。

动态图

• 每轮把客户端当作节点。更新为Δθi=θi−θt。若两客户端更新的余弦相似度超过δsim，则连边，边权等于该相似度。
• 相似度定义为 sim(Δθ_i,Δθ_j)=(Δθ_i·Δθ_j)/(|Δθ_i||Δθ_j|)。作者称方向比范数更有信息，因为范数会随数据量、学习率或优化动态变化。
• 默认δsim=0.8。作者称阈值有较宽可行范围（Table 14），0.8在TPR与FPR之间折中。引言写边可以是LoRA参数差的余弦相似度；第3.3节公式作用在Δθ上。

指纹、聚类与聚合

• 指纹由三个拓扑量组成：度中心性是相似邻居数；介数中心性是节点位于他人最短路径上的频率；接近中心性是到其他节点最短路距离的倒数和。作者将其分别对应局部连接密度、桥接角色和全局接近程度。
• 对指纹运行HDBSCAN，min_cluster_size取n/2+1，min_samples取1。作者称前者使最大簇对应威胁模型中的良性多数，后者容纳良性LLM更新的自然分散。
• 标签为−1的客户端权重置零，其余按HDBSCAN的membership score归一化后聚合： θ_t+1=θ_t+∑_i w_iΔθ_i。论文只明确离群时si=0，未给出非离群分数的闭式。不需要标注攻击数据，也不假设具体后门策略。伪代码见附录B。

复杂度

• 附录C：N个客户端、更新维数d时，FedAvg为O(Nd)；两两相似度O(N²d)，图特征O(N²)，HDBSCAN为O(N log N)。作者称LLM联邦通常是数十到数百个机构客户端，本地微调主导每轮时间。

实验设置

• 模型：摘要写LLaMA2-7B-Chat、Qwen2.5-7B、Mistral-7B，均用LoRA。Figure 6图例为LLaMA-7B-Chat、Qwen2.5-7b-hf、Mistral-7b-v0.1；附录计时写LLaMA-2-7B。论文未说明这些字符串是否为不同检查点。
• 联邦协议：10个客户端，每轮全部参与，同步FedAvg。第4节写20个通信轮、Non-IID（α=0.9）、最多40%客户端从第一轮起投毒、缩放因子β=1.2。附录A写最多15个本地步、batch size 16、学习率2e-4、梯度累积2、通信10轮，并写恶意客户端投毒50%本地数据。轮数两处不一致。
• 攻击与对照：BadNets、CTBA、MTBA、Sleeper、VPI。主对照为FedAvg、FLAME、FreqFed。另有标准DP（ε=3，δ=10^{-6}，σ=2.8）、FLAME的自适应DP、RFA、PCA后的HDBSCAN。
• 数据：附录A写误分类、负向情感、拒绝各1000条训练、100条测试；越狱为AdvBench 420条训练、100条测试。Table 1注明Jailbreak用AdvBench，Misclassification用SST2，其余用Alpaca。
• 指标：ASR、TPR、FPR。正文一处把with trigger标成ASRw/o、without trigger标成ASRw/t；结果讨论又把应压低的攻击成功率放在ASRw/t列。下文只按表头列名引用。效用指标为PPL、BLEU、ROUGE-L、MAUVE。论文未报告ASR评审模型、人工一致性或重复次数。

主结果

据Table 1，LLaMA、Negative Sentiment的ASRw/t（%）：

表格较宽，可左右滑动

防御	BadNets	CTBA	MTBA	Sleeper	VPI
FedAvg	70.71	92.00	52.53	44.21	81.00
FLAME	77.00	83.84	71.00	49.00	88.00
FreqFed	66.00	94.23	60.20	53.06	88.89
FedGraph	0.00	0.00	0.00	0.00	0.00

• 该切片基线ASRw/t最低44.21（FedAvg、Sleeper），最高94.23（FreqFed、CTBA），FedGraph五格均为0.00。同场景FedGraph的ASRw/t：Qwen为0.00、1.00、1.00、0.00、0.00；Mistral为2.27、3.53、0.00、0.00、1.68。
• 作者称越狱把LLaMA与Qwen的ASRw/t降到0–1%，拒绝场景在所有模型上接近0%，摘要还称ASR降到10%以下。Table 1中Qwen越狱五个ASRw/t均为0.00；LLaMA越狱为1.00、10.00、3.00、21.00、1.01，拒绝为0.00、0.00、0.00、15.00、18.00。Mistral越狱Sleeper的ASRw/t为18.29。作者称越狱目标是让模型回答通常会拒绝的敏感问题，无触发时也可能出现，且生成有随机性。
• 作者称误分类上FedGraph最好。该场景FedGraph的ASRw/t最低为Qwen、MTBA的29.00，最高为Mistral、Sleeper的50.00。作者称现有攻击不稳定，ASR在10%与80%之间波动，原因之一是联邦LLM微调的训练容量有限。

检测率

• Table 2只报告NegSentiment、LLaMA。FedGraph平均TPR 95.50%、FPR 2.33%；分攻击TPR/FPR为BadNets 95.00/1.67、VPI 100.00/0.00、Sleeper 92.50/3.33、CTBA 97.50/1.67、MTBA 92.50/5.00。
• 同表FLAME平均TPR 15.94%、FPR 49.50%；FreqFed为23.25%、51.66%。作者称二者常把良性更新判成恶意，有时还会放大后门。
• 论文未报告另外两个模型或其他三个场景的TPR/FPR。

效用、其他聚合与图特征

• Table 3未写明模型、数据集与攻击。FedGraph的PPL 352.64、BLEU 0.01331、ROUGE-L 0.07261、MAUVE 0.12840；FedAvg、FLAME、FreqFed的PPL分别为255,748.67、101,117.63、458,926.86。作者称PPL越低越好，其余三项越高越好。
• Table 4未写明模型与任务。标准DP在五种攻击上的ASRw/o与ASRw/t均为0.00；作者称强扰动破坏效用，并给出无意义输出例。DP（FLAME）的CTBA ASRw/t为87.00，RFA的CTBA为91.00，HDBSCAN(PCA)的BadNets为64.89。作者认为线性降维丢掉了检测所需的结构信息。Figure 3只标注恶意损失为红、良性为绿，正文未给出可读端点。
• 附录D的Table 11是一轮三维指纹：客户端0–3为恶意，4–9为良性。Pattern 2中恶意度数为3、介数为0.0，良性为[0, 0.0, 0.0]。作者称恶意更新因共享目标高度相关。Figure 4图注只标明红方块为恶意、绿点为良性。

其他消融与分析

• 去掉拓扑特征（Table 5，NegSentiment、LLaMA）：无degree时平均TPR/FPR为90.75/5.33，无betweenness为84.50/7.33，无closeness为91.00/2.50。作者称betweenness贡献最大。
• δsim（Table 6，同任务）：0.70时平均TPR/FPR为85.00/8.33，0.80为95.50/2.33，0.90为96.00/2.00。
• Non-IID（Table 7）：FedGraph在α=0.1的平均TPR/FPR为85.25/5.00，其中Sleeper的TPR为56.25、FPR为15.00；α=10与α=100的平均TPR均为98.25。FedAvg平均ASRw/t在α=0.1为55.85、α=0.5为61.82；正文写α=0.1达到61.82%，与表不一致。iid下FedGraph的VPI ASRw/t为12.12。
• 被控客户端数（Table 12）：Num=1时五个攻击的FedGraph TPR为30.00、40.00、30.00、30.00、30.00。Num=3、Sleeper的TPR为16.67，ASRw/t为34.02。
• 投毒率（Table 13）：作者称FedAvg的ASR随投毒率上升，并写平均从38.33%到74.83%。表中FedGraph的TPR为80.00到100.00；VPI、rate=0.6一格的FPR写成100.00，同格TPR也是100.00。
• min_samples（Table 15）：从2增到4，平均TPR从96.00降到89.50，平均ASRw/t从0.21升到6.77；VPI在min_samples=4时ASRw/t为25.77。Table 10（LLaMA-2-7B、50客户端、batch 5、本地2步）平均相对开销20.3%。

作者指出的局限与后续方向

• 攻击仍不稳定：Section H写，联邦LLM微调设定下后门攻击仍然不稳定，效果有限。
• 经典策略难迁移：同一节写，constrain-and-scale等经典策略在这一复杂场景中难以使用，并常常使模型性能下降甚至不可用。
• 范围停在SFT：作者写当前研究聚焦联邦监督微调（SFT）；扩展到RLHF及其他场景是后续方向。（Section H）
• 论文没有单独的Limitations节。结论写实验结果中FedGraph缓解后门并保持主任务，并为后续防御策略打基础，未再单列方法缺陷。

实验覆盖范围

• 被测模型为LLaMA2-7B-Chat、Qwen2.5-7B、Mistral-7B，实验为LoRA联邦微调（摘要、第4节）。
• 主实验为10个客户端、每轮全部参与、最多40%恶意；攻击为BadNets、CTBA、MTBA、Sleeper、VPI，场景为Jailbreak、Refusal、Negative Sentiment、Misclassification（第4节、Table 1）。
• 对照包括FLAME、FreqFed，以及DP、RFA、PCA后HDBSCAN（第4节、Table 4）。TPR/FPR表只给出NegSentiment上的LLaMA（Table 2）。
• 消融覆盖三种中心性、δsim、Dirichlet α、被控客户端数、投毒率和HDBSCAN的min_samples（第4.2节、附录F）。附录G讨论减少被控客户端或投毒率的规避，并报告β=2时模型崩溃。
• 论文未报告ASR的评审模型、与人工判定的一致性，以及重复次数。通信轮数在第4节为20、附录A为10。

FedGraph是放在联邦LLM微调聚合阶段的后门防御。恶意客户端不分享原始数据，却可上传投毒更新：干净输入上保持正常行为，触发器出现时诱导指定输出。作者认为逐条更新的距离或统计检测难以处理高维、相互纠缠的LLM更新。

作者的观察是，共享后门目标使恶意更新更一致，良性更新更分散。FedGraph每轮用更新方向的余弦相似度建图，抽取度、介数和接近中心性，再用HDBSCAN把离群客户端权重置零后聚合。默认相似度阈值0.8，最小簇大小为客户端数的一半加一。实验使用LLaMA2-7B-Chat、Qwen2.5-7B、Mistral-7B和LoRA。

• Table 2的NegSentiment、LLaMA上，FedGraph平均TPR 95.50%、FPR 2.33%；FLAME与FreqFed的平均TPR为15.94%与23.25%，平均FPR为49.50%与51.66%。
• Table 1中LLaMA负向情感的FedGraph ASRw/t在五种攻击上均为0.00，Qwen越狱的五个ASRw/t也均为0.00。LLaMA越狱Sleeper为21.00，拒绝场景VPI为18.00，与摘要“低于10%”不一致。
• 误分类的FedGraph ASRw/t仍可达50.00（Mistral、Sleeper）。Table 3中FedGraph的PPL为352.64，三个聚合基线为101,117.63到458,926.86；该表未写明模型与任务。
• 标准DP在Table 4把五种攻击的两列ASR都打到0.00，作者称效用同时变差。单个被控客户端时，Table 12的TPR为30.00或40.00。

作者的结论是：数据投毒后门在联邦LLM微调中仍然有效，现有防御有局限；所做实验中FedGraph抑制后门并保持主任务。Section H把从联邦SFT扩展到RLHF列为后续方向，并称该设定下后门攻击仍不稳定。