CRFL：针对后门攻击的可认证鲁棒联邦学习

1. 01这篇论文试图解决什么问题？

   为联邦学习提供针对模型替换式后门攻击的、带逐样本认证的鲁棒训练与测试框架。

   核心问题：联邦学习（FL）中恶意客户端可通过模型替换注入后门，而现有鲁棒聚合与经验性防御协议都缺乏对后门的鲁棒性认证（robustness certification）。

   • 问题场景与重要性：FL 聚合多方客户端信息训练共享全局模型，作者称恶意客户端容易在训练中注入后门、通过模型替换污染全局模型，这成为 FL 实际部署的障碍。
   • 现有方法不足：作者指出，鲁棒聚合方法多假设客户端数据 i.i.d.（在 FL 中不成立），梯度裁剪、加噪、训练中额外验证等经验性协议均不提供对后门的认证保证；作者称针对 FL 后门的认证鲁棒分析与算法此前缺失。
   • 核心思路：在服务器端对聚合模型参数做范数裁剪并加高斯噪声以控制全局模型的平滑性，测试时做参数平滑（parameter smoothing）；作者称这是首个研究参数平滑而非输入平滑的工作，动机是 FL 中服务器直接聚合模型参数。
   • 论文产出：提出 CRFL 框架（训练算法 1 + 测试认证算法 2），给出把认证半径与 FL 参数（投毒比、攻击者数、训练轮数等）联系起来的理论，并在 MNIST、EMNIST、LOAN 上提供作者所称的首个 FL 后门认证鲁棒基准。
   • 威胁模型：
     • 攻击者目标：让全局模型在干净样本上表现正常、在带后门模式的样本上误分类到目标标签。
     • 知识与能力：N 个客户端中 R 个为恶意；各自只在同一轮 tadv 攻击一次，用投毒本地数据训练并以缩放因子 γi 放大恶意更新后提交（model replacement）；其余轮次用干净数据训练。
     • 受害系统：采用周期性平均 SGD（FedAvg 式）的 FL 系统，防御操作全部在服务器端完成。

   收起这一问

2. 02有哪些相关研究？

   相关工作分三类：FL 后门攻击、鲁棒聚合与经验性防御协议、集中式认证鲁棒与 DPFL；作者称这些工作均不提供对 FL 后门的认证。

   FL 上的后门攻击

   • Bagdasaryan et al. (2020)——提出模型替换（model replacement）攻击：攻击者缩放恶意模型更新以替换全局模型；本文的威胁模型即建立在该攻击上。
   • Xie et al. (2019)——利用 FL 的去中心化特性提出分布式后门攻击（DBA）；本文假设多个攻击者在同一轮协同攻击，作者称这种分布式协同攻击在该工作中被证明有效。
   • Bhagoji et al. (2019)、Wang et al. (2020)——前者从对抗视角分析 FL 投毒，后者提出 edge-case 攻击（用分布尾部的稀有样本做语义攻击）；作者称本文框架可能通过把 edge-case 攻击视为整体样本操纵来扩展应对。

   鲁棒联邦学习

   • 鲁棒聚合（Blanchard et al., 2017；Chen et al., 2017；Yin et al., 2018；El Mhamdi et al., 2018；Fu et al., 2019；Pillutla et al., 2019；Fung et al., 2020）——通过距离/相似度指标识别并降权恶意更新，或估计更新的真实中心；作者指出其中许多方法假设客户端数据 i.i.d.，在 FL 中不成立。
   • 经验性训练协议（Sun et al., 2019；Andreina et al., 2020）——前者用更新范数裁剪加高斯噪声缓解模型替换式后门，后者在每轮加入额外验证阶段检测后门；作者指出这些工作均不提供认证鲁棒保证。
   • Cao et al. (2021)（并发工作）——Ensemble FL，对恶意客户端提供可证安全，但需训练数百个 FL 模型且只做 client 级认证；作者称本文允许标准 FL 协议，认证覆盖 feature、sample、client 三个级别。

   集中式认证鲁棒与 DPFL

   • 随机平滑与 RAB（Cohen et al., 2019；Lecuyer et al., 2019；Weber et al., 2020）——集中式设定下针对对抗样本或后门的认证；作者指出 RAB 需用 M 份加噪数据训练 M 个模型，而本文只训练一个 FL 模型再生成 M 份加噪副本，且平滑对象是模型参数而非输入。
   • DPFL（Geyer et al., 2017；McMahan et al., 2018；Agarwal et al., 2018）——为客户端级隐私加训练噪声；作者指出三点区别：CRFL 的噪声用于认证鲁棒、通常不需 DP 那样大的噪声故效用更高，认证目标是逐点预测而非客户端级隐私，技术上用 Markov Kernel 与参数平滑而非 DP 组合定理。

   基线与基准

   • 对照聚合规则：FedAvg（默认）与鲁棒聚合算法 RFA（Pillutla et al., 2019），在 MNIST、EMNIST 上对比同一认证框架下的可认证半径（Figure 5、Figure 6）。
   • 数据集：MNIST、EMNIST、Lending Club Loan Data (LOAN)。

   作者将本文定位为：在标准 FL 协议上同时给出训练与测试两个子程序，并提供 feature、sample、client 三级逐点认证，作者称这是面向 FL 后门的第一个认证鲁棒框架。

   收起这一问

3. 03论文如何解决这个问题？

   CRFL = 训练时服务器端裁剪加噪（Algorithm 1）+ 测试时参数平滑认证（Algorithm 2），理论用 Markov Kernel 界定模型接近度再推出认证半径。

   整体思路：训练时在服务器端控制全局模型的平滑性，测试时对模型参数做随机平滑并多数投票，从而把“投毒模型与干净模型足够接近”转化为逐样本的预测一致性认证。框架名为 CRFL（Certifiably Robust Federated Learning）。

   问题形式化与假设

   • FL 目标：最小化各客户端本地损失的加权和，采用周期性平均 SGD：客户端做 τi 次本地更新后上传增量，服务器按权重 pi 聚合。
   • 攻击形式化：R 个攻击者在轮 tadv 用含 qi 个投毒样本的本地数据训练，投毒比 qBi/nBi = qi/ni，并以 γi 缩放恶意更新；此后各客户端恢复干净训练。
   • 三条假设：损失函数 β-光滑且凸（Assumption 1）；梯度关于数据 z 是 LZ-Lipschitz（Assumption 2）；系统按 Algorithm 1 训练、Algorithm 2 测试（Assumption 3）。

   CRFL 训练：裁剪与扰动（Algorithm 1）

   • 服务器端四步：聚合本地更新 → 按阈值 ρt 裁剪模型范数 → 加各向同性高斯噪声 εt ~ N(0, σt²I) → 把新模型发回客户端；最后一轮 T 只裁剪不加噪。
   • 设计意图：全部操作在服务器端完成，以降低客户端负载并防止恶意客户端规避；裁剪与加噪共同控制全局模型在训练中的偏移。

   CRFL 测试：参数平滑（Algorithm 2）

   • 平滑分类器：h_s(w; x_test) = argmax_c H_s^c(w; x_test)，其中 H 是在平滑测度 µ(w) = N(w, σT²I) 下各类别的投票概率；即对模型参数加噪后多数投票。
   • Monte Carlo 认证：对裁剪后的最终模型加 M 次噪声得到 M 个噪声模型，统计 top-1 类与次类的经验概率，用 Hoeffding 不等式按误差容忍 α 计算下界 pA 与上界 pB；若 pA > pB 则输出预测与认证半径 RAD，否则弃权（ABSTAIN）。

   认证理论

   • 模型接近度（Theorem 2）：把每轮 CRFL（SGD+裁剪+加噪）视为 Markov Kernel，用收缩系数界定投毒与干净训练所得模型分布的 KL 散度上界，该上界随轮次按因子 2Φ(ρt/σt) − 1 收缩。
   • 参数平滑（Theorem 3）：当两模型分布的 KL 散度不超过 −log(1−(√p_A−√p_B)²) 时，两个平滑分类器对同一测试点的预测一致。
   • 主定理与半径（Theorem 1、Corollary 1）：合并两者得到认证条件，并给出 feature 级认证半径 RAD（Eq. 2），RAD 随 σt 增大、ρt 减小、pA−pB 裕度增大、R/投毒比/γi/pi/τi/ηi 减小而增大；认证可重写到 feature、sample、client 三级。
   • 闭式常数（Lemma 1）：对多类逻辑回归（一层线性 + softmax + 交叉熵），在 kwk ≤ ρ 下给出 LZ = √(2 + 2ρ + ρ²) 的闭式表达；作者指出一般神经网络的 LZ 高效计算是开放问题。

   成功判定与指标

   • certified rate at r：测试集中认证半径 RAD ≥ r 的比例；certified accuracy at r：预测正确且 RAD ≥ r 的比例。
   • 认证是逐样本的：对每个测试点输出预测与半径，或弃权。

   收起这一问

4. 04论文做了哪些实验？

   在多类逻辑回归与 MNIST/EMNIST/LOAN 上系统扫描 σ、R、投毒比、γ、聚合规则、N、T 对认证半径与认证精度的影响。

   实验设置

   • 被测模型：多类逻辑回归（一层线性 + softmax + 交叉熵），作者说明这是凸分类问题；论文未使用其他模型架构。
   • 数据集：LOAN（1,808,534 条样本按美国 51 个州划分客户端，非 i.i.d.，80% 训练）、MNIST、EMNIST（10 数字 + 37 字母）；两个图像数据集按 i.i.d. 划分客户端（附录 A.1）。
   • 默认参数（Table 1）：LOAN 为 N=20、投毒比 40/800、τi=143、γi=10、tadv=6、ρt=0.025t+2；MNIST 为 N=20、5/100、τi=30、γi=10、tadv=10、ρt=0.1t+2；EMNIST 为 N=50、5/200、τi=70、γi=20、tadv=10、ρt=0.25t+4；本地学习率 ηi=0.001，训练噪声 σt=0.01（t<T）。
   • 攻击设置：默认 R=1，后门模式幅度 kδi k=0.1；图像数据集的目标标签为“digit 0”，LOAN 为篡改两个特征并改标签到指定类别（附录 A.1）。
   • 认证设置：σT=0.01，M=1000 个噪声模型，误差容忍 α=0.001；认证 LOAN/MNIST/EMNIST 测试集的 10000/5000/10000 个样本；LZ 按 Lemma 1 的闭式表达计算。
   • 指标与对照：certified accuracy 与 certified rate 随半径 r 的曲线；聚合规则对照为 FedAvg 与 RFA（Pillutla et al., 2019）；每次实验只改变一个因素。

   主结果

   论文以曲线图报告结果，正文未给出具体数值表；各图可读到的坐标与趋势如下（据 Figure 2–8）：

   因素（数据集）	图中趋势	出处
   训练噪声 σ（MNIST/LOAN/EMNIST）	σ 越大，各 r 处 certified rate 越高、可认证半径越大，但 certified accuracy 越低	Figure 2
   投毒比 qBi/nBi（MNIST/LOAN）	投毒比越大，可认证半径越小	Figure 3
   缩放因子 γ（LOAN/EMNIST）	γ 越大，可认证半径越小	Figure 4
   攻击者数 R（MNIST/EMNIST，FedAvg）	R 越大，可认证半径越小	Figure 5
   R（MNIST/EMNIST，RFA 聚合）	RFA 下可认证半径远大于 FedAvg（两图 x 轴量程不同）	Figure 6
   客户端数 N（MNIST/LOAN）	N 越大，可认证半径越大	Figure 7
   训练轮数 T（LOAN/EMNIST）	T 越大 certified accuracy 越高，但最大可认证半径不增	Figure 8

   • 作者解读：σ 控制可认证性与精度的权衡；参数平滑用的 σT 对精度影响不大（Figure 2 中实线与同色虚线接近）。
   • 作者解读：RFA 下半径大是因为攻击者被分配很小的聚合权重 pi，而 pi 在认证界（Eq. 2）内；作者称这说明认证半径可用作评估其他聚合规则鲁棒性的指标。
   • 作者解读：N 大则攻击者权重 pi 小、且更多干净更新可缓解后门；T 增大时精度上升可归因于模型收敛后 pA−pB 裕度变大。

   模型接近度的经验验证

   • 测了什么：实际训练一个干净（良性）FL 过程，逐轮比较其与投毒过程所得全局模型的 ℓ2 距离（MNIST，1 个攻击者，tadv ∈ {20, 40, 60}）。
   • 结果：Figure 9(a) 中 tadv 之后的 ℓ2 距离随轮次下降。
   • 作者解读：这与“tadv 之后各客户端用干净数据净化全局模型”的假设一致，作者称可佐证 Theorem 2 的模型接近度结论。

   数值问题与 ρ/σ、T、RAD 的关系

   • 测了什么：固定 pA=0.7、pB=0.1，其余参数取默认值，分析 ρ/σ、T 与 RAD 的关系（Figure 9(b)）。
   • 结果：当 ρ/σ 大于某阈值后，RAD 几乎不随 T 增大；作者归因于标准高斯 CDF Φ(·) 的数值问题——Eq. 2 分母的连乘在实践中不会趋于 0，否则理论上 T→∞ 时 RAD 趋于 ∞。
   • 作者建议：若想靠增大 T 提升认证半径，应让 ρ/σ 小于该阈值。

   其他消融与分析

   • Monte Carlo 规模 M：M 越大认证半径越大（Figure 11 左，MNIST）。
   • 误差容忍 α：α 越小半径越小，但 certified accuracy 整体对 α 不敏感（Figure 11 中，MNIST）。
   • 攻击时机 tadv：在强攻击（γ=100，R=2）下，tadv ∈ {10,20,40,43,44} 的认证半径差别不大，作者称充分后续干净训练后半径对 tadv 不敏感（Figure 11 右，MNIST）。
   • 投毒测试集：Figure 12、13 报告投毒测试集上的 certified accuracy，作者称趋势与干净测试集相似。

   收起这一问

5. 05有什么可以进一步探索的点？

   作者指出一般网络的 LZ 计算与高斯 CDF 数值问题两处难点，并称框架可扩展到固定频率攻击与 edge-case 攻击。

   作者指出的局限与后续方向

   • LZ 计算：作者指出对一般神经网络，关于数据输入的 Lipschitz 梯度常数 LZ 的高效计算是开放问题，数据维度高时尤其如此（Section 5.1）；本文实验采用 Lemma 1 在多类逻辑回归下的闭式表达。
   • 数值问题：作者指出 Eq. 2 分母的连乘因标准高斯 CDF 的数值问题在实践中不会趋于 0，因此增大 T 不能持续提升认证半径（Section 5.1、Section 6.2）。
   • 固定频率攻击：作者称方法可自然扩展到固定频率攻击——对每个攻击周期重复应用 Theorem 2 界定模型接近度，再用 Theorem 3 认证（Section 5.3）。
   • edge-case 攻击：作者称可将 Wang et al. (2020) 的 edge-case 攻击视为整体样本操纵，从而可能套用本框架（Section 5.3）。
   • f-散度推广：作者指出其模型接近度分析可用于一般 f-散度，本文以 KL 散度为实例（Section 5.2）。

   实验覆盖范围

   • 被测模型仅为多类逻辑回归（一层线性 + softmax + 交叉熵），论文未报告其他架构上的实验（Section 6.1）。
   • 数据集为 MNIST、EMNIST、LOAN 三个；认证样本数为 LOAN/MNIST/EMNIST 测试集的 10000/5000/10000 个（Section 6.1）。
   • 攻击评测覆盖模型替换攻击，变量包括 R ∈ {1,2,3,4}、投毒比、γ、tadv；聚合规则对比 FedAvg 与 RFA（Figure 3–6、Figure 11–12）。
   • 认证参数默认 σT=0.01、M=1000、α=0.001，并对 M ∈ {100,500,1000,2000,5000} 与多个置信度做了扫描（Figure 11）。
   • 论文未报告认证过程的运行时间开销（附录 A 提到 runtime of attacks 属附录内容，正文未给数字）。

   收起这一问

6. 06总结一下论文的主要内容

   CRFL 用服务器端裁剪加噪训练与参数平滑测试，为 FL 后门提供逐样本认证，并系统刻画认证半径与 FL 参数的关系。

   一篇面向联邦学习后门攻击的认证鲁棒防御论文，提出 CRFL 框架并给出理论与基准。

   • 要解决的问题：FL 中恶意客户端可通过模型替换注入后门，而现有鲁棒聚合与经验性协议均不提供认证保证；作者称 CRFL 是首个针对 FL 后门的认证鲁棒框架。
   • 方法要点：训练时服务器聚合后按 ρt 裁剪模型范数并加高斯噪声（Algorithm 1）；测试时对最终模型加 M 次噪声做参数平滑并多数投票，用 Hoeffding 界校准后输出逐样本认证半径或弃权（Algorithm 2）。理论上把每轮训练视为 Markov Kernel 界定投毒与干净模型的 KL 散度（Theorem 2），再经参数平滑定理（Theorem 3）得到认证条件与半径 RAD（Theorem 1、Corollary 1），覆盖 feature、sample、client 三级。
   • 主要结果（多类逻辑回归，MNIST/EMNIST/LOAN，默认 σT=0.01、M=1000、α=0.001）：训练噪声 σ 越大可认证半径越大但认证精度越低（Figure 2）；攻击者数 R、投毒比、缩放因子 γ 越大半径越小（Figure 3–5）；RFA 聚合下可认证半径远大于 FedAvg（Figure 6）；客户端数 N 越大半径越大（Figure 7）；T 增大提升认证精度但不提升最大半径，作者归因于高斯 CDF 数值问题（Figure 8、9(b)）。
   • 作者的结论：认证半径与 FL 参数（投毒比、攻击者数、训练轮数等）的关系在三个数据集上得到经验验证，且认证半径可用作评估其他聚合规则鲁棒性的指标；作者称框架可扩展到固定频率攻击与 edge-case 攻击。
   • 启示：在凸模型上，服务器端的裁剪加噪加参数平滑足以给出可计算的逐样本后门认证；一般神经网络的 LZ 计算仍是开放问题。

   收起这一问

相关论文