Fed-ADR：用恶意编排服务器协同客户端梯度操纵攻击联邦学习

联邦学习的参数服务器如何被协同恶意客户端绕过现有防御，并在模型已被投毒后不从头重训就恢复。

• 场景：客户端只上传权重或梯度，参数服务器（parameter server, PS）用 FedAvg 等聚合得到全局模型。作者认为恶意客户端可以破坏泛化、把模型偏向自身、或浪费良性客户端算力。攻击分无目标（untargeted，拉低整体学习）和有目标（targeted，把推理导向指定结果）。
• 现有不足：Krum、Multi-Krum、Trimmed Mean 靠统计距离或离群剔除，MUD-HoG 用历史梯度模式检测。作者认为这些方法依赖预设阈值，可能把诚实客户端判为恶意，并假设攻击者不串通、各自只控制一个客户端。作者还认为，攻击若在被发现前已污染全局模型，常见做法是按 [11] 从头重训，计算和时间成本高。
• 核心观察：作者称，据其所知，此前没有把多种策略合在一起、既充分破坏训练又避开服务器早期检测的整体攻击。编排服务器（orchestrator server, OS）收集合谋客户端的投毒梯度并加以调整，使更新在 PS 看来像良性。
• 提出的方法：Fed-ADR（Federated learning with Attack, Defense, and Recovery）包含三部分：OS 协调异构恶意客户端（有目标与无目标）生成可规避防御的梯度；PS 用历史更新估计每个客户端的真实梯度并检测协同恶意行为；原地恢复在不重启训练的情况下重建全局模型。作者称相对从头重训，计算开销至少降低 20×。
• 威胁模型：
  • 目标：恶意客户端降低全局准确率或阻碍收敛，也可把特定输入误分类到预设目标类，并让 PS 把恶意客户端判成良性。
  • 知识：作者将 Fed-ADR 定为 gray-box（按 [10] 与 [2] 的分类）：对手知道聚合策略和防御（如 Krum、Trimmed Mean），因而 OS 能模拟并绕过它们，但没有良性客户端的私有数据或本地更新。OS 用扰动前的恶意更新作替代，估计良性更新分布。
  • 能力：一个或多个 OS 管理恶意客户端；通信只发生在 OS 与其合谋客户端之间，恶意客户端之间不直接通信；OS 知道系统级参数，可在梯度送到 PS 之前截获并记录，按轮自适应操纵；策略包括 label flipping、加性噪声、sign flipping 和 multi-label poisoning。
  • 受害系统与防御方：N 个客户端中 B 个良性、M=N−B 个恶意，均信任 PS。防御方也是 gray-box：每轮收到全部更新并保存历史，看不到私有数据、标签或训练过程，只能从更新推断恶意行为，隔离客户端并触发恢复。

论文在第 2 节把相关工作分成攻击策略和防御机制两类。

有目标与无目标攻击

• 标签翻转与后门：Tolpegin 等 [28] 展示联邦学习对标签翻转的脆弱性；Lavaur 等 [21] 分析其在入侵检测系统中的影响；Mengara 等 [24] 用 dirty label 中的 “label-on-label” 在目标类相关数据上插入触发（如拍手声），做隐蔽且持久的后门。
• 无目标模型投毒：加性噪声和 sign-flipping 常被称作 model poisoning [6, 13, 16, 26]。Gupta 等 [16] 用反转损失函数把梯度推离最优极小，再用反转梯度找出投毒标签并污染本地节点数据。Galil 等 [13] 提出不需要训练数据或优化的 data-free 攻击，翻转神经网络中的关键符号位。
• 与本文的对照点：作者称现有攻击通常只覆盖一种或两种攻击类型。作者称，据其所知，此前没有一种整体攻击把多种策略合起来，既充分破坏联邦训练，又避开服务器的早期检测。

聚合与检测类防御

• Krum 与 Trimmed Mean：Krum [3] 选与多数更新距离最近的那一个；作者称恶意客户端多时失效，且每轮只选一个更新会放慢学习。Trimmed Mean [31] 对每个参数丢掉极端值再平均；作者称它用启发式估计恶意客户端数量，实践中可能不准。
• FoolsGold 与 MUD-HoG：FoolsGold [12] 针对 Sybil，压低贡献高度相似的客户端权重，假设攻击者共享同一恶意目标；作者称攻击者把更新多样化时它会吃力。作者还称 Krum、Trimmed Mean 与 FoolsGold 的共同局限是只压制投毒更新的影响，并不显式检测或移除恶意客户端。MUD-HoG [15] 在聚合前按跨轮梯度历史过滤恶意客户端，使聚合只用良性客户端。
• 少依赖验证集的防御：Wen 等 [29] 用 leverage score 等几何性质检测线性回归中的投毒数据；部署时不需要验证集，实验中用干净集做调参和评估。Jia 等 [18] 用 bagging 集成平均多个模型以稀释投毒输入；验证集用于基准对照，作者称并非防御本身所必需。Du 等 [9] 的 AF-MCDC 结合异常检测、主动反馈和自适应客户端选择，不依赖验证集。

基线方法与数据集

• 攻击评测基线：Krum [3]、Trimmed Mean [31]、FoolsGold [12]、MUD-HoG [15]，数据集为 MNIST、Fashion-MNIST、CIFAR-10。恢复组件的基线是检测后剔除恶意客户端、只用剩余良性客户端 train-from-scratch；作者提到 FLTrust [5] 假设有干净验证集，认为该假设实践中未必成立，因而未把它当作恢复基线。攻击设计上，作者把 FANG [10] 作为静态绕过特定聚合规则的对照：FANG 把更新保持在看起来良性的范围内以绕过如 Krum 的规则，作者称防御管线变化（例如再加分布或聚类筛选）时这类静态策略会变差。

作者把本文定位为：用一个或多个 OS 动态、同步地构造投毒梯度，并显式优化多目标隐蔽准则，以对付更强的多阶段防御；同时补上“发现攻击后只能从头重训”这一不足，用检测加恢复降低计算开销。

Fed-ADR 把攻击、检测和恢复放在同一框架里：OS 在恶意梯度送到 PS 之前按轮改写，PS 用历史一致性找出恶意客户端，再在滑动窗口内用历史快照估计干净更新。

问题设定

• 系统：N 个客户端各有本地数据 Dn，数据可以是 IID 或 non-IID。每轮 t，PS 广播全局模型 wt。客户端用 SGD 在本地最小化损失（通常为交叉熵）：w_n^{t+1} = w^t − η ∇L(w^t; Dn)。
• 聚合：FedAvg 下 w^{t+1} = Σ (|Dn|/|D|) w_n^{t+1}。终止条件可以是达到预定通信轮数、全局损失低于阈值，或达到目标准确率。
• 攻击者面对的困难：若 wm 被防御滤掉就不会进入聚合；作者要让投毒更新仍被当作合法更新纳入。

攻击：OS 协调与候选选择

• 流程：PS 广播 wt；恶意客户端先用私有数据 Dm（干净或已投毒，取决于有目标还是无目标）做本地训练，把梯度先发给 OS，记为 OS_collected^t = {w_1^t, …, w_M^t}。良性客户端则直接把梯度发给 PS。OS 改写后再发回恶意客户端，由它们转交给 PS。OS 收到至少两个合谋更新后开始生成；多于两个时按到达顺序逐个构造，不必等齐所有恶意节点。
• 替代与历史：OS 只有合谋客户端的梯度，看不见良性更新。它采用受 [10] 启发的替代策略，用攻击专用扰动之前的恶意更新代理未知的良性更新，并假定完全知道 PS 的聚合与防御，且能通过合谋客户端接触全局模型。OS 为每个恶意客户端保留长度为 L 的滑动窗口历史。
• 采样：无目标客户端（加性噪声或 sign flipping）在良性数据上训练，梯度操纵交给 OS；有目标客户端做 label flipping 和 multi-label flipping。OS 用有目标侧的信息微调无目标梯度。对每个参数 p，用扰动前恶意梯度估计 μp、σp。若更新符号估计为负，扰动从 [μp+3σp, μp+4σp] 抽取，使恶意更新超过几乎所有良性值；若为正，从 [μp−4σp, μp−3σp] 抽取，使投毒梯度落在良性最小值之下。候选 ∇w'_m^t 来自以 μp、σp 为参数的高斯。
• 目标：对每个无目标恶意客户端，从 K 个候选里选最优扰动。集合 E = {ε_m^{(i)} ∼ N(μ, Σ), i=1,…,K}，ε_m^* = arg max Score(∇w'_m^t(ε_m^{(i)}))。分数为 MMR^{(i)} + BMR^{(i)} − λ Σ_{S∈S(ε)} |M ∩ S|。MMR 是被 PS 判成良性的恶意客户端比例，BMR 是被判成恶意的良性客户端比例，λ 惩罚在多种攻击类型下被标出的恶意客户端。OS 对每个候选计算与扰动前梯度的距离，并模拟 PS 的防御。选中后，偏离程度用 ∥∇w'_m^t(ε_m^*) − ∇w^t∥ 衡量。实验设置 L=3、λ=4。附录 E 给出三个组件的完整伪代码。

检测：一致性与聚类

• 估计：作者用 Cauchy 中值定理，在每轮估计客户端梯度 ∇w̄_n^t = ∇w_n^{t−1} + H_n^t (w^t − w^{t−1})，其中 H_n^t 是对 Hessian 在线段上的积分。精确积分 Hessian 昂贵，且完整 Hessian 规模与参数个数的平方成正比，故用 L-BFGS 近似 Hessian-向量积：H̃_n^t v = L-BFGS(Δt, Δn^t, v)，v = w^t − w^{t−1}。
• 分数：Δt = w^t − w^{t−1}，Δn^t = ∇w_n^t − ∇w_n^{t−1}，在长度为 l 的窗口上累积。不一致度是估计梯度与实际梯度的欧氏距离 d_n^t，恶意分数 MScore(∇w_n^t) = (1/l) Σ_{r=t−l+1}^{t} d_n^r。
• 判定：对恶意分数做 Gap Statistics 聚类。若只有一个簇，全部视为良性；若两个簇，平均 MScore 更高的一簇标为恶意。窗口内被标出的客户端退出后续聚合；窗口末若判定被污染则触发恢复，否则继续训练。作者称良性客户端在 Hessian 近似准确时，估计更新会接近真实更新；近似不准则出现不一致。

恢复：三阶段重建

• 动机：只在已被污染的全局模型上继续训练会削弱恢复；只用剩余良性客户端从头重训又受客户端算力和能源限制，且之后仍可能再被投毒。恢复受 [7] 启发，把大部分计算放到 PS，用检测前存下的客户端更新和全局模型快照估计窗口内更新。若恶意行为出现在训练的第一个窗口，缺少更早的参考，则用该轮存下的历史估计 ∇ŵ_n^t、ŵ^t 代替 ∇w_n^{t−1}、w^{t−1}，恢复式为 ∇w̄_n^t = ∇ŵ_n^t + H_n^t (w̄^t − ŵ^t)。
• 阶段：引导（bootstrapping）在每个窗口的前 tb 轮（tb < l）向客户端要精确本地更新并更新全局模型。自适应校正在剩余轮次用估计更新聚合；每 tc 轮再要一次精确梯度。若估计更新的异常超过阈值 Γ，则标为可能有害。Γ 用历史数据动态标定，使每个估计更新 ∇ŵ_n^t 保留的参数不超过最大的 α 比例，α ∈ (0, 1]。微调在窗口末尾 Ft 轮（文中例子 t_f < l − (tb + tc)）再要精确更新。
• 实验中的取值：恢复窗口 l=10，引导 Tb=2，校正间隔 Tc=3，微调 Tf=2，聚合阈值 Γ=0.01。攻击场景有两种：一至三个 OS 协调同步的无目标攻击；或一部分客户端走 OS 的无目标策略、另一部分做有目标的 multi-label flipping。

实验设置

• 规模与攻击：客户端数取 40、100、200、300，恶意比例从 5% 到 45%。攻击超参 L=3、λ=4。一种设置是 1 至 3 个 OS 做同步无目标攻击；另一种是无目标与有目标 multi-label flipping 混合。攻击可从第 1 轮开始，也有在第 10、20、30 轮才启动的设置。
• 数据与模型：MNIST 用 2 个卷积层加 3 个全连接层的 CNN；Fashion-MNIST 用 6 个卷积层加 1 个全连接层的 CNN；CIFAR-10 用 ResNet18。数据按 Dirichlet 划分，主实验 α=0.9，并测试 α ∈ {0.7, 0.5, 0.3}。优化器为 SGD，学习率 1×10^{-2}，权重衰减 1×10^{-4}；Fashion-MNIST 与 CIFAR-10 的 momentum 为 0.9，MNIST 为 0.5。作者称模型超参跟随 [15]。实现为 PyTorch，机器为 Intel Core i9-14900K、GeForce RTX 4090、Ubuntu 24.04.1。
• 指标：攻击成功用全体客户端、全部数据集上的平均全局模型准确率。恢复相对从头重训的效率用 ACP：每个客户端 CP = (T − Tr)/T × 100%，T 为全员参与时的总训练轮数，Tr 为恢复所需轮数，ACP 为 N 个客户端的平均。Table 1 还报告 ACC。
• 防御与恢复超参：l=10，Tb=2，Tc=3，Tf=2，Γ=0.01。基线防御为 Krum、Trimmed Mean、FoolsGold、MUD-HoG；恢复基线为剔除恶意客户端后从头训练。论文未报告重复次数，也未报告用哪个模型做评审。
• Figure 3 的条件：MNIST、Fashion-MNIST、CIFAR-10，恶意比例 5%–45%，攻击从第 1 轮开始，PS 分别使用 MUD-HoG、Trimmed Mean、Krum。

主结果

正文给出的、可对应到具体条件的准确率如下（Figure 3 的柱高在纯文本中看不到，只收录正文写明的数字）。

表格较宽，可左右滑动

数据集	防御	恶意比例	准确率	出处
MNIST	MUD-HoG	10%	91.35% → 67.46%	正文对 Figure 3
Fashion-MNIST	MUD-HoG	10%	83.86% → 68.46%	正文对 Figure 3
CIFAR-10	MUD-HoG	10%	69.89% → 10%	正文对 Figure 3
MNIST	MUD-HoG	未在该句写明	92.62% → 9.22%	摘要与贡献列表

• 作者的解读：恶意比例超过 30% 时，作者称所有基线防御都未能检测该攻击，三个数据集上准确率都持续下降。Trimmed Mean 在低攻击比例下比 MUD-HoG 更稳，但在 15% 时急剧变差，作者认为可能因为它直接使用梯度。Krum 在 MNIST 和 Fashion-MNIST 上即使恶意比例为 5% 也是三者中最差，在 CIFAR-10 上相对更稳，起点准确率约 40%；作者认为可能是早期选中了良性客户端。摘要称攻击可把全局准确率从 90% 以上降到 10% 以下。
• Table 1（检测与恢复）：恶意比例 5%–45%，数据集为 MNIST 与 Fashion-MNIST，指标为 ACC 和 ACP。15% 攻击率下，训练推进时 MNIST 的 ACC 从 89.16% 升到 92.69%，Fashion-MNIST 从 81.97% 升到 85.67%，ACP 有 35–50% 的改善。35% 攻击强度下 ACC 保持在约 35% 这一水平附近的表述，正文写的是 “remained stable at approximately”，该句在所给文本中于 “approximately” 处被截断，其后的具体稳定值未完整给出，故不填写。摘要称启用检测与恢复后，准确率在数轮内从约 9% 恢复到 90% 以上。
• 贡献列表中的开销：作者称相对从头重训，计算开销至少降低 20×。ACP 的定义是通信轮数上的节省比例，与这句计算开销的 20× 是两套说法。

非 IID 与攻击启动时机

• Figure 4：Fashion-MNIST、共 100 个客户端、MUD-HoG，攻击从第 10 轮开始，α ∈ {0.9, 0.7, 0.5, 0.3}。10% 恶意：α=0.7 时准确率在第 11 轮掉到 10% 基线并维持；α=0.3 时在 15–28% 之间波动，第 25 轮崩溃；α=0.9 和 0.5 有部分回升，达到 30–38%。20% 恶意：α=0.9、0.7、0.5 时准确率维持在 10% 基线；α=0.3 时到第 40 轮缓慢回到约 30%，作者认为高梯度方差可能部分稀释攻击。30% 恶意：所有 α 下全局模型停在 10%。作者称攻击前（第 10 轮之前）模型按常规收敛，α=0.9 时更明显；虚线之后准确率在所有测试的 Dirichlet 分布上持续下跌。
• Figure 5：MNIST，上排防御为 MUD-HoG，下排为 Trimmed-Mean，攻击分别在第 1、10、20、30 轮启动。MUD-HoG 下第 1 轮就攻击、且恶意比例高时，准确率降到 10% 以下；作者认为早期历史梯度少，对手更容易躲避。下降不是立刻出现，而是过几轮才显现，低恶意比例时波动更明显，超过 20% 则下降不再来回波动。Trimmed-Mean 在 15% 恶意时更稳，超过 25% 后 MNIST 和 Fashion-MNIST 都明显变差；图中全部实验的准确率保持在 20% 以下，恶意比例更高时有的在数轮内降到 10% 以下。该段同时提到 Fashion-MNIST，但图注写的数据集是 MNIST。
• 防御假设错误时：作者描述一组把为 MUD-HoG 优化的梯度拿去对付 Krum 的情形：攻击后准确率约在第 30 轮开始回升到约 60–70%。作者认为基于距离的选择最终能认出良性更新，但攻击仍扰乱了大约 20 个通信轮。

OS 规模与跨防御

• Figs. 6a–6c：作者称独立编排器数量增加时，压制准确率的能力下降，MUD-HoG 更能保住全局模型。正文只完整写了 Single Orchestrator：集中协调使破坏最大；该句在 “maximizes dis” 后被截断，多个 OS 的具体准确率未完整出现，不填数字。
• 附录 C：作者称其中给出有目标与无目标攻击下的规避和检测失败。纯文本未给出附录 C 的数字，故不转写具体值。

其他消融与分析

• 网络规模写明测试了 40、100、200、300 个客户端，但正文对规模本身的准确率对比未给出可回查数字。
• Dirichlet α 除 Figure 4 外，主设置是 α=0.9，更强异构取 0.7、0.5、0.3。
• 恢复阶段的轮次分配为 Tb=2、Tc=3、Tf=2、l=10、Γ=0.01；作者称实验显示用较小额外成本即可较准确地恢复，未再给出另一组超参对照数字。
• 混合攻击（部分 OS 无目标、部分 multi-label flipping）在设置中被描述为对攻击鲁棒性的严格测试，正文未单独给出该混合设置的准确率。
• FoolsGold 被列为基线，Figure 3 的图注只写了 MUD-HoG、Trimmed Mean 和 Krum，正文未给出 FoolsGold 的准确率数字。
• 负面结果：20% 恶意、Fashion-MNIST、α=0.3、MUD-HoG 时，准确率到第 40 轮回到约 30%，并未停在 10%；防御假设为 Krum 而梯度按 MUD-HoG 优化时，约第 30 轮后回升到约 60–70%。

作者指出的局限与后续方向

• 对防御机制的依赖：结论写明 Fed-ADR 的一个局限是它依赖对 PS 所采用防御机制的了解（Conclusion）。
• 后续威胁模型：作者计划把框架扩展到 black-box 与 white-box（Conclusion）。作者计划发布或集成代码的说法在所给正文中没有出现，不记为已完成或已承诺的发布。
• 所给文本在结论之前还有被截断的章节。Limitation、Discussion、Future Work 若在截断部分另有条目，当前文本里看不到，因此只收录结论中这句明确写出的局限和扩展计划。伦理声明中“在受控环境中评估、未部署”一类做法描述不计入局限。

实验覆盖范围

• 被测数据与模型：MNIST、Fashion-MNIST、CIFAR-10；本地模型分别为两套 CNN 和 ResNet18（Section 5.1）。
• 客户端与恶意比例：网络规模 40、100、200、300，恶意客户端比例 5%–45%（Section 5.1）。Figure 4 的总客户端数为 100。
• 防御评测：攻击对 Krum、Trimmed Mean、FoolsGold、MUD-HoG 做了设置；Figure 3 的图注列出 MUD-HoG、Trimmed Mean、Krum。恢复与 train-from-scratch 对比，指标为 ACC 与 ACP（Section 5.1、Table 1）。
• 数据划分与优化：non-IID Dirichlet，主实验 α=0.9，另测 0.7、0.5、0.3；SGD 学习率 1×10^{-2}，权重衰减 1×10^{-4}，momentum 按数据集为 0.9 或 0.5（Section 5.1）。
• 论文未报告的项：重复次数、K 的具体取值、评审模型、以及检测结果与人工判断的一致性，在 Section 5 的设置和指标定义中均未给出。OS 数量实验的正文在单编排器之后被截断，多个 OS 的数值无法从所给文本核对。

Fed-ADR 是一套面向联邦学习的攻击、检测与恢复框架：编排服务器改写合谋客户端的梯度，使参数服务器的现有防御把投毒更新当成良性，同时在发现后用历史梯度把全局模型原地修回来。

• 问题：Krum、Trimmed Mean、FoolsGold、MUD-HoG 等防御多假设攻击者静态、互不串通，并用预设阈值区分客户端。攻击若已进入早期轮次，常见补救是从头重训。
• 攻击：威胁模型为 gray-box。OS 知道聚合与防御，看不见良性数据与更新，用扰动前的恶意梯度作替代。无目标客户端的候选从高斯抽取，符号为负时落在均值以上 3–4 个标准差，为正时落在均值以下同样区间；分数最大化 MMR 与 BMR，并惩罚被多种攻击类型同时标出的客户端。有目标侧使用 label flipping 与 multi-label flipping。恶意客户端之间不直接通信。
• 防御与恢复：PS 用 L-BFGS 近似积分 Hessian，比较估计梯度与实际上传的欧氏距离，在长度 l 的窗口上得到 MScore，再用 Gap Statistics 聚类。恢复分引导、每 Tc 轮校正加阈值 Γ 校验、以及窗口末微调。实验取 l=10、Tb=2、Tc=3、Tf=2、Γ=0.01、L=3、λ=4。
• 结果：MNIST 上 PS 使用 MUD-HoG 时，作者报告全局准确率从 92.62% 降到 9.22%。Figure 3 对应的 10% 恶意、从第 1 轮攻击：MNIST 上 MUD-HoG 从 91.35% 到 67.46%，Fashion-MNIST 从 83.86% 到 68.46%，CIFAR-10 从 69.89% 到 10%。Fashion-MNIST、100 客户端、30% 恶意时，各 Dirichlet α 下准确率停在 10%；20% 且 α=0.3 时到第 40 轮回到约 30%。启用检测与恢复后，15% 攻击率下 MNIST 的 ACC 从 89.16% 升到 92.69%，Fashion-MNIST 从 81.97% 升到 85.67%。作者称计算开销相对从头重训至少降低 20×。
• 作者的结论：作者认为该攻击能绕过多种现有防御并压低全局准确率，检测与恢复可以在数轮内把准确率拉回 90% 以上。作者同时指出框架依赖对 PS 防御的了解，并计划扩展到 black-box 与 white-box。