联邦学习中的网络层攻击者

1. 01这篇论文试图解决什么问题？

   研究网络层攻击者通过丢弃选定客户端流量破坏联邦学习目标类准确率的问题，并提出服务器端防御。

   核心问题：联邦学习（FL）中客户端与服务器之间的通信是一个未被研究的攻击面，网络层攻击者能否通过丢弃流量破坏模型在目标人群上的准确率。

   • 场景与动机：FL 按轮次训练，全局模型依赖多个客户端的贡献，通信中断会影响学习效果。作者指出，当人口在地理上集中时（如某国少数语言），拥有 AS 级能力的攻击者可能有政治或经济动机实施此类攻击。
   • 现有研究不足：此前 FL 安全研究集中在被攻破客户端发起的数据投毒和模型投毒；作者称本文是对网络层攻击者影响 FL 训练模型的首次研究。
   • 核心观察：作者的关键洞察是，只有少数客户端对目标子人群的准确率有显著贡献，识别并只干扰这些客户端即可比随机丢包造成更大破坏。
   • 论文贡献：提出 Client Identification 算法与定向丢包攻击，并证明少量客户端的 model replacement 投毒可放大攻击；同时提出服务器端 UpSampling 防御，可与 Clipping 结合抵御组合攻击。
   • 威胁模型：
     • 目标：降低目标类准确率（targeted attack），同时保持非目标类表现以避免被检测；不考虑可被现有防御处理的 availability 投毒攻击。
     • 网络知识与能力：三种设置——COMM_PLAIN（通信未加密，作为最大破坏基线）、COMM_ENC（通信加密，可推断每轮参与客户端但看不到更新内容）、COMM_ENC_LIMITED（加密且只能观察固定子集客户端）；基本攻击动作是丢弃流量。
     • 全局模型知识：cross-device FL 是开放系统，攻击者可作为客户端参与，获得每轮全局模型 ft。
     • 可选投毒能力：部分实验赋予攻击者 POISON_MODEL 能力（model replacement 攻击），用于放大丢包攻击。

   收起这一问

2. 02有哪些相关研究？

   相关工作分三组：FL 投毒攻击、FL 防御、网络层攻击；作者称本文是网络层攻击者影响 FL 的首次研究。

   FL 中的投毒攻击

   • McMahan et al. (2017) 提出 Federated Averaging，是本文考虑的跨设备训练协议。
   • Tolpegin et al. (2020) 研究数据投毒；Bhagoji et al. (2018)、Bagdasaryan et al. (2020)、Sun et al. (2019)、Wang et al. (2020) 研究模型投毒与后门攻击。Fang et al. (2020) 和 Shejwalkar & Houmansadr (2021) 展示针对 Byzantine 鲁棒聚合的本地模型投毒。
   • 本文的投毒放大攻击直接沿用 Bagdasaryan et al. 和 Sun et al. 的 model replacement 方法。

   FL 防御

   • Byzantine 鲁棒或基于信任的聚合规则：Blanchard et al. (2017, Krum)、El Mhamdi et al. (2018)、Yin et al. (2018)、Alistarh et al. (2018) 等；论文指出 Fang et al. 与 Shejwalkar & Houmansadr 系统分析了这些方案并可用投毒绕过，Bagdasaryan et al. 展示定向投毒可绕过 Krum。
   • 梯度过滤（Fang et al. 2020；Shejwalkar & Houmansadr 2021；Xu et al. 2021 的 SignGuard）用于 availability 攻击；梯度裁剪（Bagdasaryan et al.；Sun et al.）用于定向攻击。Sun et al. 观察到梯度范数更大的投毒更有效，因此裁剪成为自然防御；本文用裁剪范数 1 作为组合防御的一部分。

   网络层攻击与防御

   • 网络层攻击手段包括无线干扰（Basciftci et al. 2015）、BGP 劫持（Cho et al. 2019）、路由器攻陷、传输层攻击（Jero et al. 2018）；这类攻击已被证明影响比特币（Apostolaki et al. 2017）、支付通道网络和联网汽车等系统。
   • 已知防御包括故障路径监测（Awerbuch et al. 2008）、弹性 overlay（Castro et al. 2003；Obenshain et al. 2016）、路由协议安全（Hollick et al. 2017）；论文指出这些防御对定向更新丢弃等隐蔽攻击一般无效，且 FL 所有者通常不控制底层网络。

   基线与定位：攻击基线为 Perfect Knowledge（从一开始就知道目标客户端并丢弃其全部更新）和 Random Drop（随机丢同数量客户端），在 Table II 给出；防御基线为 FedAvg 无防御与 Clipping。作者将本文定位为对 FL 网络层攻击者的首次研究，攻击与防御共用同一客户端识别流程。

   收起这一问

3. 03论文如何解决这个问题？

   攻击端用损失差识别高贡献客户端并定向丢包、可用投毒放大；防御端服务器复用识别算法做 UpSampling。

   整体思路：攻击者先用 Client Identification（Algorithm 2）找出对目标类贡献最大的客户端，再定向丢弃其更新；防御方在服务器端复用同一识别算法，通过 UpSampling（Algorithm 3）提高这些客户端的采样概率。

   问题设定

   • 目标人群定义为学习任务中的一个类（作者称可扩展到子类）；攻击者持有代表目标人群的数据集 D*。
   • 攻击流程：前 TN 轮正常训练并运行识别算法，之后每轮丢弃识别出的 kN 个客户端的更新；识别算法可在后续轮次重复以更新名单。

   Client Identification（Algorithm 2）

   • 核心度量是目标类损失差 L_t^j = ℓ(f_t−1, D^∗) − ℓ(f_t^j, D^∗)，即第 t 轮更新前后目标类损失的下降量；COMM_PLAIN 下用客户端 j 的本地模型计算，COMM_ENC 下只能用聚合后的全局模型，该轮所有参与客户端共同计入。
   • 对每个客户端维护其参与轮次的损失差列表，取均值排序，选出均值最大的 kN 个客户端。

   攻击参数分析

   • kN 的取舍：过大可能移除过多良性更新、暴露攻击；过小则影响不足。实验取 kN ≤ k（k 为持有目标类样本的客户端数）。
   • TN 的分析借助 coupon collector 问题：COMM_PLAIN 下识别 kN 个目标客户端的期望轮数约为 (n/m)(Hk − Hk−kN)，例如 n=60、m=10、k=15、kN=15 时约 16 轮；COMM_ENC 下通过排除非目标客户端达到精度 α，n=60、k=15、m=10、α=0.3 时约需 26 个批次。

   投毒放大

   • 采用 model replacement：被攻破客户端用目标类样本改标签做数据投毒得到 θt*，发送 β(θt* − θt−1)，boost factor β=10，以抵消服务器聚合的 η/m 加权。

   UpSampling 防御（Algorithm 3）

   • 服务器用自己的目标数据集 DS* 运行 Algorithm 2 识别 kS 个高贡献客户端，将其采样概率提高为 λ/n（λ=2），其余客户端概率相应降低；每轮重复识别以更新名单。
   • 作者指出 UpSampling 在没有攻击、仅因目标人群客户端过少导致准确率低时也有帮助；与 Clipping（裁剪范数 C=1）结合可同时抵御丢包与投毒。
   • 隐私保护 FL（MPC 聚合）下服务器只能看到聚合更新，此时其知识与 COMM_ENC 攻击者相同，防御仍按同一流程运行。

   收起这一问

4. 04论文做了哪些实验？

   在 3 个数据集上评估识别、定向丢包、投毒放大与防御：加密设置下 DBPedia 目标类准确率可从 53% 降至 0%，UpSampling 可恢复。

   实验设置

   • 数据集与划分：EMNIST（约 100K 数字图像，100 客户端）、FashionMNIST（70K 图像，60 客户端）、DBPedia-14（560K 文章、14 类，60 客户端）；目标类为 0、1、9，目标类样本集中在 k 个客户端（k∈{9,12,15}，FashionMNIST 与 DBPedia 固定 k=15），这些客户端本地数据中目标类占比 αT=0.5（EMNIST）或 0.6，其余按 Dirichlet(αD=1.0) 划分。
   • FL 协议：FedAvg，每轮选 m=10 客户端，本地训练 TL=2 epoch，聚合学习率 η=0.25；T=100（EMNIST）、200 或 300（FashionMNIST、DBPedia，防御实验用 300）。
   • 模型：EMNIST/FashionMNIST 用两层 2D 卷积加两层线性层（ηL=0.1）；DBPedia 用预训练 GloVe 嵌入加两层 1D 卷积和两层线性层，Adam 优化（ηL=0.001）。
   • 攻击参数：COMM_ENC 实验从第 30 轮开始丢包；投毒 boost factor β=10；防御 λ=2、Clipping 范数 C=1。
   • 指标与重复：目标类准确率与全测试集准确率，在 T/2 与 T 轮报告；所有结果为 4 次不同随机种子试验的平均。
   • 基线：Perfect Knowledge（预先知道目标客户端）与 Random Drop（Table II）；防御对照为 FedAvg 与 Clip。

   主结果

   定向丢包攻击的目标类准确率（T/2 与 T 轮，据 Table IV；T=100 对应 EMNIST，T=200 对应 FashionMNIST/DBPedia）：

   表格较宽，可左右滑动

   数据集	k	设置	无攻击	kN=k/3	kN=2k/3	kN=k
   EMNIST	15	COMM_PLAIN	0.65/0.80	0.50/0.74	0.26/0.50	0.02/0.02
   EMNIST	15	COMM_ENC	0.65/0.80	0.63/0.78	0.60/0.76	0.56/0.71
   FashionMNIST	15	COMM_PLAIN	0.40/0.55	0.24/0.23	0.02/0.03	0.00/0.00
   FashionMNIST	15	COMM_ENC	0.40/0.55	0.34/0.38	0.14/0.13	0.03/0.01
   DBPedia	15	COMM_PLAIN	0.36/0.53	0.10/0.01	0.00/0.00	0.00/0.00
   DBPedia	15	COMM_ENC	0.36/0.53	0.19/0.06	0.06/0.00	0.00/0.00

   • 作者称 COMM_PLAIN 下攻击接近 Perfect Knowledge 基线，并在所有设置下优于随机丢包；例如 DBPedia 上 kN=5 时目标类准确率从 53% 降至 6%。
   • 攻击对整体模型表现影响小：全测试集准确率平均仅降 3.88%（COMM_PLAIN）和 1%（COMM_ENC），见 Tables VI、VIII、X。
   • 作者认为 FashionMNIST 和 DBPedia 上识别更准、攻击更强，一个假设是复杂数据集的类更易区分，无目标客户端参与的轮次损失上升更明显。

   客户端识别（Table III）

   • COMM_PLAIN 下识别接近完整：FashionMNIST 50 轮、DBPedia 20 轮即可识别全部 15 个目标客户端；EMNIST 较慢（k=15 时 70 轮识别 14 个）。
   • COMM_ENC 下识别受限：DBPedia 70 轮平均识别 11.75/15，EMNIST k=15 时 70 轮仅 7/15；作者据此将 COMM_ENC 攻击起始轮设为 30。

   投毒放大与 Clipping（Figures 1、2）

   • EMNIST、k=15、T=100 的热力图显示，在无 Clipping 时，kN 与 kP 较大处 model replacement 比定向丢包更有效；加 Clipping（范数 1）后投毒影响下降，但丢包加投毒仍造成明显目标类性能下降。
   • 作者给出的例子（COMM_PLAIN、类 0）：原始准确率 0.8，丢 7/15 客户端为 0.59，投毒 7 客户端为 0.66，两者结合降至 0.4。
   • T=50 时（Figure 2）定向丢包在低轮数更有效；作者解释称训练早期模型需要看到目标类样本，丢包延迟了这些样本的到来，后期两者差距缩小。

   有限可见性（COMM_ENC_LIMITED，Figure 3）

   • 在 FashionMNIST、k=15、T=200、kN=10、kP=10 下，可见客户端比例越高、αV 越大，目标准确率越低；作者称可见 20/60 客户端、αV=2 时仍造成约 43.6% 的相对目标准确率下降。
   • 加入投毒总是带来更大的准确率下降（图 3b）。

   防御评估（Tables V、VII、IX）

   • 参数：EMNIST 取 kN=kP=2k/3，FashionMNIST/DBPedia 取 kN=kP=k/3；T=100（EMNIST）、300（FashionMNIST/DBPedia）。
   • COMM_PLAIN 示例：EMNIST 类 1、k=9 时丢包使准确率从 92% 降至 25%，UpSampling 恢复到 76%（Table V）。
   • COMM_ENC 下防御更强（作者归因于知识不对称：攻击者只见聚合更新而防御方见单个更新）：k=15 时 UpSampling 相对原准确率平均提升 6.33%（EMNIST）、10.66%（FashionMNIST）、24.66%（DBPedia）；DBPedia 类 9 在定向丢包下从 60% 升至 94%（Table VII）。
   • 丢包加投毒组合攻击下，Clip+UpSample 相对原准确率平均变化为：EMNIST 降 5%，FashionMNIST 升 9%，DBPedia 升 16.66%（三各类平均，Table VII）。
   • MPC 场景（Table IX）：攻击效果与 COMM_ENC 基本相同，防御效果介于 COMM_PLAIN 与 COMM_ENC 之间；例如 EMNIST k=15 类 1 平均准确率 0.84，高于 COMM_PLAIN 的 0.51、低于 COMM_ENC 的 0.94。

   其他消融与分析

   • Perfect Knowledge 基线（Table II）：kN=k 时所有数据集目标类准确率降至 0.0/0.0；Random Drop 几乎无损（如 EMNIST k=15 时仍 0.65/0.82）。
   • 低原始准确率的类从 UpSampling 受益更多，提升最高 34%（DBPedia 类 9，60%→94%，定向丢包下）。

   收起这一问

5. 05有什么可以进一步探索的点？

   作者指出安全聚合仍是开放问题并建议扩充目标人群客户端；实验覆盖 3 个数据集、每设置 4 次试验。

   作者指出的局限与后续方向

   • 论文第四节指出，已有研究表明攻击者可以绕过安全聚合类防御，找到安全的聚合方法仍是一个开放问题。
   • 第三节提到，其识别分析与 group testing 问题相似，但算法需从带噪聚合信息中识别成员；作者认为可能可以用更复杂的 group testing 算法进一步改进 Algorithm 2。
   • 第五节防御部分建议：服务器可识别并吸纳持有目标人群数据的新客户端加入 FL 协议，以缓解代表性不足类受攻击影响更大的问题；作者指出 cross-device 场景下服务器通常有大量客户端可供选择。
   • 论文未设专门的 Limitations 章节，其余局限未明确写出。

   实验覆盖范围

   • 被测数据集为 EMNIST、FashionMNIST、DBPedia-14 共 3 个；目标类仅取 0、1、9 三个类。
   • 模型为两种卷积架构（EMNIST/FashionMNIST 一种，DBPedia 基于 GloVe 的另一种），均为较小规模模型。
   • 所有结果为 4 次不同随机种子试验的平均；论文未报告统计显著性检验。
   • 防御评估中丢包与投毒客户端数固定为 kN=kP=2k/3（EMNIST）或 k/3（FashionMNIST/DBPedia）；COMM_ENC_LIMITED 实验仅在 FashionMNIST 上进行。
   • 网络层攻击以模拟丢包方式评估；论文讨论了干扰、BGP 劫持、路由器攻陷等实现途径，但未在真实网络环境中实施。

   收起这一问

6. 06总结一下论文的主要内容

   作者研究 FL 网络层丢包攻击与防御：识别高贡献客户端后定向丢包可大幅降低目标类准确率，UpSampling 可缓解。

   一篇关于联邦学习（FL）网络层安全的攻击与防御论文，作者称其为对网络层攻击者影响 FL 训练模型的首次研究。

   • 问题：FL 依赖客户端与服务器间的通信，作者研究具备丢包能力的网络层攻击者（加密通信、部分可见性）能否破坏模型在目标类上的准确率。
   • 方法：攻击端用 Client Identification 算法按目标类损失差识别高贡献客户端，之后定向丢弃其更新，并可用 model replacement 投毒（β=10）放大；防御端服务器复用同一算法做 UpSampling（λ=2），提高高贡献客户端采样率，可与 Clipping（范数 1）结合。
   • 攻击效果：DBPedia 上 COMM_ENC 设置下丢弃 5 个客户端即可将目标类准确率从 53% 降至 6%，丢全部 15 个降至 0%（Table IV）；COMM_PLAIN 下接近 Perfect Knowledge 基线，且在所有设置下优于随机丢包；对全测试集准确率影响平均仅 1%–3.88%。
   • 有限可见性：COMM_ENC_LIMITED 下可见 20/60 客户端、αV=2 时，作者报告目标准确率仍相对下降约 43.6%（FashionMNIST，图 3a）。
   • 防御效果：COMM_ENC 下 UpSampling 使目标类准确率相对原准确率平均提升 6.33%（EMNIST）至 24.66%（DBPedia）；与 Clipping 结合后，丢包加投毒组合攻击下 DBPedia 类 1 的 T 轮准确率达 0.95（Table VII）。
   • 作者结论：UpSampling 与裁剪结合可抵御网络层丢包与投毒组合攻击；作者同时指出安全聚合仍是开放问题，并建议服务器扩充目标人群客户端以缓解代表性不足类更易受攻击的问题。

   收起这一问

相关论文