CENSOR：通过正交子空间贝叶斯采样防御梯度反演攻击

1. 01这篇论文试图解决什么问题？

   解决联邦学习中客户端梯度被反转攻击还原私有数据、而现有防御难以应对更强攻击的问题。

   核心问题：联邦学习客户端上传的梯度会泄露私有训练数据，作者认为现有防御对更强的梯度反转攻击防护不足。

   • 场景与重要性：联邦学习中客户端回传基于本地私有数据计算的梯度，梯度反转攻击可据此重建训练样本；作者称现有防御面对更有效的反转攻击或掌握额外先验的攻击者时可能失效。
   • 现有方法不足：作者称加噪、梯度裁剪、梯度压缩、Soteria 等防御各有弱点，例如裁剪的边界可被估计、稀疏化的掩码可被反推、Soteria 对 GAN 类攻击效果不佳（Section II-C）。
   • 核心观察：作者复现五个攻击后提出两点观察（Section III）：多数攻击只在训练前几个 epoch 成功；GGL 虽能生成高质量图像，但重建的是类别代表样本而非原图，泄露的是标签信息。
   • 论文方案：提出防御 CENSOR，在与原始梯度正交的子空间中采样候选梯度，用冷后验（cold posteriors）思想选出损失下降最多的梯度上传，兼顾隐私与模型效用。
   • 威胁模型（Section I）：
     • 攻击者目标：从客户端上传的梯度反转出本地训练样本。
     • 攻击者知识：honest-but-curious 服务器，知道模型架构和客户端梯度，可利用公开数据集和预训练 GAN。
     • 攻击者能力：不能修改模型或梯度；假设算力和内存充足。
     • 受害系统与设定：良性本地客户端，不知攻击配置；假设对攻击者最有利的 batch size 1。

   收起这一问

2. 02有哪些相关研究？

   相关工作分四类：随机优化与 GAN 类反转攻击、现有防御、子空间学习、其他隐私攻击与防御。

   梯度反转攻击（随机优化类）

   • Zhu et al. [11] 提出 Deep Leakage from Gradients，把攻击建模为迭代优化；Zhao et al. [10]（iDLG）从梯度推断标签。
   • Geiping et al. [5]（IG）用带符号梯度与 Adam 优化实现高分辨率反转；Yin et al. [9]（GI，GradInversion）从随机噪声优化像素做批量恢复。

   梯度反转攻击（GAN 类）

   • Li et al. [8]（GGL）结合标签推断与 BigGAN/StyleGAN2 做语义级反转；Jeon et al. [6]（GIAS）在生成模型隐空间与参数空间搜索。
   • Fang et al. [4]（GIFD）在 ILO [26] 基础上用预训练生成模型的中间特征加 l1 球约束做特征域优化。

   现有防御

   • Noise（DP 加噪）[13]、Clipping（梯度裁剪）[14]、Sparsi（Top-k 稀疏化）[15]、Soteria（扰动数据表示）[16]。论文指出：裁剪边界可被攻击者估计（引 [8]、[4] 的实验）；稀疏化的稀疏度可被观察（引 [11]、[8]、[4]）；Soteria 的掩码过程确定、可被逆向（Section II-C）。

   子空间学习与其他隐私工作

   • 子空间学习：Wortsman et al. [18] 等研究在大模型低维子空间中优化，为本文正交子空间采样提供依据。
   • 其他隐私攻击与防御：成员推断、属性推断、模型反转，以及安全聚合、同态加密等（Section VI），论文仅作描述。

   基线与基准：对比基线为 Noise [13]、Clipping [14]、Sparsi [15]、Soteria [16]；攻击为 IG、GI、GGL、GIAS、GIFD；数据集为 ImageNet、FFHQ、CIFAR-10。

   作者将本文定位为：不依赖梯度优化、在正交子空间内做贝叶斯采样的防御，作者称因此能更好抵抗基于梯度的重建攻击。

   收起这一问

3. 03论文如何解决这个问题？

   CENSOR 在客户端把随机扰动逐层投影到原始梯度的正交子空间，采样多个候选后按损失下降选最优梯度上传。

   整体思路：客户端不上传真实梯度，而是在与原始梯度正交的子空间中采样多个候选扰动，用冷后验思想选出使本地损失下降最多的一个，使上传的"梯度"不含原始梯度方向信息。方法名 CENSOR（Cold postEriors coNtrolled Sampling over ORthogonal subspace）。

   理论动机：冷后验与正交子空间

   • 冷后验：用修改后验 P^M(θ|D) ∝ P(D|θ)^M P(θ)，温度参数 M 接近 0 时分布集中在 MAP 解附近，既能采样又保证样本质量；含义：用采样代替梯度下降来更新模型。
   • 三个障碍与对策：贝叶斯神经网络在过参数化下会采到差解（用冷后验缓解）；服务器期望收到梯度（用采样-选择流程产出可用作更新的扰动）；T 很大时最优样本可能接近 MAP 梯度（把扰动投影到正交子空间避免）。
   • 正交子空间：m 个参数、k 个样本时正交子空间为 m−k 维，作者认为 m ≫ k 时原始梯度泄露可忽略。

   三阶段流程（Algorithm 1）

   1. 逐层正交投影：对每层原始梯度 gl，采样同形状随机梯度 gr（默认来自正态分布 N），计算正交分量 g_l^o = g_r − (⟨ g_r, g_l ⟩)/(⟨ g_l, g_l ⟩) g_l；含义：去掉 gr 在 gl 方向上的分量。
   2. 归一化：把每层正交梯度缩放到原始梯度的 l2 范数尺度，避免出现过大的值。
   3. 损失引导选择：重复 T 次试验（默认 T = 20），每次把候选梯度施加到模型上评估本地损失，保留损失最小的候选 G⋆ 上传。

   关键参数与设计

   • 采样次数：默认 T = 20，作者称 20 次试验足以找到好的梯度（Section V-E 消融）。
   • 扰动来源：默认正态分布；也可改用公开数据集真实图像的梯度以误导攻击者（Section V-E）。
   • 部署时机：基于观察 1，CENSOR 策略性地在训练前几个 epoch 启用（Section III）。

   成功判定

   • 防御有效性用反转图像与原图的相似度衡量：MSE↑、LPIPS↑、PSNR↓、SSIM↓；效用用非独立同分布联邦训练下的测试准确率与损失衡量（Section V-A）。

   收起这一问

4. 04论文做了哪些实验？

   在三个数据集上以 ResNet-18 评测五种攻击下的防御效果，另做收敛性、自适应攻击（EOT）和消融实验。

   实验设置

   • 被测模型：随机初始化的 ResNet-18，作为联邦学习初始模型。
   • 数据集：ImageNet、FFHQ（10 类，以年龄为标签）、CIFAR-10；默认 batch size B = 1。
   • 攻击：IG [5]、GI [9]、GGL [8]、GIAS [6]、GIFD [4]，均按官方实现；GGL/GIFD 在 ImageNet、CIFAR-10 上用 BigGAN，在 FFHQ 上用 StyleGAN2。
   • 基线防御：Noise（标准差 0.1 高斯噪声）、Clipping、Sparsi、Soteria，配置沿用 [4]、[8]、[6]。
   • 指标：MSE↑、LPIPS↑（用预训练 VGG 特征）、PSNR↓、SSIM↓；距离度量用负余弦相似度。
   • 采样与重复：每个攻击跑 4 次取反转效果最好的一次；对三个数据集验证集每第 1000 张取 10 张图做反转，报告 10 次平均；不施加 BN 先验。

   主结果

   Table I：batch size 1、第 0 轮，各防御在五种攻击下的反转相似度（MSE↑ / LPIPS↑ / PSNR↓ / SSIM↓，节选 CENSOR 与最强基线）。

   表格较宽，可左右滑动

   数据集	攻击	Soteria MSE	CENSOR MSE	Soteria LPIPS	CENSOR LPIPS
   ImageNet	IG	0.0662	0.0600	0.7596	0.7551
   ImageNet	GIAS	0.0245	0.0650	0.4986	0.7591
   ImageNet	GIFD	0.0139	0.0507	0.3967	0.7610
   FFHQ	GGL	0.0438	0.0823	0.5279	0.8155
   FFHQ	GIAS	0.0114	0.1108	0.3560	0.7895
   CIFAR-10	IG	0.0558	0.0939	0.5846	0.6884
   CIFAR-10	GIAS	0.0012	0.0789	0.0461	0.6819

   （据 Table I；完整表含 Noise、Clipping、Sparsi 与全部四指标。）

   • 作者解读：作者称 CENSOR 在几乎所有情形下优于现有防御，相对 Soteria 最高提升 114%（作者称，按指标计算）；对 IG、GI 等随机优化攻击与 Soteria 相当，作者称 Soteria 领先 2%–18%。
   • 例外：GGL 攻击下 ImageNet 与 CIFAR-10 上 Clipping 在 MSE 上高约 14%、PSNR 上高约 5%（作者称），作者推测与 GGL 依赖梯度大值有关。
   • 定性结果：Figure 6 显示 CENSOR 下各攻击难以反转出有意义图像（作者称）。

   更大 batch size 与收敛性

   • batch size 4：ImageNet 上 GIAS 攻击，CENSOR 的 MSE 为 0.0776、LPIPS 0.7680、PSNR 11.686、SSIM 0.0099，优于全部基线（Table II）；GIFD 下 MSE 0.0686。
   • 收敛性：CIFAR-10 非独立同分布（Dirichlet 分布模拟）、100 客户端、每轮选 10 个、2000 轮；Figure 7 显示原始设置与 CENSOR（10–50 次试验）2000 轮后测试准确率均约 86%，作者称 CENSOR 不影响收敛。
   • 不同客户端数：CIFAR-10 上选 10、30、50 个客户端时准确率分别为 85.27、85.33、85.30（Table VI）。

   自适应攻击（EOT）

   • 设置：把 GIFD 与 Expectation Over Transformation 结合，攻击者模仿 CENSOR 的采样与归一化并对多次试验取平均梯度。
   • 结果：ImageNet 上加 EOT 后 MSE 从 0.0507 变为 0.0518，FFHQ 上从 0.1037 变为 0.1098（Table III），作者称防御性能不受影响，原因是正交子空间维数高、难以映射回原始梯度。

   其他消融与分析

   • 试验次数 T（Figure 9，ImageNet+GIAS）：T 增大初期指标改善，超过 20 后收敛；Figure 11 显示 T=1、5 时攻击能反转出有意义图像，T=10、20 时只剩噪声。
   • 扰动来源（Figure 10，ImageNet+GGL）：改用"Black grouse"图像构造梯度，GGL 被误导反转出类似黑琴鸡的图像。
   • 逐层操作（Table VII，ImageNet+GIFD）：逐层 MSE 0.0507，整体梯度 0.0452，作者称逐层略优。
   • 训练轮数（Table V，ImageNet+GIFD）：第 0 到 9 轮 MSE 从 0.0507 升至 0.1034，PSNR 从 13.32 降至 10.65，作者称训练越往后越难反转。
   • 开销（附录 B）：CENSOR 开销约 0.00236%，Soteria 约 0.3092%。

   收起这一问

5. 05有什么可以进一步探索的点？

   作者指出防御聚焦训练早期并讨论了两种潜在自适应攻击；实验覆盖三个图像数据集、一种架构和五个攻击。

   作者指出的局限与后续方向

   • 部署时机受限：基于观察 1，CENSOR"策略性地在训练前几个 epoch 启用"（Section III），即防御设计针对训练早期。
   • GAN 类自适应攻击：附录 E 提出用梯度作隐空间训练 GAN 以还原原始梯度的可能攻击，作者称这在 CENSOR 设定下并不容易，但"可以在未来探索"。
   • 温度参数操纵：附录 E 指出若攻击者了解冷后验采样机制，可能注入特制更新影响后验分布、偏置采样过程，从而更容易推断原始梯度；论文未给出防御。
   • 论文未设专门 Limitations 节，以上均出自 Section III 与附录 E。

   实验覆盖范围

   • 被测模型：仅 ResNet-18 一种架构，随机初始化（Section V-A）。
   • 数据与任务：ImageNet、FFHQ（10 类）、CIFAR-10 三个图像分类数据集；默认 batch size 1，另测 batch size 4（Table II）。
   • 攻击覆盖：IG、GI、GGL、GIAS、GIFD 五个攻击；自适应攻击仅测 GIFD+EOT 一种（Table III）。
   • 样本量：每个数据集反转 10 张图取平均，每攻击跑 4 次取最优（Section V-B）。
   • 收敛实验：CIFAR-10 非独立同分布、100 客户端、2000 轮（Section V-C）；论文未报告在其他数据集上的收敛实验。

   收起这一问

6. 06总结一下论文的主要内容

   CENSOR 通过在正交子空间采样并冷后验选择梯度防御梯度反转，作者称其优于现有防御且不影响训练收敛。

   一篇联邦学习隐私防御论文（NDSS 2025），针对客户端上传梯度被梯度反转攻击还原私有训练数据的问题。

   • 问题：作者认为加噪、裁剪、稀疏化、Soteria 等现有防御面对更强攻击或带先验的攻击者时可能失效；作者复现五个攻击后观察到多数攻击只在训练前几个 epoch 有效，而 GGL 泄露的是标签信息。
   • 方法：CENSOR 在客户端把随机扰动逐层投影到与原始梯度正交的子空间，归一化后采样 T = 20 个候选，按冷后验思想选出本地损失下降最多的梯度上传，使上传内容不含原始梯度方向。
   • 主结果：ImageNet、FFHQ、CIFAR-10 上以 ResNet-18、batch size 1 评测，作者称 CENSOR 在几乎所有攻击与指标上优于 Noise、Clipping、Sparsi、Soteria，如对 GIAS 在 ImageNet 上 MSE 0.0650 对 Soteria 0.0245（Table I）；例外是 GGL 下 Clipping 在 MSE、PSNR 上略优。
   • 效用：CIFAR-10 非独立同分布 2000 轮训练后准确率约 86%，与无防御相当（Figure 7）；开销约 0.00236%（附录 B）。
   • 自适应攻击：GIFD 结合 EOT 后 ImageNet 上 MSE 仅从 0.0507 变为 0.0518（Table III），作者称防御不受影响。
   • 作者结论：作者称 CENSOR 在抵御 GAN 类攻击上优于现有防御且保持模型效用；防御主要针对训练早期，附录 E 讨论了 GAN 还原梯度、温度操纵等留待未来的攻击面。

   收起这一问

相关论文