FDBA：联邦学习中的细粒度分布式后门攻击

联邦学习里的分布式后门把全局触发拆开后强度下降，往往要更多投毒样本，固定触发又容易被鲁棒聚合发现。

• 场景：作者称联邦学习让客户端本地训练并上传更新，用于医疗诊断、金融分析和智能设备等，同时保护数据隐私。分布式特性也使数据投毒和后门成为威胁：带触发输入输出预设标签，其余输入保持正常预测。
• 现有不足：作者称 DBA 把全局触发拆成局部子触发，没有单个客户端持有完整触发，但局部分量更弱，需要更多投毒样本弥补。固定触发模式容易被鲁棒聚合算法检测。作者还称 DBA 与 Neurotoxin 有经验证据，但缺少对投毒效率的严格理论分析。
• 核心观察：作者认为应把攻击从静态像素操作转到动态、特征级几何优化：用边缘结构和 Laplace 噪声生成随图像变化的触发，按 RGB 通道分发给不同恶意客户端，再用对比学习把毒样本特征拉向目标类中心，放大每个恶意样本在聚合中的梯度影响。
• 本文提出：细粒度分布式后门框架 FDBA，包含动态触发、RGB 分解、嵌入向量对比学习与随机投影哈希，并在附录 A 的累积影响模型假设下导出投毒比例关系 ρ=(1+γα)^{-1}。
• 威胁模型：
  • 受害系统：标准跨设备联邦学习，中央参数服务器与 N 个客户端；每轮服务器把全局模型发给随机子集，客户端用私有数据本地训练并回传梯度，服务器用 FedAvg 或鲁棒聚合更新全局模型。
  • 攻击者：一部分客户端被攻陷，可共谋追求同一目标。
  • 知识：恶意客户端对自己的本地训练数据、本地训练过程和每轮广播的全局模型为 white-box；对良性客户端以及服务器的具体聚合机制为 black-box。
  • 能力：可任意操纵本地数据集，并在上传前优化本地模型参数；不能攻陷中央服务器，也不能截获或篡改良性客户端的通信。形式目标是在良性数据上的性能变化 ΔPerf≤ε 的同时，最大化带触发输入被判为 y* 的概率。

论文第 2 节按攻击演进、隐蔽增强和防御机制分组，并用 Table 1 概括方法、特点与主要限制。

攻击方法演进

• BadNets（Gu 等，文中 [5]）与 Chen 等 [6]：集中式设定下用像素触发或投毒训练数据植入目标后门，同时尽量保持干净输入准确率。Table 1 将 BadNets 的主要限制写为集中式设定。
• Bagdasaryan 等 [7] 与 Bhagoji 等 [8]：在联邦学习中用放大恶意更新做模型替换，或分析能在联邦聚合下仍有效的模型投毒。Table 1 写模型替换的主要限制是容易被检测。
• Xie 等的 DBA [4] 与后续动态全局触发工作 [9]：把完整触发拆成互补子模式，由多个恶意客户端注入。Table 1 写 DBA 需要协同客户端。Zhang 等 [10] 在 NLP 中用特定关键词组合植入语义后门。

隐蔽增强

• Li 等 [11]、Doan 等 [12]：用隐写加正则，或同时改输入与潜表示，使触发更不显眼。Table 1 将不可见后门的主要限制写为集中式设定。
• Gong 等 [13]、Sun 等 [14]：前者在联邦学习中用依赖模型的触发做协同攻击；后者把联邦数据投毒写成考虑训练过程的优化问题。Table 1 写其主要限制是优化成本。
• Salem 等的动态后门 [15]：生成依赖输入的触发，而不是单一固定图案。Table 1 将其主要限制写为集中式设定。Chen 等 [16] 研究联邦元学习上的后门。

防御机制

• Krum [18]、Yin 等坐标截断聚合 [19]、FLCert [20]、FLAME [21]：分别按几何邻近选更新、做坐标截断、分组训练再多数投票，以及聚类、裁剪并加噪。Table 1 写 Krum 依赖诚实多数，FLCert 需要训练多个模型。
• Neural Cleanse [22]、Meta Neural Analysis [23]、BAFFLE [24]：逆向候选触发、用元分类器区分木马模型，或用客户端对全局模型的反馈做检测且不访问客户端训练数据。Table 1 写 BAFFLE 需要额外客户端评估。
• Fine-Pruning [25]、Wu 的对抗剪枝 [26]、Huang 的 Lockdown [27]：剪枝与后门相关或脆弱的神经元，或用正交投影把恶意参数隔离子空间。Table 1 写 Lockdown 实现复杂；作者称 Fine-Pruning 会降低正常准确率。Rieger 等的 DeepSight [17] 检查模型更新以缓解联邦后门。

基线方法为 DBA；文中用于比较的数据为 CIFAR-10，并讨论 Non-IID。作者还提到 Neurotoxin [28] 提供了攻击有效性的经验证据，但与 DBA 一样缺少对投毒效率的严格理论分析。

作者把本文定位为：在 Table 1 所述限制之外，同时追求低投毒比例下的攻击成功率、对异构数据的稳健性，以及绕过主流防御；并用对比学习增益 γ 与边缘保持因子 α 给出投毒比例关系。

FDBA 把攻击做成四步：细粒度触发生成、自编码器嵌入、对比学习优化嵌入向量、分布式注入时的结构解耦与更新映射。Figure 1 给出该框架。

问题设定

• 联邦目标：K 个客户端，客户端 i 持有 Di。全局目标是最小化各客户端局部损失的平均，式 (1) 为 min_w F(w)=(1/K)Σ Fi(w)。每轮分发 wt、本地更新 Δwi、再聚合。
• 后门目标：正常输入上的损失接近干净模型；触发后输入 x′=T(x) 被预测为 y*。细粒度版本还要求性能变化 ΔPerf≤ε，并最大化 P[f(w,x′)=y*]。
• 符号：投毒比例为 p；ρ<1 为投毒比例缩减因子；γ 为对比学习放大增益；α 为边缘结构保持因子；λ 为嵌入强度。Table 2 汇总符号。

动态触发与 RGB 分解

• 边缘提取：恶意客户端用 Canny 从本地样本得到边缘图。先高斯平滑（平滑参数 σ），再算水平、垂直梯度 Gx、Gy 与幅度 M，做非极大值抑制，并用高阈值 TH、低阈值 TL 得到二值边缘。作者称边缘稀疏，有利于少改整体分布。
• 全局触发：在边缘上注入 Laplace 噪声。位置 μ 固定为 0，尺度 b 按经验调节。嵌入为 t(x)=α⋅T′(x)⋅r(x)，r(x) 服从 Laplace(μ,b)。α 控制强度。
• 通道分解：T′(x)=T′R(x)+T′G(x)+T′B(x)，各通道 TC′(x)=wC⋅T′(x)，且权重和为 1，权重由网格搜索确定。作者称这是颜色通道分解，不是空间频率分解；作用是降低不同恶意客户端上传更新之间的相似度，针对依赖相似度的检测器（文中举 FoolsGold，Table 7）。

嵌入与对比优化

• 自编码器：编码器 E 把样本映到潜变量，解码器 D 重建。毒样本由 x′=D(E(x)+λ⋅T′C(x)) 生成，也写成像素域 x′=x+λC⋅T′C(x)。总损失为重建损失与触发嵌入损失的加权和，权重为 α、β。重建项使 x′ 在视觉上接近 x。
• 对比学习：用 ResNet-18 去掉全连接层，取 GAP 后的 512 维向量，并加通道注意力和嵌入头。正项拉近毒样本嵌入 e′i 与目标类促进向量 ep，负项推远干扰向量 en，合起来加间隔 m，用 ReLU 截断负值。作者称该目标同时给出理论分析中的梯度放大因子 γ（Theorem 1）。
• 随机投影哈希：把高维向量用随机高斯矩阵投到 k≪d 维再取符号。作者引用 Johnson–Lindenstrauss 引理，称距离近似保持，复杂度从 O(Nd) 降到约 O(Nk)。

注入、映射与投毒比例关系

• 结构解耦：本地模型分成处理嵌入的附加结构和与全局模型一致的部分。附加部分用全连接把嵌入降维，再用转置卷积得到与全局输入同形状的假输入。只上传全局一致部分的更新。
• 更新对齐：Δw_aligned=β⋅Δw_benign+(1−β)⋅Δw_global，β∈[0,1]。模拟良性更新是良性数据上梯度的平均。最终上传对齐后的更新。
• 比例关系：在累积影响模型和附录 A 的假设下，作者导出 ρ=(1+γα)^{-1}。γ 为对比学习增益，α 为边缘结构保持因子。该式是投毒比例缩减因子，不是某一张表上的实测 ASR。

实验设置

• 任务与数据：图像分类上的联邦后门。摘要与贡献中的定量比较写在 CIFAR-10；相关工作还提到防御文献在 CIFAR-10 与 ImageNet 上的结果，那些不是本文主实验。
• 嵌入网络：嵌入提取使用 ResNet-18 的 GAP 特征，输入尺寸写为 224×224×3，输出 512 维。论文未在所附文字中把被攻击的全局模型架构逐一列全。
• 对比对象：DBA。投毒比例比较用分段线性估计，目标 ASR 取 70%–90%。
• 指标：攻击成功率 ASR；另有投毒比例、IID 攻击性能的保留比例。视觉质量方面方法节提到用实验评估，参考文献含 PSNR/SSIM 的出处，所附正文未给出对应数值。
• 数据划分：讨论 Non-IID 与极端异构。论文引用 Hsu 等关于非独立同分布视觉分类的度量，但所附文字未给出 Dirichlet 参数或客户端数 K 的实验取值。
• 评审：ASR 按触发输入是否被预测为 y* 计算。论文未在所附文字中写明 LLM 评审、人工一致性或重复次数。

主结果

表格较宽，可左右滑动

设置	FDBA	DBA	出处
CIFAR-10，目标 ASR 70%–90%，相对少用投毒样本	37.4%–48.4%	比较基准	摘要；Highlights
极端异构下保留的 IID 攻击性能	84.7%	73.5%	摘要

• 投毒效率：作者称在 CIFAR-10 上，把目标 ASR 放在 70%–90%，分段线性估计表明 FDBA 所需投毒样本比 DBA 少 37.4%–48.4%。这是估计区间，不是某一固定投毒比例下的实测 ASR。
• 异构：作者称极端异构的 Non-IID 下，FDBA 保留其 IID 攻击性能的 84.7%，DBA 降到 73.5%。
• 防御：作者称该框架能绕过主流防御。所附正文点名相似度检测器 FoolsGold，并指向 Table 7；Table 7 的具体格子在转换文本中未完整保留，此处不填数字。

触发与分解的作用

• 测了什么：边缘提取对攻击与隐蔽的影响放在 Section 6.3，边缘提取消融指向 Table 10；RGB 分解对恶意更新相似度的影响指向 Table 7。
• 结果：所附文字没有给出 Table 7 与 Table 10 的单元格数字，因此不转写具体 ASR 或相似度。
• 作者的解读：作者称边缘定位使投毒更稀疏；RGB 分解降低不同恶意客户端更新的相似度，而不是提高图像级不可感知性。

理论与经验的衔接

• 测了什么：在附录 A 的假设下推导投毒比例缩减，并用 CIFAR-10 上相对 DBA 的分段线性估计对照。
• 结果：关系式为 ρ=(1+γα)^{-1}；经验侧对应少用 37.4%–48.4% 投毒样本这一估计。
• 作者的解读：作者认为对比学习提供增益 γ，边缘结构提供保持因子 α，二者一起降低达到目标 ASR 所需的投毒比例。作者未把该式写成对所有数据集都已验证。

其他消融与分析

• 噪声位置 μ 固定为 0，尺度 b 按经验调节；所附文字未给出 b 的扫描表。
• 通道权重由网格搜索确定且和为 1；未给出各权重量。
• 更新混合系数 β∈[0,1]；未给出最优 β。
• 随机投影维度 k≪d，JL 引理中 ε 的例子写为 0.1；未给出攻击 ASR 随 k 的表。
• 对比损失间隔为 m；未给出 m 的消融数字。
• 论文提到低投毒与梯度夹角约束（既有方法约 ±15°）会迫使攻击者提高投毒率；这是对既有策略的讨论，不是 FDBA 的实测表。

作者指出的局限与后续方向

• 投毒与隐蔽的两难（Section 2.4）：作者写现有分布式攻击要么低投毒比例但效果明显变差，要么提高投毒比例从而升高检测风险。这是作者对领域缺口的表述，并作为提出 FDBA 的动机。
• 梯度对齐变难（Section 2.4）：作者写当恶意客户端变少、数据异构变强时，把毒梯度保持在良性梯度附近的要求更苛刻，攻击者因而被迫提高投毒率。
• 异构带来的不一致（Section 2.4）：作者写 Non-IID 使攻击成功在不同客户端之间变化很大，现有隐蔽增强技术常带来计算开销和实现复杂度。
• 理论只在给定假设下（Highlights、Section 2.4、附录 A 的引用）：作者写 ρ=(1+γα)^{-1} 是在累积影响模型和附录 A 所述假设下导出的。假设不满足时该关系是否仍成立，论文未在所附文字中展开。
• 防御仍在演进（Section 2.4）：作者写从 Krum 到 FLAME、BAFFLE，防御加入时间模式、多维异常和统计检验，传统攻击策略变得过时。作者把“绕过日益复杂的主流防御”写成仍需新范式的需求，而不是宣称防御问题已经结束。
• 论文未专门讨论局限：所附正文没有独立的 Limitations 小节把上述缺口改写成“本文未做”的清单；Conclusion 的后半在转换文本中未完整保留。

实验覆盖范围

• 投毒比例的定量估计写在 CIFAR-10，目标 ASR 取 70%–90%，对照方法为 DBA，形式是分段线性估计（摘要、Highlights）。
• Non-IID 结果以极端异构下相对 IID 攻击性能的保留比例给出：FDBA 84.7%，DBA 73.5%（摘要）。
• 嵌入提取网络写为 ResNet-18，特征为 GAP 后 512 维，输入 224×224×3（Section 4.3.1）。
• 防御讨论覆盖 Krum、FLCert、FLAME、BAFFLE、Lockdown、FoolsGold 等名称；与 FDBA 数字直接对应的防御表在所附文字中仅能确认指向 Table 7，格子未保留。
• 论文未报告重复次数、恶意客户端比例的实验取值，以及 ASR 的逐轮曲线数值；这些在所附 Section 6 的表格文字中未出现。

FDBA 是面向联邦学习的细粒度分布式后门：在触发被拆到多个恶意客户端之后，仍试图用更少投毒样本维持 ASR 与隐蔽。

• 问题：分布式拆分使局部触发更弱，固定图案又容易被鲁棒聚合发现。作者认为低投毒与高 ASR、以及对 Non-IID 和主流防御的应对，不能同时被现有 DBA 式分解满足，且缺少投毒效率的严格关系式。
• 做法：Canny 边缘加 Laplace 噪声生成随样本变化的触发，再按 RGB 通道分给不同恶意客户端。自编码器把子触发嵌入潜空间；对比学习把毒样本嵌入拉向目标类、推离其他类，随机投影哈希用来降维。上传前把附加结构与全局一致部分分开，并用混合系数 β 把更新向模拟良性更新对齐。
• 关系式：在附录 A 的假设下，作者给出 ρ=(1+γα)^{-1}，γ 为对比增益，α 为边缘保持因子。
• 结果：CIFAR-10 上，目标 ASR 70%–90% 的分段线性估计显示，FDBA 比 DBA 少用 37.4%–48.4% 投毒样本。极端异构下 FDBA 保留 IID 攻击性能的 84.7%，DBA 为 73.5%。作者称框架能绕过主流防御，并把 RGB 分解解释为降低恶意更新相似度。
• 结论：作者认为细粒度分布式攻击同时带来联邦学习的安全威胁和防御难题；投毒比例关系依赖所声明的分析假设。