《网络安全技术与应用》2023年第12期刊载了由白晓雷、张海岩、王硕（国家计算机网络应急技术处理协调中心河北分中心）撰写的综述论文《联邦学习隐私攻击与保护技术研究综述》。该文系统梳理了联邦学习（Federated Learning）框架下的隐私安全威胁及其防御技术的最新研究进展，为分布式机器学习领域的隐私保护提供了重要参考。
论文核心议题
联邦学习作为一种分布式机器学习范式，通过本地训练、参数交互的方式避免原始数据集中传输，理论上能解决数据孤岛和隐私泄露问题。然而，随着应用场景扩展（如智慧医疗、电子政务），研究发现攻击者可利用模型梯度、参数更新等中间信息反推用户隐私数据，导致隐私攻击风险凸显。本文聚焦两类核心问题：
1. 隐私攻击模型分类：从攻击者位置、行为、模式、知识四个维度构建攻击者画像
2. 防御技术体系：对比加密、扰动、可信硬件等技术的优劣与适用场景
一、联邦学习隐私攻击模型详析
1. 攻击者位置分类
- 内部攻击者：恶意参与方或服务器，可获取完整梯度与参数（如篡改训练数据的恶意客户端）
- 外部攻击者：仅能访问模型发布信息的第三方（如通过API查询模型输出的攻击者）
> 文献[2][3]通过注入后门代码实验证明，内部攻击者能窃取其他参与方数据
2. 攻击行为分类
- 半诚实攻击：合规参与训练但额外推断信息（如通过影子模型进行成员推断）
- 恶意攻击：直接破坏协议流程（如参数篡改诱导数据泄露）
3. 攻击模式分类
- 被动攻击：仅观察训练过程（如模型窃听）
- 主动攻击：干扰训练流程（如生成对抗网络生成虚假样本）
4. 攻击者知识分类
- 黑盒攻击：仅知模型输出（如成员推断攻击）
- 白盒攻击：掌握模型结构与参数（如梯度反推原始数据）
二、典型隐私攻击技术
1. 成员推断攻击（Membership Inference）
- 目标：判断特定样本是否存在于训练集
- 方法：构建影子模型模拟目标模型行为
- 风险：若训练集含医疗记录等敏感数据，可造成身份泄露
2. 生成对抗网络攻击（GAN-based Attack）
- 流程：攻击者控制参与方，通过生成对抗网络伪造样本
- 生成模型伪造数据 → 判定模型优化伪造效果 → 最终生成逼真虚假数据
- 应用：可结合模型重构、特征推断等攻击（如文献[3]通过虚假样本影响全局模型）
3. 数据泄漏攻击
- 案例：服务器通过设计脆弱模型，从参数中提取敏感数据
> 文献[1]证实，攻击者可通过多任务学习传递虚假数据窃取隐私
三、隐私保护技术对比
| 技术类别 | 代表方法 | 优势 | 局限性 |
|——————-|————————|—————————–|——————————–|
| 加密方法 | 同态加密（HE） | 保护明文数据，不损失精度 | 计算开销大，仅防训练阶段攻击 |
| | 安全多方计算（MPC） | 支持多方安全计算 | 通信成本高 |
| 扰动方法 | 差分隐私（DP） | 防逆向攻击，适合大规模场景 | 需牺牲模型精度 |
| 参数混淆 | 矢量抵消方案（文献[4]）| 隐藏真实参数且不影响聚合结果 | 依赖参与方协作 |
代表性方案
模型更新参数混淆（文献[4]）
- 参与方约定混淆矢量，上传参数时加减抵消
- 公式验证：$\sum_{u} zu = \sum{u} x_u$（确保聚合结果无偏差）
部分梯度上传（文献[5]）
- 仅上传绝对值较大的梯度，减少信息暴露
- 实验证明：上传30%梯度仍可保持模型性能
四、研究展望与行业价值
现存挑战
- 技术矛盾：差分隐私需平衡噪声强度与模型精度
- 扩展性瓶颈：加密方法难以支撑超大规模联邦学习
未来方向
- 轻量级保护技术：降低加密/扰动技术的计算开销
- 动态防御体系：结合可信硬件（如TEE）与自适应噪声机制
该综述为联邦学习在医疗、金融等高隐私要求场景的落地提供了理论支撑与技术路线参考，其系统性攻击分类与防御对比尤其值得工业界关注。