该论文针对联邦学习（FL）中隐私保护的割裂现状提出了一套组合式框架。背景在于：去中心化数据日益普遍，联邦学习允许客户端在不共享本地敏感数据的前提下协同训练模型，但 FL 本身并不足以保护训练数据——梯度更新仍可能泄露成员信息与属性信息，因此实践中通常叠加差分隐私（DP）或同态加密（HE）。作者指出，这两类技术各自解决不同层面的问题：DP 通过加噪提供可证明的统计隐私保证，但会显著损失模型效用；HE 则让服务器在密文上完成计算，保护传输与聚合过程中的数据机密性，却无法约束最终发布模型对个体样本的泄露。单独依赖其一，在 FL 场景下要么效用太差，要么隐私保证不足。为此，论文提出一个隐私保护联邦学习框架：训练阶段采用基于同态加密的方案（在密文域进行模型训练/聚合，避免明文暴露），而模型审查与发布阶段采用差分隐私机制，从而把"机密性"与"发布时的隐私核算"解耦并由不同机制分别承担。为量化整体隐私水平，作者引入了基于马尔可夫链蒙特卡洛（MCMC）的贝叶斯隐私估计方法，对框架的隐私参数进行后验推断，而不是仅依赖传统的 DP 会计。实验在 FEMNIST 数据集上进行：训练结束时，所提方法测试损失为 1.09，而仅使用差分隐私训练的基线为 2.37，说明模型效用大幅提升；同时估计得到的隐私参数 ε 后验均值为 4.32，优于基线的 7.26，即效用更强且估计隐私保护更强。论文进一步表明，间歇性的模型监控（intermittent model monitoring）能够在保持加密训练轨迹完整性的同时，达到与纯 DP 方案相当甚至更强的估计隐私水平。整体贡献可概括为：将 HE 训练与 DP 发布/审查相结合的系统性框架设计、面向该框架的贝叶斯隐私估计方法，以及在效用—隐私权衡上同时改善基线的实证结果。

该论文聚焦联邦学习（FL）中的安全聚合（Secure Aggregation）机制，并指出其一个长期被忽视的功能性局限：在传统协议中，聚合结果的精度（分辨率）在客户端上传更新时就被一次性固定下来。也就是说，服务器与客户端在协议开始前必须就量化位数/精度达成一致，一旦客户端完成一次上传，之后若想获得同一聚合结果更精细的版本，就必须重新组织一轮聚合，让所有客户端再次参与、重新编码与上传。这在实践上代价高昂：客户端可能离线、掉线或不愿重复参与，而某些下游任务（例如需要更细粒度模型更新分析、分层审计、逐步提高模型精度、或多阶段分析流程）恰恰需要在事后按需提升同一聚合结果的精度。 为此，作者提出了一个新的功能定义——渐进分辨率安全聚合（progressive-resolution secure aggregation）：客户端只需上传一次，之后可以在不再要求客户端参与的前提下，逐级授权获得同一聚合结果更精细的分辨率。为了实现该功能，论文提出了 PSA 协议：每个经过裁剪（clipping）并加入抖动（dithering）的客户端更新，被表示为彼此兼容的嵌套格（nested-lattice）数字位（digits），从而形成层层包含、可逐级释放的表达结构。不同层级可以单独释放，每一层都由安全聚合机制保护，并额外叠加一个聚合掩码（aggregate pad）；该掩码对服务器始终不可见，只有当互不串通的释放控制器（release controller）授权某一层时，该层才会被解封。这样一来，服务器在未获授权时无法提前窥探更精细的分辨率，而授权后又能在无客户端二次参与的情况下获得更细粒度的聚合结果。 论文的贡献可概括为三点：一是形式化定义了渐进分辨率安全聚合这一新的功能目标，明确了其安全性与功能性要求；二是给出基于嵌套格数字表示、分层安全聚合与聚合掩码、以及非串通释放控制器的具体构造 PSA；三是论证了该构造能够同时满足（a）服务器无法观察任何单个客户端更新、（b）服务器在授权前无法获得更高分辨率、（c）客户端仅需一次上传即可支撑后续多次逐级释放。文摘未给出实验细节与定量评测。适合隐私保护机器学习、联邦学习系统、密码协议与信息论方向的研究者与工程人员阅读。

这是一篇立场/观点型（perspective）论文，讨论多机构协作开展科学人工智能时的隐私基础问题。背景是：科学 AI（从基础模型 FM 到联邦数据分析流水线）正在成为国家实验室、大学、医院与产业伙伴共同依赖的共享基础设施；这种协作产生的隐私风险，其自然计量单元通常不是单条数据记录，而是某个机构的参与事实、研究策略或技术能力，即“机构级隐私”。现有防护手段——差分隐私（DP）、联邦学习（FL）、安全计算、可信执行环境、数据溯源——各自只保护技术栈的一部分，且在混合信任机构、多级访问层级和自治智能体共存的场景下，这些保证很难相互组合（compose），导致保证碎片化、难以审计。论文的核心方法是将科学 AI 隐私重新刻画为一个“保证（assurance）问题”，由六个要素定义：受保护资产、观察者、信道、允许披露、保证、证据；作者用一个面向复合跨机构场景的“声明登记册（claim register）”演示该框架，并用它沿模型全生命周期逐阶段评估。关键发现包括两个领导级超算设施特有的缺口：一是调度器、资源分配与遥测元数据会暴露机构的资源态势；二是附着在科学仪器上的控制回路会通过共享加速器上的时序与资源争用泄露研究策略。论文据此提出六项研究优先方向：机构级保证、智能体间通信隐私、跨信任层级的信息流、隐私兼容的可复现性、领导级规模的隐私核算、以及仪器侧信道。总体贡献是提供一个统一的形式化语言，用于陈述、比较与审计隐私声明，使原本分散在科学 AI 各层的保证变得可对比、可审计。适合超算中心与科研基础设施安全合规团队、联邦学习与差分隐私研究者、科研数据治理与 AI 治理人员阅读。

背景与问题：边缘计算把数据处理下沉到终端用户与 IoT 设备附近，降低了时延并缓解回传带宽拥塞，但由于边缘节点异构、资源受限、且往往部署在非受管的管理域中，攻击面被指数级放大，这些节点成为高价值且脆弱的目标。同时，全球范围内的数据隐私法规又限制了把原始网络遥测集中到大中心进行训练的传统方案，使集中式入侵检测难以落地。核心方法：论文提出 TA-FHIDF（Trust-Aware Federated Hybrid Intrusion Detection Framework，信任感知联邦混合入侵检测框架）。其在每个本地网关上构建统一的深度学习检测引擎，由三部分组合而成——Autoencoder 负责无监督表征与重构式异常感知，1D-CNN 负责提取局部空间/序列模式，BiLSTM 负责捕获双向时序依赖，三者协同实现自动的空间与时序特征抽取，减少人工特征工程。模型训练通过联邦学习协作完成，原始网络遥测数据始终留在本地网关，仅交换模型更新，从而满足数据本地化与隐私合规要求。为抵御对抗性模型投毒（拜占庭客户端）攻击，框架在服务器端引入信任感知聚合机制：在把各客户端更新整合进全局模型之前，先用余弦相似度度量其与参考方向的一致性，据此评估客户端可靠性并抑制不可信更新的影响。实验与贡献：作者在 UNSW-NB15、CICIDS2017 与 Edge-IIoTset 三个覆盖多类攻击向量的基准数据集上进行评测，结果表明该框架在检测准确率上优于对比方案，收敛速度更快，并且在存在恶意客户端注入污染更新的对抗场景下仍保持较高的拜占庭容错能力。整体贡献可概括为：混合式（重构+空间+时序）本地检测引擎、联邦式隐私保护训练、以及抗投毒的信任聚合三者结合，形成面向边缘与 IoT 的端到端入侵检测方案。适合读者：边缘/IoT 安全、联邦学习鲁棒性、分布式入侵检测方向的研究者与安全架构师。

去中心化大语言模型（LLM）微调允许多个机构在不汇聚原始数据、也没有中心协调者的情况下，协作训练一个共享的 LLM。其典型流程是：每一轮中，每个节点在通信图上与邻居交换可训练的适配器（adapter），随后在本地对收到的适配器进行聚合更新。论文指出这一范式存在被「传播型后门」污染的风险——后门是一种隐藏行为，使模型在干净输入上表现正常，但只要输入中出现秘密触发器，就产生攻击者预先选定的输出。作者首先给出一个关键发现：仅仅一个节点对自己的模型投毒，就能让从未见过任何投毒样本的邻居节点所持有的适配器也被植入后门，从而让这些无辜节点在收到包含秘密触发词的提示时选择拒答（即被触发为攻击者期望的行为）。这意味着后门会沿着通信图逐跳扩散，危害远超投毒节点自身。 针对该问题，作者提出 Chorus：一种去中心化的防御机制，使每个节点在聚合之前就能检测并拒绝来自邻居的后门适配器。Chorus 的两个核心设计目标是：不需要任何共享的验证数据集，也不需要预先知道攻击者使用的触发器或攻击目标。其基本原理是「以行为判优劣」——接收方把自身当前持有的适配器当作可信参考，用它对收到的邻居适配器进行行为对比评估。更关键的是，Chorus 不依赖任何单一节点独立下结论：同一个适配器会被它的多个接收方分别独立探测，各接收方的探测结果在邻域内汇总并进行投票，最终决定是否接纳。因此，即使某个接收方漏检、让后门溜过，其它接收方仍能在投票中把它拦截下来，显著提升了鲁棒性。 实验评估覆盖两个指令微调数据集与多种 LLM 架构，并与一个当前最优（state-of-the-art）基线进行对比。结果显示：Chorus 将攻击者邻居节点的平均攻击成功率（ASR）从 48%–63% 降到最高 2.2%，与一个「全知 oracle」（已知确切恶意节点）的差距在 0.6 个百分点以内；在最多 78% 节点被影响的无防御情形下，Chorus 中最受影响的诚实节点 ASR 也从未超过 10%，与 oracle 的同一上界持平。此外，该机制带来的通信开销可以忽略不计。整体而言，论文为去中心化/联邦式 LLM 微调提供了一种无需共享数据、无需触发器先验、基于多接收方独立探测与邻域投票的后门检测与拒收方案。

联邦学习允许多个客户端在不共享私有数据的前提下协同训练模型，但服务器对本地训练过程缺乏可见性，既无法确认客户端是否严格遵循既定训练流程，也难以发现模型投毒等恶意更新。一种直观的验证思路是“重放”客户端训练：用相同配置重新执行训练并比对结果。然而在隐私保护场景下，重放必须在密码学保护下进行，其数值结果与客户端本地 GPU 上真实执行的浮点结果无法逐位对齐，导致“不一致”既可能源于恶意篡改，也可能只是运行环境差异，直接比对会产生大量误报。 针对这一矛盾，作者提出 OPFL——面向隐私保护联邦学习的乐观验证框架。OPFL 将重放放在安全多方计算（MPC）中执行以保护数据隐私，并观察到：尽管 MPC 与本地 GPU 计算出的梯度并非逐位相同，但两者之间的绝对差值具有稳定且有界的统计特性。基于此，OPFL 先离线校准一个“经验边界”，在线阶段用该边界判断偏差属于良性数值噪声还是恶意操纵。为降低 MPC 重放的高昂开销，OPFL 采用乐观验证策略：不对全部训练步骤重放，而是按概率抽样、事后审计部分训练步骤，抽样结果落在边界内即接受更新。 实验在 LeNet、BERT、Qwen 上进行，结果显示经验边界可跨数据集、输入长度和 GPU 泛化；在模型投毒与 PGD 类攻击下达到 0% 攻击成功率（ASR）。在 LeNet 负载、采样率 p=0.01 时，OPFL 比全量 MPC 联邦学习快约 98.6 倍，比基于零知识证明（ZK）的方案快约 625.5 倍。该工作适合研究联邦学习安全、可信机器学习、MPC/零知识证明系统，以及构建可验证分布式训练平台的研究者与工程师阅读。

该论文针对去中心化联邦学习（DFL, Decentralized Federated Learning）场景下防御能力不足的问题，提出了名为 DecoyTrace 的主动式网络欺骗防御方案。DFL 取消了中心聚合服务器，虽然避免了单点故障，但也同时消除了传统防御所依赖的唯一观测点：在纯点对点拓扑中，恶意节点提交的后门更新或语义投毒更新，在参数空间中可能与良性更新极为接近，仅在行为上存在显著差异，因此依靠被动参数审查的防御手段容易被规避。现有基于欺骗的防御主要面向中心化联邦学习设计，无法在严格无服务器的 DFL 中同时解决本地观测、投毒传播、来源归因与遏制四个问题。 DecoyTrace 的核心设计包含四部分：(1) 部署一个可移动的 DecoyNode（诱饵节点），该节点利用混沌映射（chaotic maps）生成诱饵挑战，使诱饵样本具有不可预测性与多样性；(2) 依据邻居信任度向对端分发“干净模型 / 诱饵模型”双模型，形成差异化观测；(3) 使用三态语义度量（three-state semantic metrics）对模型在诱饵挑战上的响应进行评估，从而识别那些在参数空间上与良性更新难以区分、但在语义行为上异常的对端；(4) 一旦确认恶意来源，触发分布式协议对该来源进行隔离，并执行模型重置或恢复以保留已有的训练进度，实现“欺骗—识别—遏制”的统一。 实验方面，作者在 NEBULA 平台上评测了 60 种配置组合，覆盖 5 个数据集、3 种拓扑结构与 4 类攻防场景。结果表明 DecoyTrace 能系统性地恢复被攻击削弱的模型效用：在 MNIST 与 FashionMNIST 上 F1 分数与基线差距控制在 0.03 以内（而未防御时最多下降 0.37）；在 EMNIST 与 CIFAR-100 上达到或超过基线；在最复杂的卷积场景 CIFAR-10 上，与基线差距维持在 0.05 至 0.10 之间。此外，遏制机制使 CPU 与网络开销最多降低约三分之二。论文同时诚实地指出了该方法在复杂任务与多吸引子（multi-attractor）威胁模型下的局限性。整体而言，该工作验证了在无服务器 DFL 中统一欺骗、识别与遏制的可行性，为去中心化学习的安全运维提供了新的思路。

该论文针对工业控制系统（尤其是关键水务基础设施）中联邦学习入侵检测的一个根本性缺陷展开研究：现有防御机制几乎全部在"模型更新空间"内运作（如 Krum、FoolsGold、Trimmed-Mean 等聚合规则），聚合服务器只能看到客户端上传的参数向量，无法判断这些更新究竟来自真实运行遥测还是伪造数据。因此，攻击者只要伪造出看似合理的运行数据并据此训练本地模型，其上传的更新在统计上与诚实客户端的更新难以区分，形成"数据投毒"盲区。作者提出一种"物理认证的联邦学习"（Physics-Attested Federated Learning）范式：把原本用于运行时异常检测的赛博-物理过程不变量（例如质量/能量守恒定律、执行器与传感器之间的耦合关系）重新利用，改造为联邦更新的"准入条件"。这些不变量从干净的运行数据中自动挖掘得到，客户端提交的更新必须通过不变量一致性检查才能被聚合。作者在两个物理水务测试床 SWaT、WADI 以及一个配水基准数据集 BATADAL 上，针对七种聚合规则，评估了三类攻击：遥测伪造、仅暴露型重放投毒、以及感知不变量的自适应攻击者。实验显示：挖掘出的不变量对 100 个诚实分片全部接纳（零误拒），并拒绝所有朴素伪造分片，包括 FoolsGold 会完整接纳的优化扰动样本；在真实遥测上，5 条不变量可检出 SWaT 35 次攻击中的 12 次，9 条不变量可检出 20 次，且不拒绝任何诚实分片；配合 9 条规则，物理门控在五种标准聚合器上分别恢复了因重放投毒而损失的目标攻击召回率的 69%–100%，以及因遥测伪造而损失的 54%–100%。为兼顾物理准入控制与联邦数据隐私，作者进一步使用零知识证明（zk-SNARK）让客户端在不泄露运行遥测的前提下证明其批次数据满足不变量约束。论文视角偏重机制设计与实验评估，适合联邦学习安全、ICS/OT 异常检测与隐私计算方向的研究者与关键基础设施安全工程师阅读。

该论文介绍了一种新一代联邦学习（FL）系统，目标是解决早期 FL 部署中的运营难题，并首次提供可被外部验证的中心化差分隐私（DP）保证，同时改善隐私与效用之间的权衡。系统基于可信执行环境（TEE）构建：设备使用由 TEE 托管的密钥管理服务（KMS）管理的密钥对本地数据进行加密后上传；上传的数据在密码学层面绑定到一条策略，该策略限定了后续可在服务端 TEE 中处理该数据的 Python 程序集合。外部相关方可以检查公开的透明日志，观察这些策略所允许的工作负载集合，从而获得可审计的信任基础。实验结果显示，新系统提升了设备覆盖率，并改善了隐私-效用曲线，原因是系统可以按优化 DP 保证的调度将收集到的数据整合进服务端工作负载，而这一过程不受设备可用性波动的影响，避免了传统 FL 中因设备掉线导致的训练偏差与隐私核算困难。作者还指出，该系统已完成产品化，使 Android 键盘（Gboard）的模型训练更快、准确率更高，并且所需隐私预算更小，而这些预算现在可被外部验证。该研究融合了 TEE、透明日志、中心化 DP 与联邦学习工程实践，属于隐私增强机器学习的重要落地进展，适合联邦学习、差分隐私、可信执行环境、隐私工程与合规审计方向的读者阅读。

在大语言模型训练语料中，跨客户端重复数据会降低联邦学习（FL）的效率，同时加剧模型记忆化与隐私泄露风险。隐私保护的跨客户端去重可清除重复训练数据，从而缓解该问题。然而现有方案均遵循“先去重、后训练”（Deduplication-before-Training）范式，这种串行耦合方式容错开销高，且不支持客户端的动态加入。为此，作者提出一种此前未被探索的新范式“训练中同时去重”（Deduplication-while-Training，DwT），使去重与训练并发执行。DwT 将跨客户端去重从一次性、全局同步的预处理操作，转变为具有状态管理、并发认领与故障恢复能力的持续在线服务；通过状态同步与任务接管，最小化客户端断连对整体训练进度的影响，并支持客户端动态加入。作者据此设计并实现了隐私保护去重系统 DwT-FL，其核心包括并发状态认领机制与冷热双队列调度策略，使安全去重与模型训练能够并行执行，同时有效处理客户端断连与动态加入。实验表明，与当前最先进方案相比，DwT-FL 将故障恢复的时间开销最多降低 93.04%，将动态加入的时间开销最多降低 94.18%，为动态、不稳定的联邦学习环境提供了高效且弹性的并发去重方案。该工作适合联邦学习、隐私计算与分布式训练领域的研究者与工程师阅读。

该论文研究的是「同态加密下的联邦学习训练」这一隐私保护机器学习场景。加密训练有一个长期存在的硬性约束：服务端聚合与更新的多项式次数必须保持很低（低度数/low-degree），因为同态方案中每次乘法都会消耗乘法层级并引入噪声。这一约束传统上直接排除了权重取值落在紧李群上的模型，最典型的就是变分量子电路（VQC）——其每一个可训练权重都是一个 SU(2) 旋转。若用欧拉角或离散字母表来表达这些旋转，更新项会呈现为超越函数（transcendental），历史上不得不付出极高代价：要么每个量子门需要一次客户端-服务器交互往返，要么每个权重需要超过 25000 次运算，使其工程上不可行。论文的核心论点是：这一代价并不是问题的本质，而纯粹是坐标选择产生的假象。作者指出，若改用单位四元数（spin）图来表达旋转，群乘法恰好是双线性的（次数为二，系数只取 -1、0、+1），因此加密后的旋转更新只需消耗一个乘法层级，而联邦平均在任何分级（levelled）同态方案中代价为零，从而完全消除了自举（bootstrapping）需求。作者强调这是与具体实现无关的代数性质，并在两种不同的密码学后端上得到验证，聚合误差分别仅为 0.0 弧度和 -2.0×10⁻¹² 弧度。基于这一代数简化，论文给出了一个用于混合量子-经典网络加密联邦训练的非交互式协议，并附带聚合正确性证明与符号处理证明，以及一个编译引理，证明引入参数化纠缠门只会带来常数因子开销而不改变深度类别。实验方面，五种子配对研究确认不存在可测量的效用损失（ΔMSE=+9×10⁻⁶，p=0.92）；噪声预算消融实验则否证了「加密噪声起到正则化作用」的假设。这些收敛趋势在不同数据集上可以复现，并可扩展到 20 个客户端规模。最后，作者在 156 量子比特的真实处理器上完成硬件验证，加密路径达到 0.9918 的保真度，而未加密对照组为 0.99957。适合关注隐私增强机器学习、联邦学习基础设施、量子机器学习训练管线以及同态加密工程化的研究者与安全工程师阅读。

该论文聚焦联邦学习（FL）与世界模型（WM）结合用于自动驾驶（AD）这一新兴交叉场景。联邦世界模型自动驾驶（federated WM-AD）允许各车辆在不上传原始私有驾驶数据的前提下协同训练世界模型，从而获得更强的环境预测与规划能力；但论文指出，这一范式把「模型聚合」环节变成了一个安全性关键的完整性边界——聚合结果直接决定下游规划器（planner）的行为。作者提出了一类此前未被刻画的新威胁，称为「想象投毒」（imagination poisoning）：被攻陷的车辆提交的 WM 更新在数值上保持有界（看似正常），在短时域（short-horizon）预测上仍与良性行为几乎一致，却系统性地污染长时域 rollout（即模型对未来的「想象」），例如以触发器条件触发的方式，在训练完成后误导下游规划器做出危险决策。由于短时域指标正常，这类攻击可绕过常规的基于参数空间或验证损失的异常检测。为应对该威胁，作者提出 FedWM-Guard，据其所知是首个针对联邦 WM-AD 中「面向规划器的 rollout」进行刻画的防御方案。其核心思想是：不只看更新「长什么样」（参数空间），而是评估一个更新让模型「想象出什么」（行为空间）。具体机制包括四个环节：(1) 在隐藏金丝雀（hidden-canary）场景中筛查经过认证的更新，观察其在特定情境下的行为差异；(2) 将模型预测的未来与实际后续观测进行对比审计，检验长时域预测的一致性；(3) 当检测到持续性的不一致时，调用一个与世界模型无关（WM-independent）的安全盾（safety shield）进行兜底，避免规划器被污染的世界模型直接驱动；(4) 整体形成对面向规划器 rollout 的评估与拦截闭环。论文同时给出了后续评估计划，包括在非独立同分布（non-IID）数据、自适应攻击以及良性分布漂移条件下检验 FedWM-Guard 的有效性与误报代价。需要注意的是，该文以 Poster 形式呈现，属于问题定义与方案设计阶段的早期工作，实验评估尚在计划之中，因此其结论的证据强度有待完整版论文确认。总体而言，论文的价值在于首次系统性地指出联邦世界模型自动驾驶的安全边界，并提出行为级（而非参数级）的防御视角。

本文是一篇面向区块链与人工智能融合方向的元综合（meta-synthesis）论文，作者 Harsh Verma 将四项既有研究整合进统一的分析框架：对抗性机器学习（训练数据与模型行为的完整性）、云环境中的 AI 驱动异常检测（实时监控的可靠性）、基于多智能体大语言模型（LLM）流水线的自动化漏洞修补（自动化代码修复的可信度），以及覆盖 AI 系统全生命周期的安全防护图景。作者指出，这三条技术线各自对应现代 AI 驱动安全运营中的一个独立失效点，但共同面临同一个根本缺口：在缺乏中心化权威的前提下，如何对数据、模型以及自主运行的 AI 智能体建立可信度。论文主张，区块链的不可篡改性、去中心化共识与可验证溯源三大属性，恰好可以弥补这一缺口，为跨分布式系统的数据共享、模型完整性与自主决策提供基础设施级支撑。在此基础上，作者结合已有的区块链安全数据共享、联邦学习与多智能体协同研究，提出了一套分层参考架构：该架构将对抗性加固后的模型、以区块链为锚定的数据溯源、AI 驱动的异常检测，以及由智能合约治理的多智能体修复流程耦合在一起，形成从数据输入、模型行为、运行时监控到自动化响应的闭环信任链。论文最后讨论了在该类集成系统投入生产关键环境之前必须解决的开放问题，包括可扩展性瓶颈、隐私与透明性之间的权衡取舍，以及自主智能体的治理与问责机制。需要注意的是，该文属于整合性综述与架构提案性质，摘要中未提及具体的实验基准、数据集或量化评测结果，其贡献主要体现在问题刻画、跨领域关联与架构设计层面，适合从事 AI 安全、区块链基础设施、安全运营自动化与智能体治理方向的研究者和架构师阅读。

本文研究联邦学习场景下的入侵检测系统（Federated IDS）在面对标签翻转投毒（label-flipping model poisoning）时的鲁棒性问题。作者构建了一个三客户端联邦入侵检测实验环境，训练数据为 CICIDS2017，并刻意让各客户端之间的攻击子类型分布呈现非独立同分布（non-IID）特征，以更贴近真实的多机构协同检测场景。实验的核心发现是：当单个拜占庭客户端将自己 60% 的训练标签进行翻转时，攻击者实际上会"自伤"——该客户端自身的联邦检测准确率从无投毒情况下的 99.96% 跌至 84.33%，而联邦全局集成模型（global ensemble）在所有测试的投毒比例下都保持了稳定的准确率，且这一现象是在没有任何防御机制、攻击者之间也没有任何协同的前提下出现的。作者据此提出一个关键洞察：拜占庭客户端因自伤而产生的性能异常信号，本身就是一个可被检测、可被利用的异常特征，可用于在缺乏目标数据外泄（exfiltration）证据的情况下识别拜占庭客户端，从而把"投毒副作用"转化为"检测线索"。作者同时给出重要的方法学限定：本实验的聚合步骤采用的是 Federated Forest（树级联式集成）而非参数化的 FedAvg，因此所测得的结论刻画的是集成聚合下投毒对单客户端性能的影响；将该结论推广到真正的 FedAvg 与参数化分类器的工作被列为后续研究计划。整体而言，论文的贡献在于以实证数据量化了标签翻转投毒在非 IID 联邦 IDS 中的实际破坏力边界，并首次系统性地论证了"攻击者自损信号"可作为拜占庭节点识别依据这一防御思路。适合联邦学习安全、入侵检测、鲁棒聚合与可信 AI 方向的研究者与安全工程师阅读。

该论文研究如何在资源受限的物联网（IoT）设备上部署既保护隐私又具备实用检测能力的入侵检测系统。研究背景是：IoT 设备大规模铺开，使得在设备本地直接运行入侵检测成为刚需，因为把原始流量送到云端既涉及隐私合规问题，也受带宽与延迟限制。联邦学习（Federated Learning）允许多方在不共享原始数据的前提下协同训练模型，天然契合这一隐私诉求，但作者指出常规联邦模型存在两个落地障碍：一是参数量与内存占用过大，难以放进微控制器（MCU）级别的硬件；二是训练过程不稳定。另一方面，TinyML 技术可以产出体积极小的神经网络，但现有 TinyML 工作大多面向“只做推理”的场景，并未解决如何在联邦环境下稳定地训练并压缩模型的问题。 针对上述空白，作者把联邦学习与基于 TinyML 的模型压缩放进同一条训练流水线进行考察，系统评估了知识蒸馏（knowledge distillation）、结构化剪枝（structured pruning）与量化（quantization）三类压缩策略在联邦训练过程中的表现与相互影响。论文的一个关键观察是：在联邦 TinyML 系统中，训练稳定性而非单纯的压缩率，才是决定最终检测效果的核心变量；不稳定的联邦训练会显著拖垮攻击类样本的召回。为此作者引入由服务器端统一协调的余弦学习率调度（server-coordinated cosine learning-rate scheduling），在保持大幅模型压缩、适配边缘部署的同时，把 Attack Recall 从 46.7% 提升到 93.85%。 论文定位为初步结果（preliminary results），主要贡献在于给出了“联邦学习 + TinyML 压缩”这一组合在 IoT 入侵检测场景下的可行性证据、稳定性瓶颈的定位，以及一种简单有效的服务端学习率调度修正手段，为后续设计轻量、隐私友好的 IoT 入侵检测系统提供了经验性指导。适合从事边缘 AI、联邦学习、IoT 安全与 intrusion detection 研究的工程与研究人员阅读。

该论文关注联邦学习(FL)中一类被现有防御忽视的威胁模型。传统 FL 防御普遍假设攻击者是静态的、彼此独立的(例如固定比例的投毒客户端或互不配合的恶意节点),因此可以依靠单客户端行为异常或鲁棒聚合规则将其过滤。作者指出这一假设可被"动态自适应"攻击系统性突破,并据此提出 Fed-ADR 攻击框架。Fed-ADR 的核心是引入一个恶意编排服务器(OS),它充当攻击方的协调中枢,实时调度一组异构的对抗客户端:其中既有以降低全局模型可用性为目标的非定向攻击者,也有以诱导模型偏向特定目标为目标的定向攻击者。在 OS 的实时协调下,恶意客户端不再使用固定或随机的梯度扰动,而是有策略地调整自己的梯度更新,使其在参数服务器(PS)侧看来尽量贴近正常更新的分布,从而规避多种当前最先进的鲁棒聚合与检测防御,同时持续削弱全局模型性能或将训练推向攻击者期望的方向。作者同时给出缓解方案:检测模块利用客户端的历史更新来估计其"真实梯度",据此实时识别协同恶意行为,且不引入额外通信或计算开销;恢复模块是"原位"(in-situ)的,即无需重启训练即可把全局模型性能拉回,保持收敛性并缩短恢复时间。实验在 MNIST、Fashion-MNIST 和 CIFAR-10 上进行:Fed-ADR 可把全局准确率从 90% 以上压到 10% 以下,并绕过多项 SOTA 防御;启用检测与恢复后,系统能在数轮之内识别恶意客户端并把准确率恢复到 90% 以上,且相比从头重训至少降低 20 倍计算开销。

该论文聚焦于联邦学习在临床多中心研究中的落地难题。作者指出，联邦学习虽然能在不共享患者级原始数据的前提下实现多方协同建模，但绝大多数研究仍停留在仿真阶段，难以真正部署到跨医院的真实临床研究中。为厘清差距，作者先从文献中归纳出五项核心需求（涵盖数据协调、可发现性、合规与披露控制、可复现可审计的工作流执行、以及跨研究的资产复用等维度），随后系统评估了 14 个现有联邦学习框架，结论是没有任何一个框架能够完整满足这五项需求，暴露出工程化与治理能力上的系统性缺口。 针对这一缺口，作者提出 FL-Net：一个面向联邦临床研究的一站式框架。它把模块化数据协调、数据发现、披露控制（disclosure control）、安全构建并带版本管理的 FL-Net-Tools，以及容器化的联邦工作流执行环境，整合进一个可长期运行的持久化网络之中。其关键设计目标是让已协调的数据与工作流能够在不同研究之间复用，从而降低每个新研究重复搭建联邦基础设施的成本，并把可复现性与审计能力内建到流程中。 在评估方面，作者对 FL-Net 的端到端能力进行了验证：包括数据协调流程、跨研究患者发现（在 MIMIC 与 US-130 两个数据集/队列上）、以及在最多 50 个并发客户端条件下的可复现、可审计的联邦工作流执行。FL-Net 目前正在欧盟 dAIbetes 与 Microb-AI-ome 两个项目中开发，计划覆盖 9 个国家、10 家医院的超过 80 万名患者，数据类型同时包含纵向随访数据和单时点数据。作者认为，FL-Net 为可互操作、可复现且隐私保护的多中心临床研究提供了实践基础。 整体而言，这是一篇偏系统与基础设施方向的工程性论文，价值在于把联邦学习从算法仿真推进到合规、可审计、可跨研究复用的真实临床协作平台。

随着社会与生活方式复杂度上升，全球心理健康困扰的患病率持续增长。教育机构、职场与诊所等组织积累了海量的心理健康问卷调查数据，若能进行跨机构的协作分析，就有望训练出更具泛化能力、可有效识别心理困扰的预测模型。然而这一目标面临两大障碍：一是隐私约束，原始问卷回答通常包含高度敏感的个人信息，不允许跨机构直接共享或集中汇聚；二是调查模式异构，不同机构使用的问题措辞、评分量表与数据格式各不相同，无法直接拼接成统一数据集训练。针对这一问题，作者提出一种「模式感知的分割学习（schema-aware split learning, SL）」框架，核心思路是借助大语言模型（LLM）作为共享语义编码器，把异构的问卷模式统一到一个共同的语义空间。具体做法是：将每一条调查记录序列化为一段自然语言描述，从而把不同机构的问卷模式转换成统一格式，消除字段与量表差异带来的不一致。随后，作者使用低秩适配（LoRA）对 LLM 进行微调，使其胜任心理困扰评估任务，并将微调后的模型按层切分到客户端与服务器两侧。客户端只在本地保留原始问卷回答，并且仅运行轻量级前端模块，因此原始记录始终不会离开数据采集机构；计算资源密集的模型主干部署在服务器端执行，大幅降低了客户端的算力与内存需求。实验部分使用 LLaMA-3.2-3B-Instruct 作为基础模型，在仅有 2000 条训练样本的条件下，框架平均 ANLS 达到 0.708；在九种对比设置中有八种超过联邦学习（FL）基线；单客户端的计算开销降低了三个数量级；同时模型还能泛化到训练中未出现过的数据集。总体而言，该工作展示了一条在异构心理健康调查数据上实现准确、隐私保护且资源高效的协作学习路径，为跨机构敏感数据建模提供了新的工程化思路。

该论文针对联邦学习鲁棒聚合的一个被忽视的前提缺陷展开研究：坐标中位数、Krum、Bulyan、截断均值等方法的有限样本保证，都默认每轮参与客户端是全体总体的公平采样。但在部分参与场景下每轮仅少量客户端上报，攻击者占比即便不高也足以主导该轮样本，使上述理论保证静默失效。作者提出 SWB-DM 聚合器：SWB 将每个客户端更新的每一维切片视为一维分布，在客户端间计算经截断的 Wasserstein 重心，再通过基于 medoid 的规范固定步骤恢复坐标对应关系；作者明确说明该步骤是启发式做法，不主张其属于标准最优传输理论。DeMoA 风格的延迟动量则每轮在全体客户端上缓存更新，把鲁棒性与“本轮恰好采样到谁”解耦，代价是需要预热轮次。截断比例校准同样关键：截断不足会在适当校准后本可存活的污染水平下崩溃。实验覆盖 448 组 CIFAR-10 配置，并扩展到 CIFAR-100、FEMNIST 与 500 客户端可扩展性测试，揭示多种机理不同的失效模式：均匀采样下的坐标中位数退化为确定性错误答案；Krum 在违反 n>2f+2 前提时无告警发散；Bulyan 的 n>=4f+3 阈值呈突变的通过/失败边界。攻击侧，IPM 比 ALIE 更稳定地攻破包括 SWB 在内的次序统计类防御，并经 delta 空间测量与收敛界验证。将各基线扩展到相同轮预算后，SWB-DM 在 CIFAR-10 上增益格外显著；CIFAR-100 上 FLTrust 获益更多，但原因与缓存无关。

该论文针对视觉语言模型（VLM）在隐私敏感与带宽受限场景下的视觉问答（VQA）任务，提出名为 QPriv-VL 的「问题引导式、隐私感知」视觉 token 剪枝框架。研究背景是：联邦学习（FL）、拆分学习（SL）与 U 型拆分学习（USL）虽然能保持原始数据本地化，但跨模型分区传输全部视觉 token 依然带来高昂通信开销，并可能通过中间表示泄露隐私信息；而现有固定比例剪枝方案不区分任务相关性与隐私敏感性，容易在压缩的同时保留敏感区域或误删回答所需的关键图像块。核心方法上，QPriv-VL 在传输前对视觉 token 进行剪枝，其关键组件是轻量级动态阈值预测器（DTP），能在单次前向传播中同时估计「样本级剪枝比例」与「token 级保留掩码」。DTP 融合两类信号：一是问题相关性，通过视觉 patch 与池化后的问题嵌入之间的跨模态相似度计算得到；二是敏感性信号，由冻结的 DINOv2 特征导出。二者结合使模型在无需敏感性标注的前提下，抑制潜在敏感区域，同时保留对回答问题有用的图像块。作者在 GQA、OK-VQA、VQAv2、SLAKE、VQA-RAD、PathVQA 六个数据集上，针对四类隐私攻击（FSHA、FORA、iDLG 以及属性推断型成员推断攻击 MIA）进行了评测。实验结果显示：DTP 在传输显著更少 token 的情况下，达到或超过固定比例剪枝的效果；在 VQA-RAD 上把成员推断攻击成功率从 0.99 降至 0.76–0.79；相对固定比例剪枝降低了 FSHA 与 FORA 的重建 PSNR；在仅使用约 40% 原始视觉 token 预算的前提下仍保持有竞争力的 VQA 准确率。此外，敏感性排除比达到 1.20±0.18，表明模型优先剔除隐私敏感图像块；可解释性分析进一步表明保留策略会随问题语义自适应调整，而非简单依据通用视觉显著性。适合拆分学习/联邦学习系统设计者、VLM 隐私保护与模型压缩方向的研究人员阅读。

该论文聚焦临床脑电图（EEG）数据的隐私保护与可用性权衡问题。研究背景是：临床 EEG 记录及其衍生特征对医疗健康研究和基于人工智能的临床决策支持系统开发具有重要价值，但其中可能包含患者特异性的敏感信息，在数据复用、分析以及跨临床与科研环境共享时会产生重识别、关联和推断风险。作者指出，传统匿名化方法（如删除姓名、病历号等直接标识符）对高维生物医学信号往往不够充分，因为间接标识仍可导致重识别；而另一方面，过强的隐私保护会扭曲对临床有意义的信号特征，降低数据可用性。 核心方法上，论文提出针对受试者级（subject-level）差分隐私的 EEG 衍生特征表示保护框架，采用高斯（Gaussian）与拉普拉斯（Laplace）两种扰动机制。处理流程为：先进行 EEG 预处理与特征提取，得到患者级特征表示，再对其施加噪声扰动。框架覆盖三种部署场景：客户端侧匿名化、集中式服务器端匿名化，以及去中心化的本地训练（可理解为联邦式场景）。 实验与评估方面，论文针对拉普拉斯机制评估了实际实现的噪声尺度，而满足形式化全向量隐私校准所需的噪声尺度则另行推导。作者使用统计效用度量与下游机器学习任务的效用检验来评估两种扰动的影响。结论显示，差分隐私扰动能够被集成进 EEG 处理工作流，但所选择的机制、隐私参数以及敏感度校准方式会强烈影响数据效用；同时也揭示了在样本量小、类别不平衡的临床 EEG 数据集上维持下游任务效用的现实困难。 该研究适合医疗 AI、隐私增强技术（PET）、联邦学习与临床数据平台方向的研究者和工程师阅读，属于方法探索与工程可行性验证性质的案例研究。

该论文研究联邦学习（Federated Learning）中的梯度泄露隐私问题。联邦学习只共享模型更新而不共享原始数据，但已有研究表明这些更新可被反演以重建客户端训练数据。其中解析式重建攻击（analytic reconstruction attack）能以闭式解直接反演梯度，然而其效果随 batch 增大而迅速退化：此前的单轮攻击即使假定攻击者完全控制网络参数，在 batch size 为 100 时也只能恢复约一半样本，且已有理论上界限制了任何此类方法可恢复的信息量。本文的核心创新在于建立了梯度反演与纠删码（erasure-correcting codes）理论之间的联系，把「反演一批梯度」形式化为「从擦除信道中解码」，并借鉴 LT 码（Luby Transform 码）的 peeling 剥离思想，构造出级联式（cascading）的逐层剥离攻击框架，从而突破此前认为的上界。主要贡献包括：(1) 在单个 FedSGD 轮次内即可精确恢复整个 batch 以及每个样本的标签，而不仅是部分样本；(2) 无需任何 ground-truth 数据即可对恢复结果进行自证（certify），给出可验证的成功判据；(3) 在八个图像与表格基准数据集上大幅超越既有单轮攻击。实验显示，即使攻击者是被动的、只能观测一个诚实训练的网络，也能在 batch size 达 128 时恢复 ImageNet 批次的 94%–100%，超过此前攻击者主动操纵模型时的水平；在主动设置下，batch 为数百时恢复率仍超过 90%。作者据此指出，联邦学习的隐私泄露程度长期以来被严重低估。该工作适合研究联邦学习隐私、梯度反演、隐私保护机器学习与安全聚合的研究者，以及负责 FL 系统隐私风险评估的工程与合规人员阅读。

本文提出 ZK-Trace，一种用于联邦式全球导航卫星系统（GNSS）干扰监控场景下的认证共谋追踪方案。在该场景中，一个专有的分类器模型被分发到多个“部分可信”的监测站，任何站点都可能泄露其模型副本，导致知识产权或敏感能力外泄。ZK-Trace 结合了公开身份标记、接收者特定的 Tardos 指纹以及零知识凭据验证，使注册中心能够在不需要泄露者配合的条件下执行离线追踪。研究围绕可验证追踪这一核心问题展开：作者为任意恢复的比特模式建立了条件性误报边界，为隐藏偏差残留信道下的有限完整性边界，以及针对相关特征蒸馏错误的确定性追踪分数边界。为了将条件性边界转化为可执行逻辑，作者引入区间算术检查器，并在指控和篡改决策之间分配公共预算。在无辜行独立的假设下，基于证书的评估将每次调查的误命名预算控制在 0.001。实验在模拟 GNSS 联邦和 CIFAR-10 数据集上进行：特征匹配在 20/20 次运行中保留了特征标记，在 19/20 次跨架构迁移中保留成功，而副本精度损失分别为 4.8 和 6.1 个百分点；仅函数的蒸馏会彻底擦除特征标记，蒸馏也会移除权重空间标记。这些结果证明了在显式统计和密码学假设下可验证追踪的可行性，并厘清了凭据知识与接收者证据各自的不同角色。该研究主要面向模型安全、联邦学习与不可信环境下的溯源追踪研究者，以及关注分布式模型泄露风险的蓝队安全工程师。

本文研究去中心化联邦学习（DFL）中安全聚合（Secure Aggregation, SA）的隐私泄露问题。在DFL中，每个节点与其邻居进行局部聚合，安全聚合通常被实例化为局部邻居聚合，即每个节点仅获得其邻居的加权聚合结果，而隐藏个体更新。作者指出，这种局部性会产生结构性的泄露面：稀疏的去中心化拓扑使得合谋的半诚实节点拥有不对称的聚合视图，从而暴露出诚实参与者私有状态的多个隐藏线性组合。从这些聚合视图中重建私有状态在数学上具有根本性挑战，因为私有状态和聚合系数都是隐藏的。作者将这一问题形式化地联系到密码学中研究已久的隐子集和问题（Hidden Subset Sum Problem），并基于此设计了一种基于格的攻击方法，结合格归约与结构滤波来重建受保护的模型状态。他们在图像、表格和文本任务上，在稀疏DFL拓扑下评估了该攻击。实验结果表明，合谋的半诚实的节点能够恢复诚实节点的原始本地更新，进而能够重建私有训练数据。这些发现证明，当局部聚合导致不对称观测时，仅靠安全聚合并不能保证DFL中的隐私。该工作揭示了DFL中安全聚合的固有弱点，并为设计更鲁棒的隐私保护聚合机制提供了理论性与实证性的基础。

该论文提出了一种鲁棒的分散式个性化联邦学习方法 R-DPFL，旨在解决现有分散式联邦学习在面对拜占庭攻击时容易受到恶意客户端影响的问题。与传统的中心化联邦学习不同，分散式场景中每个客户端只与邻居交换模型更新，没有全局协调者，因此恶意邻居可能通过发送异常更新来破坏学习过程。已有的方法通常仅通过聚合邻居模型来缓解攻击，但效果有限。R-DPFL 的核心创新在于：每个客户端在进行模型更新时，不再直接信任聚合结果，而是采用两步机制。第一步，客户端对当前收到的邻居更新向量进行鲁棒的方向估计，得到基于邻域信息的聚合更新；第二步，基于该客户端自身的历史更新值和本地模型的连续变化趋势，预测当前轮次本应具有的更新方向。随后，R-DPFL 计算这两个量之间的差异，对这种差异进行自适应裁剪（adaptive clipping），并将裁剪后的差异加到本地更新中，从而抑制异常邻居造成的偏差。这种机制本质上是一种预测约束的协作策略，使得诚实客户端在拜占庭邻居干扰下仍能保持稳定的个性化下降趋势。作者通过严格的数学分析证明了该方法的收敛性，并在 CIFAR-10 数据集上开展了大量实验。实验结果表明，在数据异构和对抗性设置下，R-DPFL 在准确性和鲁棒性方面均一致优于现有的分散式联邦学习和个性化联邦学习基线方法。该工作对于分散式联邦学习中的恶意攻击防御提供了新的思路，尤其适用于对隐私要求较高且缺乏中心协调器的边缘计算或物联网场景。适合研究联邦学习、分布式机器学习安全以及对抗鲁棒性的学者和工程师阅读。

联邦学习（FL）允许多个客户端在服务器协调下协同训练全局机器学习模型，而无需交换私有训练数据。然而，其分布式特性使其容易受到投毒攻击：恶意客户端可通过发送篡改后的本地模型更新来操纵全局模型。为此，学术界提出了多种针对拜占庭故障的鲁棒聚合规则（如Trimmed-mean、Median等），以抵御此类攻击。但现有方法仍可能被高级攻击绕过，或依赖关于服务器行为的不可实现假设。本文提出一个关键观点：无需设计新的拜占庭鲁棒聚合规则，而是可以通过增强已有成熟聚合规则的鲁棒性来保障联邦学习的安全。作者提出了FoundationFL这一新型防御机制：服务器在收到客户端的本地模型更新后，先生成合成更新（synthetic updates），然后将客户端模型更新与合成更新一起输入现有拜占庭鲁棒基础聚合规则（如Trimmed-mean或Median）进行组合。文章从理论上证明了FoundationFL在拜占庭设置下的收敛性能，并在多个真实数据集上进行了全面实验，验证了其有效性。核心贡献在于：1）重新思考联邦学习防御策略，避免重复设计复杂规则；2）通过合成更新与基础聚合器结合，提高鲁棒性且易于实现；3）提供了理论收敛保证和实证验证。适合联邦学习安全研究者、隐私保护机器学习工程师以及关注对抗性投毒防御的安全从业者阅读。

针对传统网络攻击活动检测依赖跨组织共享敏感遥测与威胁情报、带来隐私与合规障碍的问题，本文提出一种基于联邦学习的模块化框架 FedIoC，用于在不直接传输 IoC（威胁指标）的情况下恢复跨组织的协同攻击活动模式。其核心思路是：各参与客户端在本地将已识别的结构化 IoC（如恶意 IP、域名等）与网络流进行匹配，并通过监督对比学习训练本地编码器——在每个训练批次中，凡是命中已知指标模式的流被视为正样本，未命中的为负样本；训练目标将同类嵌入拉近、异类嵌入推开，从而使得与攻击活动相关的特征模式自然体现在模型更新的梯度方向中。由于共享同一攻击活动指标的客户端会演化出方向对齐的梯度分量，联邦服务器无需收集原始 IoC，仅依据各客户端上传梯度之间的余弦相似度进行聚类，即可发现属于同一全球攻击活动的客户端群组，进而重构活动图景。作者在将两个公开威胁检测数据集分布到多个联邦客户端的环境中进行实验：每个客户端仅能观测到每个活动的一小部分流量片段，并持有彼此不重叠的本地 IoC 集合。实验结果表明，在此极端数据碎片化情景下，仅凭梯度几何特征即可有效恢复跨组织活动队列。该工作还将非独立同分布（non-IID）的梯度结构确认为影响恢复效果的主要驱动因素，并顺带提出一个开放问题：设计何种编码器能对这种梯度结构进行进一步改善。总体而言，FedIoC 为隐私保护型跨机构协同威胁检测提供了新的技术路线，即利用联邦梯度本身作为隐式威胁情报信道。

本文针对联邦学习在网络入侵检测（NIDS）中的应用，系统研究了隐私保护、鲁棒性和类别不平衡检测覆盖三者之间的权衡关系。联邦学习允许在不集中敏感流量数据的情况下进行协作训练，但在实际部署中必须同时满足三个相互竞争的要求：严格的差分隐私保证、对拜占庭恶意参与者的容忍能力，以及在严重类别不平衡下对各类攻击的可靠检测。现有文献往往将这三个性质视为可独立组合的模块，而本文从理论和实验两个层面挑战了这一假设。作者引入“几何不可区分性”作为概念框架，解释在客户端更新因隐私噪声而产生分散时，少数类攻击信号如何更难被鲁棒聚合机制保留。以UNSW-NB15数据集为案例，文章评估了DP-SGD与坐标中位数聚合在标签翻转和模型投毒攻击下的联合表现，并按攻击类别评估威胁覆盖率。结果表明，隐私噪声与鲁棒聚合的联合使用会不成比例地降低稀有攻击的检测率，相对于多数类而言性能退化更为显著。进一步的实验发现，强隐私条件下出现的性能崩塌部分源于训练过程中的校准错误，即使经过依赖ε的调参，超稀有攻击类别仍可能存在残余性能下限。这些发现说明，隐私、鲁棒性和稀有攻击覆盖不能被视为独立可组合的性质，而应联合建模与评估。作者提出，聚合感知的建模方法和样本感知的评估指标是构建可信联邦NIDS的有前途方向。本文适合关注联邦学习、对抗鲁棒性、隐私保护机器学习以及入侵检测系统的研究人员和安全工程师阅读。

该论文聚焦于联邦学习在银行、医院等受监管机构中的实际应用痛点。尽管联邦学习允许各方在不共享原始数据的前提下协同训练模型，但仍有两大安全隐患：一是客户端交换的参数更新仍可能通过梯度反演或成员推断攻击泄露本地记录信息；二是诸如 FedAvg 这类基于简单平均的聚合规则对恶意或受损客户端缺乏鲁棒性，少数恶意参与者就可能悄然破坏共享模型。为此，作者提出了 DP-BR-FedAvg 框架，将高斯机制差分隐私（DP）层与坐标级修剪均值（coordinate-wise trimmed-mean）拜占庭鲁棒聚合规则相结合。论文在模拟的跨机构分类任务（类似欺诈检测和临床风险评分）上进行了评估。实验设置包含 60 轮通信、20 个客户端，其中四分之一为拜占庭恶意节点。结果显示：纯 FedAvg 在少数类上完全崩溃（F1 分数仅 0.030），而所提框架显著恢复信号（F1 分数达到 0.119），同时约束了单个客户端贡献的隐私损失。值得注意的是，仅使用拜占庭鲁棒聚合而不加隐私层时原始准确率最高，这量化了隐私对鲁棒性带来的代价。研究表明，隐私保护与鲁棒性机制之间存在相互作用而非简单叠加，因此在设计受监管、对抗性、跨机构场景的系统时必须为此预留预算。适合关注联邦学习隐私与安全交叉问题的研究人员、银行/医疗行业的安全架构师以及监管科技从业者阅读。

本文研究车联网边缘智能场景下联邦学习（FL）的隐私泄露问题。虽然FL被普遍视为保护原始传感器数据的隐私方案，但客户端上传的模型更新（梯度/权重增量）仍可能泄露客户端身份，破坏V2X安全关键应用所依赖的匿名性，并增加对抗机器学习、模型中毒和后门攻击的风险。作者提出一种服务端侧攻击视角：一个诚实但好奇的服务器（honest-but-curious server）仅根据客户端发送的权重差异（weight deltas）推断客户端身份，使用惯性测量单元（IMU）数据作为车载传感流的代理，基于UCI人体活动识别（HAR）基准进行实验。研究使用五种攻击分类器和五种非独立同分布（non-IID）数据划分，结果表明在无防御更新下，攻击者几乎总能完美识别客户端（准确率约1.000），证实了具体的可识别性风险。为缓解该风险，作者量化了经裁剪-加噪（clip-then-noise）轻量防御带来的隐私-效用权衡：设置固定裁剪阈值C=1.0，扫描高斯噪声标准差σ ∈ {0.00, 0.05, 0.10, 0.20, 0.50, 1.00}，并通过Rényi差分隐私会计给出形式化的(ε, δ)-DP预算。实验发现实际有效区间（σ∈[0.1, 0.2]）能将攻击准确率降至接近随机猜测，同时联邦学习性能损失小于5%。此外，集成联邦学习（Ensemble FL）提供互补的结构隐私，可实现1/K匿名集边界且不引入噪声代价。所有实验通过SHA-256加密哈希确保训练/评估梯度不重叠、三种随机种子以及计数归一化的攻击者优势指标进行验证。作者将HAR明确作为代理数据集，讨论了在真实车辆遥测数据上验证所需的条件。该研究为车联网场景中的FL隐私风险提供了量化分析，并提出了低成本的实用防御方案。

本文针对基于大语言模型（LLM）的多智能体系统（MAS）在跨组织协作场景下的安全问题，提出了一种隐私保护的拓扑引导安全机制。现有方法通常假设单一运营方可以汇总所有标注轨迹，在全局通信图上训练图神经网络（GNN）以定位高风险智能体并干预拓扑结构。然而在实际跨组织环境中，各参与方持有的数据包含私有提示词、工具输出和专有工作流，无法共享原始数据，且单一站点无法观测完整攻击分布。作者将隐私保护的MAS安全防护形式化为图联邦学习问题，并实现了FGLGuard框架：每个运营方仅使用自身带法官（judge）标注的剧情图，训练基于边特征的图注意力检测器，只上传模型更新而不共享原始图数据。该方法综合了针对非独立同分布（non-IID）客户端的近端局部目标、域平衡聚合、过拒约束下的阈值校准、带印证的上游评分，以及对被阻断回答的受控改写。实验表明，联邦协作并非可选项：现成模型在分布偏移下迁移失效（AUROC仅0.51），域内重训后也仅提升至0.70，因此可部署的防护必须适应各站点私有轨迹。在Agent-SafetyBench、R-Judge和AgentDojo三个基准上，联邦FGLGuard在不汇聚任何数据的前提下，超过了域内集中式训练的上限；无监督异常检测和仅本地训练的防护均失败。当在四个不同领域运营方之间进行联邦时，其AUROC与多域集中式训练仅差0.03，而任何单域防护在其他域上都会崩溃。在AgentDojo上，实时FGLGuard在近乎无防护的效用损失下，将攻击成功率降低了43%，且零API成本、能力损失可忽略。本文的核心贡献在于：首次将图联邦学习引入LLM多智能体系统安全，证明跨组织协作防护在不泄露私有数据前提下的可行性与有效性，并显著优于无联邦或局部训练方案。适合关注LLM智能体安全、隐私保护机器学习及分布式安全防护的研究人员和工程师阅读。

联邦学习中客户端的上传模型更新可能泄露隐私，私有平均聚合是跨孤岛场景的关键环节。同态加密(HE)可作为私有聚合的基础，但传统单密钥方案要求客户端与聚合器之间满足强不共谋假设；多方同态加密(MHE)虽能消除此限制，却因近期针对受限解密访问的攻击而必须在协作解密时加入与安全参数λ相关的极大方差smudging噪声，进而导致密文显著膨胀和实现复杂度上升。本文基于RLWE困难问题提出轻量级多密钥同态加密协议，核心创新是避免生成集体公钥：每个客户端用自己的密钥加密模型更新，所得密文仍支持同态累加和多客户端协作解密；协议在解密时显式跟踪并抵消密文中的噪声分量，从而彻底去除对smudging噪声的依赖，大幅降低通信占用和在线计算开销。作者给出了两种实例化：基于BFV的精确整数聚合版本，以及基于CKKS的近似实数聚合版本；并在半诚实安全模型下证明，即使聚合器与至多L-1个客户端合谋，协议仍可保证安全性。与最新MHE聚合方案相比，所提方法明显减小了密文扩展度和在线运行代价，同时保持了实用的同态聚合性能，显示出其在真实联邦学习部署中的潜力。该工作为跨孤岛联邦学习中的隐私聚合提供了更高效的安全设计，但当前仍偏理论分析与仿真验证，尚需实现与标准化。适合关注隐私保护机器学习和应用密码学的安全工程师及研究人员阅读参考。

本文提出并部署了名为 Private Computation Space (PCS) 的开源机器学习系统，用于在保护农户数据隐私的同时实现农业领域的联邦学习。研究背景指出，尽管人工智能有潜力改善农业实践，但采用率有限，69%的美国农民因数据隐私担忧而不愿分享数据。农业场景的特殊挑战包括：需要保护农民数据和身份同时保持模型效用、运行在通用硬件上，并且能适应农村脆弱的网络基础设施。PCS 系统针对这些挑战设计，采用多集群编排以在偏远地区提供可靠性，结合异步联邦学习（FL）、差分隐私（DP）和可信执行环境（TEE），使农场可以在不泄露私有数据的前提下参与模型训练。作者在两个实际负载上进行了评估：一个是在纽约州使用活体植物传感器监测氮含量，运行6个月；另一个是在加利福尼亚州利用气象站预测蒸散量，运行10个月。评估结果显示，两个任务的 Dice 相似系数（DSC）达到0.71，R²精度为0.84，相对于最差的单站点模型，精度分别提高了22.4%和9.1%，同时保持了隐私保护。该工作展示了多集群联邦学习联合隐私增强技术在农业领域的实用性，为数据敏感型行业提供了可借鉴的架构参考。

本文提出并研究了针对交互式联邦学习（Interaction-based Federated Learning）的隐私重构攻击方法，命名为RAIFLE。联邦学习旨在通过不共享原始数据、仅交换模型参数或梯度来保护用户隐私，但近年来已有研究表明，攻击者可以从模型更新中推断或重建用户的训练数据。然而，现有重构攻击大多针对传统联邦学习或集中式训练场景，对交互式联邦学习（如基于对话、推荐或协同过滤的联合训练）中的隐私风险关注不足。本文的核心研究问题是：在交互式联邦学习框架下，恶意服务器或攻击者能否通过操纵交互数据、利用用户模型更新的特性，重构出用户的敏感输入或个人信息？为此，作者提出了一种结合对抗性数据操纵的通用攻击框架RAIFLE，其核心思想是：攻击者控制服务端的交互接口，向目标用户发送精心构造的恶意输入，诱使用户模型产生包含更多用户私有信息的梯度更新；随后攻击者基于这些更新进行迭代优化，逐步恢复出用户的原始训练数据或交互内容。该框架不依赖于对目标模型结构和参数的先验知识，具有较强的黑盒适用性，并可通过调整操纵策略适配多种交互建模方式（如矩阵分解、深度神经网络等）。实验部分，作者在多个公开数据集（如电影评分、文本偏好等）和多种联邦学习配置下验证了RAIFLE的有效性，结果显示其重构精度显著优于基线方法，且能突破部分现有防御机制。此外，论文还分析了影响攻击成功率的关键因素，包括交互次数、操纵强度、用户数据分布等，并讨论了潜在的防御方向，如输入差分隐私、交互噪声注入、恶意输入检测等。总体而言，这项工作揭示了交互式联邦学习中一类尚未被充分重视的隐私威胁，对设计安全联邦学习系统具有重要警示意义。适合关注联邦学习隐私保护、对抗机器学习和数据安全的科研人员、安全工程师以及隐私合规从业者阅读。

本文提出一种名为 CENSOR 的防御方法，用于抵御梯度反演攻击（Gradient Inversion Attack）。梯度反演攻击是一种严重威胁联邦学习和分布式机器学习安全的攻击手段，恶意服务器或攻击者可以通过观察客户端上传的模型梯度，逆向恢复出客户端的私有训练数据，造成严重隐私泄露。现有防御方法通常依赖于对梯度进行扰动或压缩，但往往需要在隐私保护与模型精度之间进行权衡，且防御效果有限。CENSOR 的核心思想是利用正交子空间贝叶斯采样，在梯度更新过程中引入受控的随机性，使得攻击者从观测到的梯度中难以准确推断原始数据。该方法通过将梯度投影到正交子空间，并结合贝叶斯采样来生成满足隐私保护要求的梯度发布，从而在不显著降低模型性能的前提下，有效降低梯度反演攻击的成功率。论文通过理论分析和实验验证，展示了 CENSOR 在多个数据集和模型架构上相较于现有防御方法的优越性，能够在保持模型准确性的同时，显著提高攻击者的重构误差。本文适合对联邦学习隐私保护、对抗性机器学习以及梯度反演防御感兴趣的研究人员和安全从业者阅读。

联邦学习（FL）是一种允许多个客户端在不共享原始本地数据的情况下，仅通过共享梯度更新联合训练模型的范式。然而梯度更新本身也可能泄露隐私。现有方法通常采用本地差分隐私（LDP）机制，在共享前由客户端本地扰动梯度，但这类方法会因添加大量噪声而严重损害模型效用。为获得更好的隐私-效用权衡，近期研究倾向于在联邦学习中应用差分隐私的 shuffle 模型，通过中间洗牌操作实现隐私放大。本文提出 Camel，一个在 shuffle 模型下通信高效且可抵御恶意敌手的联邦学习框架。Camel 突破现有工作的限制，支持对 shuffle 计算的完整性校验，实现针对恶意服务器的安全性。具体而言，Camel 基于秘密共享洗牌这一前沿密码学原语，并定制了优化系统整体通信效率的技术，还引入轻量级完整性检查来强化服务器端计算的安全性。此外，作者通过分析整个 FL 过程的 Rényi 差分隐私（RDP），推导出显著更紧的隐私损失上界。大量实验表明，与现有最先进工作相比，Camel 在隐私-效用权衡上达到更优结果，并展现出有前景的性能。该研究适合关注联邦学习、差分隐私、安全多方计算和隐私增强技术的学者与安全工程师阅读。

本文提出 POSEIDON，一个隐私保护的联邦神经网络学习框架。研究背景是传统联邦学习通常依赖一个可信聚合方来协调各方梯度更新，但该可信方成为单点故障，一旦遭受数据泄露、黑客攻击或内部泄漏，可能同时危及训练数据隐私和模型隐私。为消除这一信任假设，密码学社区提出用一组计算服务器替代可信方，并采用安全多方计算（MPC）技术来实现神经网络的隐私保护训练。POSEIDON 延续这一思路，重点探讨如何在不同服务器数量（如两方、三方）下高效且安全地完成联合建模。由于仅提供摘要，具体算法细节、实验设置和性能数据未完全展开，但核心贡献应在于设计一种可在多方参与下不暴露原始梯度或模型参数的联邦训练协议，兼顾安全性、通信复杂度和计算开销。适合关注机器学习隐私、联邦学习、安全多方计算以及隐私增强技术的研究者和安全工程师阅读。

联邦学习（FL）允许多方在不集中收集数据的情况下协作训练深度神经网络（DNN），每个客户端本地训练模型并仅向中央服务器共享模型参数。虽然这种模式增强了客户端隐私，但也为恶意客户端操纵模型和注入后门提供了机会。现有的大多数后门攻击与防御研究假设良性客户端数据独立同分布（IID），而对更具挑战性的非独立同分布（non-IID）场景关注不足。本文提出了一种名为LayerDBA的攻击方法，专门针对non-IID场景下基于相似性的防御机制。LayerDBA的核心思想是将恶意中毒参数值分散到不同的模型更新中，使得各个更新之间的欧氏距离保持较大，从而规避诸如FoolsGold、Contra等现有先进防御——这些防御通常假设中毒更新之间具有高相似性。作者还将LayerDBA与动态Marksman触发器相结合，形成一种高效且隐蔽的后门攻击。实验表明，在控制5%客户端的情况下，LayerDBA针对CIFAR-10数据集可实现50%的攻击成功率，针对MNIST数据集可实现80%的攻击成功率，且能够绕过当前最先进的防御方法。该研究揭示了在non-IID联邦学习场景下，现有相似性防御假设的脆弱性，表明高级攻击者总能构造出具有高距离的恶意更新，对联邦学习的安全性提出了新的挑战。

联邦学习（FL）允许多方在不直接共享原始数据的情况下协作训练模型，但恶意客户端的存在会严重威胁模型安全。基于投票的FL方法通过将客户端划分为多个组，每组训练一个局部模型，最终通过多数投票聚合预测结果来提升鲁棒性。然而，在类别不重叠的非独立同分布（non-IID）数据分布下，不考虑数据分布特性的分组策略会导致认证准确率（CA）波动很大。本文提出CARVY-FL，一种利用客户端反聚类实现鲁棒投票的联邦学习方法。核心思路是：首先通过单轮模型更新估计每个客户端的数据分布类型，然后使用反聚类（anticlustering）技术，使得每个组内的客户端数据分布具有尽可能大的多样性，从而在固定分组下保持基于投票的CA保证的同时，增大投票裕度（vote margins）。理论上，CARVY-FL保留了投票式联邦学习的认证鲁棒性；实验在MNIST和Fashion-MNIST上验证了其CA优于已有方法FLCert。此外，在BadNets后门攻击配合模型替换场景下，CARVY-FL将100-ASR（攻击成功率）的AUC分别提升了11.1%和14.9%，显示出更强的后门抵御能力。本文适合研究联邦学习鲁棒性、数据异质性以及对抗攻击防御的研究者和工程师阅读。

联邦学习（FL）通过在多用户间训练全局模型，无需直接访问本地数据集，旨在缓解数据隐私问题。然而，已有研究表明推理攻击（如成员推断、属性推断、数据重建）仍可导致隐私泄露。本文提出一种新型隐私推理攻击——偏好画像攻击（PPA），可准确刻画本地用户模型的私有偏好，例如在线购物中用户最喜爱/不喜爱的商品、自拍中最常见的表情等。PPA 能针对本地用户特征推断 top-k 偏好（k=1,2,3，尤其 k=1）。核心洞察是：本地用户模型的梯度变化对给定类别的样本比例具有可区分的敏感性，尤其是多数类或少数类。通过观察用户模型对某个类别的梯度敏感度，PPA 可以推断该类在用户本地数据集中的样本比例，从而暴露用户对该类别的偏好。联邦学习固有的统计异构性进一步促进了 PPA 的有效性。作者使用四个数据集（MNIST、CIFAR10、RAF-DB 和 Products-10K）进行了广泛评估。结果表明，PPA 在 MNIST 和 CIFAR10 上分别达到 90% 和 98% 的 top-1 攻击准确率。更重要的是，在真实的商业购物场景（Products-10K）中，PPA 以 78% 的 top-1 准确率推断用户最常订购的商品（作为商业竞争对手）；在社交网络场景（RAF-DB）中，以 88% 的准确率推断受害用户最常见的面部表情（如厌恶）。该研究揭示了联邦学习梯度交换中的新隐私泄露风险，对隐私保护联邦学习的实践提出了挑战。

本文针对联邦学习（Federated Learning）场景下大语言模型（LLM）参数高效微调（PEFT）中的隐私泄露问题展开研究。在联邦学习中，客户端通常只共享梯度而非原始数据，但已有研究表明共享梯度仍可能泄露训练样本的成员关系（Membership Inference）。特别是近期提出的 ProjRes 攻击（S&P 2026）表明，攻击者仅利用服务器可观测的梯度所诱导的子空间，通过计算候选表征与该子空间的投影残差（projection residual），就能以较低的信息需求有效区分训练成员与非成员，且无需访问模型输出。现有防御方法多依赖梯度扰动或正则化，不仅会降低模型效用，而且难以有效抵御 ProjRes 这类利用梯度几何结构的攻击。为此，作者提出 FISGuard，一种轻量级防御方法。其核心思想是：利用独立的公共数据构造并固定一个低维表征子空间，从而限制私有表征通过梯度暴露的空间范围，同时保留下游任务所需的主要信息。这样做能大幅缩小成员与非成员在投影残差上的差异。作者在三个 NLP 数据集、两种 LLM（大语言模型）以及两种微调策略（Adapter 和 LoRA）下，将 FISGuard 与五种代表性防御方法进行了对比实验。结果表明，在大多数设置下，FISGuard 能将 ProjRes 攻击的 AUC 降至接近随机猜测的 0.5 水平，同时保持下游任务性能接近未加防御的模型，并且仅引入有限的计算开销，在隐私与效用之间取得了良好平衡。本文的贡献在于提出了一种针对梯度几何结构成员推理攻击的有效且轻量的防御框架，为联邦学习中的隐私保护提供了新思路。

这篇论文重新审视了多方差分隐私（DP）中连续噪声采样的协议。在多方计算（MPC）与差分隐私结合的场景下，各方需要在不依赖可信中心的情况下发布聚合统计，其核心原语是在有限精度算术下从连续分布中采样噪声。作者首先识别了广泛使用的“采样-缩放”（sample-and-scale）构造中的一个漏洞：算术电路中的缩放操作会将噪声限制在一个稀疏、公开可数的值集合内，使得攻击者通过观察发布的带噪声查询结果，能够推断出哪个数据集产生了这些结果。具体地，作者对两个采用此类有缺陷采样协议的系统发起了攻击：Orchard（OSDI'20，用于DP安全聚合）和DP-BREM$^+$（USENIX Sec'25，用于DP联邦学习），在实践使用的任意噪声缩放因子$s\geq 2$下，两个系统的攻击成功率都接近100%。作者指出，该泄露源于缩放操作本身，直接修复要么大幅牺牲效用，要么显著增加精度位数导致采样代价更高。为了解决安全和效率问题，作者转向在单个偏置比特粒度上进行离散采样，对采样器进行了多项优化并证明了其安全性。实现结果表明，与现有安全离散采样器相比，实现了4倍到612倍的加速；与不安全的“采样-缩放”范式相比，实现了数量级的加速，同时与理想连续机制相比，效用损失可忽略不计。该研究适合关注隐私计算、差分隐私、多方计算和安全协议设计的学者与工程师阅读。

该论文针对联邦学习（FL）中梯度更新面临的两类安全威胁：传输过程中的中间人（MitM）窃听，以及恶意客户端发起的模型投毒攻击。传统方案要么对所有参数统一加密（如静态分层或全参数CKKS），计算开销大且不区分敏感度；要么仅依赖差分隐私（DP）但无法防止传输窃听。论文提出了一种新型选择性加密策略GASHE（Gradient-Aware Selective Homomorphic Encryption），其核心思想是：利用DP-SGD校准后的敏感度阈值，动态识别那些超过阈值的梯度分量，仅对这部分高敏感梯度执行同态加密，而不是对所有参数一致处理。在此基础上，作者构建了SecureDrive-FL框架，将DP-SGD与GASHE结合，形成首个闭环的DP+HE隐私流水线——即DP-SGD的校准参数直接用于生成GASHE的加密掩码，从而统一了训练时的隐私保护与通信时的机密性。实验基于十类分心驾驶分类任务，使用非独立同分布（non-IID）联邦划分进行评估。结果表明，SecureDrive-FL在抵抗投毒攻击方面与单独使用DP-SGD基本持平（准确率73.6%对74.0%，攻击成功率均为3.9%），但额外抵御了MitM窃听；在MitM场景下，单独DP-SGD准确率骤降至近随机水平（10.4%），而SecureDrive-FL仍保持78.2%。同时，相比单独DP-SGD，SecureDrive-FL仅增加约8%-10%的运行时开销（在每轮隐私参数epsilon_0=4的DP噪声注入条件下）。该研究的贡献在于提出了一种梯度感知的选择性加密机制，将DP与HE的计算开销集中在真正敏感的数据上，为资源受限的联邦驾驶监控场景提供了实用方案。适合对隐私保护联邦学习、同态加密与差分隐私结合感兴趣的机器学习安全研究者和系统设计者阅读。

联邦学习（Federated Learning, FL）允许多个机构在不共享原始数据的情况下协作训练视频异常检测模型，但服务器端对客户端训练过程的可见性有限，使得被攻陷的客户端能够通过恶意模型更新注入后门。现有攻击通常依赖显式、高强度的触发器，容易被检测或影响模型在正常场景下的性能。本文提出 STAIN-FL，一种隐蔽的、基于上下文触发器的定向后门攻击注入框架。其核心创新在于利用监控视频中天然存在的场景条件——低光照、室内环境和人群密度——作为上下文触发器，这些条件不引人注目且难以被防御方察觉。STAIN-FL 采用两种关键技术：一是“异常到正常”（anomaly-to-benign）的标签操纵，即把异常样本的标签改为正常，使模型学习到“在特定上下文下，异常行为应被判定为正常”；二是梯度掩蔽（gradient masking），仅更新模型参数中变化最小的坐标，从而在保持干净数据精度几乎不变的同时，诱导模型对带触发条件的样本进行错误分类。作者在 UCF-Crime 数据集上使用 1024 维 I3D 特征，构建了一个非独立同分布（non-IID）的四客户端多机构联邦学习场景，对比了 FedAvg 和 FedProx 两种聚合算法，并在稀疏攻击（sparse attack）和连续攻击（continuous attack）两种模式下评估。实验结果表明，稀疏攻击具有低可检测性，且能达到操作上显著的效果：平均干净精度下降低于 2%，但在 FedAvg 下峰值后门精度达 56.7%，在 FedProx 下达 54.2%，即超过一半的带触发器异常样本被错误分类为正常。更关键的是，在 FedAvg 下，稀疏后门在攻击后平均持续 336 轮仍保持高于 25% 的后门精度阈值，显示其长期持续性风险。该研究揭示了联邦视频监控系统中上下文触发攻击的隐蔽性与持久性威胁，为设计更鲁棒的联邦学习聚合算法和防御机制提供了重要参考。适合关注联邦学习安全、对抗性机器学习、视频监控系统隐私保护的研究人员和安全工程师阅读。

金融欺诈检测系统通常依赖集中式机器学习模型，这带来严重的数据隐私风险。联邦学习（FL）通过将数据处理分散到各参与方来缓解这一问题，但金融监管仍要求模型具备可解释性，因此常使用TreeSHAP等可解释人工智能（XAI）工具。然而，近期网络安全研究表明，共享高保真度的SHAP解释会使联邦网络面临成员推断攻击（MIA）的威胁。本论文提出并评估了一种名为DP-FedSHAP的新型架构，该架构仅对后置的TreeSHAP向量施加客户端级别的差分隐私，并与直接扰动训练模型的权重级DP基线进行对比。研究使用高度不平衡的IEEE-CIS欺诈检测数据集，衡量了解释保真度、隐私保护水平与模型AUPRC（精确率-召回率曲线下面积）之间的权衡。论文的核心贡献在于：识别了联邦学习与可解释性结合时新出现的隐私泄漏通道，并针对该通道提出了一种轻量级、模块化的隐私保护方案，在保持模型性能和解释可用性的同时降低成员推断风险。适合关注金融风控、联邦学习、隐私保护机器学习及对抗性机器学习交叉领域的研究人员和工程师阅读。

联邦学习允许多个客户端在不共享原始数据的情况下协同训练模型，但近年研究表明，攻击者可以从共享的模型更新（梯度）中重建训练图像，造成严重隐私泄露。针对这一问题，本文提出了一种双重混淆方法，通过同时混淆更新信息和训练图像来增强对图像恢复攻击的鲁棒性。该方法将基于随机二进制权重的鲁棒性增强技术与图像加密技术相结合：前者通过随机将部分梯度元素置零，减少攻击者可获取的原始梯度信息量；后者则降低重建图像的视觉可解释性。两种技术形成互补保护。此外，图像加密方案允许每个客户端、每张图像使用独立密钥，避免了显式密钥共享。实验在基于 Vision Transformer（ViT）的图像分类任务上进行，结果显示，在评估设置下，该方法能够减少 Attention Privacy Leakage (APRIL) 攻击恢复出的视觉信息，且不会造成超出图像加密本身所带来的额外分类性能下降。尽管该组合并不能提供绝对的安全保证，但实验结果证明了将梯度修改与图像加密相结合用于隐私增强联邦学习的潜在价值。本文适合关注联邦学习隐私保护、机器学习安全以及对抗性攻击防御的研究人员和工程师阅读。

联邦学习（Federated Learning, FL）通过在不共享原始数据的情况下协作训练模型，能够保护数据隐私、降低通信开销，并利用多样化的数据源提升模型性能。然而，FL 面临多种安全威胁，包括无目标投毒攻击（untargeted poisoning attacks）和具有隐蔽性的目标后门攻击（targeted backdoor attacks）。后门攻击尤其难以防御，因为攻击者可以在训练过程中注入恶意更新，使模型在特定触发条件下产生错误预测，而在正常输入下表现正常。现有的防御方法虽然在特定场景下有效，但往往基于过于简单的威胁模型，忽略了现实世界中攻击者可能具备的自适应能力，同时也未充分考虑不同客户端之间数据分布的非独立同分布（non-IID）特性。为此，本文提出一种名为 MESAS 的防御机制，旨在针对自适应攻击者提供鲁棒的投毒防御。虽然论文摘要未详细展开 MESAS 的具体技术细节，但从标题和摘要推断，该方法可能结合了异常检测、聚合规则改进或鲁棒学习策略，以在存在恶意客户端的情况下仍能保持全局模型的完整性和准确性。该研究的主要贡献在于：1）提出一种能够抵抗自适应攻击者的新型防御框架，填补了现有方法在对抗动态威胁模型方面的空白；2）考虑了非独立同分布数据对防御效果的影响，使方案更贴近实际部署场景；3）通过实验验证了 MESAS 在各类投毒攻击下的有效性，尤其是在传统防御失效的场景中表现出更强的鲁棒性。本文适合联邦学习安全研究者、隐私保护机器学习工程师以及关注分布式学习系统防御策略的安全从业者阅读。由于当前仅有论文摘要，具体实验设置、对比基线和量化结果尚不明确，后续需要阅读全文评估方法的实际效能与适用范围。

本文针对联邦学习中共享梯度可能泄露私有训练文本的严重隐私威胁，提出了一种轻量级防御方法 AEGIS（Attention-Embedding Gradient Isolation Shield）。作者首先通过对 Transformer 梯度结构的深入分析，识别出三个导致私有 token 信息泄露的通道：通道1是注意力输出投影梯度暴露出的低秩子空间，能够编码输入嵌入；通道2是嵌入梯度的行范数稀疏性，直接揭示哪些 token 出现在训练数据中；通道3是 MLP 扩展梯度中携带的可恢复子空间信号，与通道1具有类似性质。研究表明，最先进的梯度反演攻击能够在数秒内利用这些通道实现近乎精确的 token 恢复。现有防御大多只针对单一通道，且往往以牺牲模型效用或留下结构信号为代价。AEGIS 的核心创新在于通过三个无需架构修改的反向路径操作同时关闭所有三个分析通道：冻结注意力投影参数从构造上消除通道1；向嵌入梯度注入校准噪声以破坏通道2的 token 存在信号；对 MLP 扩展梯度进行逐块噪声注入以掩盖通道3。该方法确保用于本地优化器步进和服务器导出的梯度均为掩蔽后的版本，任何一侧都不保留干净信号。作者在 11 个模型和 6 个数据集上进行了全面评估，证明 AEGIS 能够将多种解析型和基于优化的梯度反演攻击的 token 恢复率降至接近零，同时保持甚至提升模型效用。此外，论文为通道1和通道2提供了形式化保证，并针对完全了解防御机制的自适应对手进行了实证验证，展示了方法在极端威胁模型下的鲁棒性。

该论文提出并实现了一个面向智能手机口腔癌筛查的联邦学习（FL）框架，旨在解决医疗AI领域因数据隐私法规和患者数据敏感性导致的高质量临床影像获取困难的问题。传统集中式训练需要汇聚分散在各医疗机构的患者数据，这存在严重的隐私泄露风险，而联邦学习通过仅在本地训练模型并共享模型更新参数，避免了原始数据的集中存储和传输。作者构建了一个实际可运行的FL系统：使用Tailscale作为安全组网层，实现跨地理区域的客户端节点间加密通信和实时协作；服务端聚合采用Flower框架，而客户端部署与调度为手工配置，未使用任何企业级FL平台，体现了轻量化、可复现的特点。为了适配基于智能手机的筛查应用，论文评估了多种轻量级移动端友好架构，包括MobileNetV2、MobileNetV3Large和MobileNetV4-Conv-Small。在FedAvg全局聚合策略下，基于MobileNetV4-Conv-Small构建的全局模型（GM-V4）表现最佳，取得了AUC 0.929和准确率87%的优异成绩。这项工作展示了联邦学习在口腔癌筛查领域的实用可行性，为医疗影像AI的协作开发提供了一套开源、可落地的技术路线，尤其适用于数据分散且隐私要求严格的场景。研究面向医疗AI研究人员、联邦学习工程师以及移动健康应用开发者，核心贡献在于验证了轻量化模型在联邦框架下的有效性，并给出了具体的网络和聚合配置方案。

本文提出 FedGuard-DC，一个面向输电系统中大型数据中心（DC）负荷的联邦学习（FL）框架，旨在解决隐私保护下的负荷预测与网络攻击检测问题。随着数据中心负荷快速增长，系统运营商需要短时准确信息，但数据中心运营商因担心泄露敏感的工作负载和利用率模式，不愿共享原始兆瓦级测量数据。FedGuard-DC 采用双头模型架构，每个数据中心在本地训练共享编码器，分别连接预测头和重构头；通过结合预测残差和重构误差的校准异常分数，在本地检测虚假数据注入攻击（FDIA）。原始测量数据和绝对有功需求保留在本地，仅向全局控制器共享模型更新。框架可选集成差分隐私和鲁棒修剪均值聚合，以评估隐私-效用权衡及恶意客户端弹性。实验基于 IEEE 39 节点新英格兰系统，集成四个额定功率 150-350 MW 的大型直流负荷的 EMT 仿真数据。结果显示：0.5 秒前瞻归一化预测 RMSE 为 0.023-0.038 pu，而持久性预测为 0.32-0.34 pu；FDIA 检测 ROC-AUC 达 0.979，F1 为 0.930，精确率 0.988；鲁棒聚合将恶意客户端影响下的 RMSE 从 0.042 降至 0.035 pu。该工作展示了 FL 在平衡隐私与能见度、同时兼顾预测精度和攻击检测方面的潜力，适合电力系统安全、联邦学习应用及关键基础设施防护研究者阅读。

本文针对联邦学习（Federated Learning, FL）中大型语言模型（LLM）面临的恶意客户端投毒攻击问题，提出了一种轻量级、服务器端的防御框架 FedLNS（Federated Learning with Normalization Signatures）。在联邦训练中，服务器无法直接验证各客户端本地训练过程的正确性，恶意客户端可能通过篡改标签、引入错误上下文-词元关联等方式，在多次聚合后降低全局模型质量，甚至导致不可靠或幻觉生成。FedLNS 的核心思想是：利用可训练层归一化（LayerNorm）参数的变化作为客户端更新的特征签名，并将这些签名与一个基于历史信息、跨客户端的稳健参考值进行比对，从而识别并筛除可疑的本地更新。该方法完全在服务器端基于返回的本地模型提取签名，不需要客户端与服务器之间交换任何额外参数或元数据，也不依赖原始数据、可信数据集、标签化攻击样本或独立训练的检测器，因此可无缝集成到现有联邦学习流程中。作者在 GPT 风格、BERT 风格和 LLaMA 风格三种模型上进行了实验，模拟 200 个客户端，在 40% 的客户端执行目标操纵（target manipulation）的情况下，评估了 IID 和非 IID 数据划分下的效果。结果表明，在所有三种架构和两种数据划分条件下，FedLNS 相比六个现有基线方法均获得了更低的下游测试困惑度（perplexity），验证了其在检测恶意更新、缓解投毒影响方面的有效性和泛化能力。总体而言，FedLNS 为联邦学习中的 LLM 提供了一种实用的安全筛选机制，且开销极小，具有较好的实际部署潜力。

本文提出 FedADB，一个基于类别锚点的双分支联邦学习框架，用于缓解联邦学习中的灾难性遗忘问题。在联邦学习中，多个异构设备上的多模态数据协同训练，但本地训练时模型容易遗忘先前学到的全局知识，尤其在客户端数据异质性下，导致性能和收敛速度显著下降。现有方法多依赖全局对齐策略保持全局知识，但可能阻碍局部优化，且对缺失类别的监督不足。FedADB 通过服务器在可微输入空间中生成类别锚点，并在客户端间共享，这些锚点作为全局参考，在本地训练中为缺失类别提供监督。同时设计了双分支协同训练机制：锚点全局分支通过类别锚点平衡采样实现全局知识对齐，保持全局一致性；局部校准分支关注判别性局部特征学习，缓解过度全局对齐导致的局部表示退化。在多个医学和自然数据集上的大量实验表明，FedADB 在准确率和收敛速度上均有显著提升。该方法不依赖代理数据集，有效平衡了类别级全局一致性与局部优化目标，为联邦学习中的数据异质性和遗忘问题提供了新思路。

本文提出了一种面向差分隐私联邦学习（DPFL）的自适应梯度裁剪与噪声注入机制 DDP-SA-adaptive。在联邦学习中加入差分隐私保护时，静态梯度裁剪在整个训练过程和所有模型层使用固定阈值，若阈值过小会导致过度裁剪而损失模型精度，若阈值过大则会注入不必要的大噪声，从而在隐私保护、模型精度和训练效率之间难以取得良好平衡。DDP-SA-adaptive 在每个通信轮次中，由每个客户端根据其逐样本梯度范数的中位数，为每一层模型确定独立的裁剪阈值。这种逐轮、逐层的自适应阈值机制能够跟随梯度分布的变化，并在更新被编码和经中间聚合服务器进行秘密共享之前，校准所添加的拉普拉斯噪声。作者在一个联邦回归任务上评估了所提出机制的效率、精度、隐私、收敛性、裁剪范数和噪声量级。实验结果显示，与静态 DDP-SA 基线相比，DDP-SA-adaptive 将通信轮次减少 6.81%，总训练时间减少 19.21%，每轮平均训练时间减少 13.33%，从而提升了训练效率；测试损失降低 98.74%，测试 R2 提高 3.41%，模型精度得到改善。在达到 R2=0.99 时，自适应机制所需的隐私预算约为 epsilon=0.1，而静态 DDP-SA 需要 epsilon=0.4，因此在提供更强隐私保护的同时实现了更好的隐私-精度-效率权衡。该研究证明了逐轮、逐层的自适应机制能够有效改进差分隐私联邦学习的三方权衡，适合关注隐私保护机器学习、联邦学习效率优化及差分隐私机制设计的研究人员和工程师阅读。

本文针对联邦学习（Federated Learning, FL）系统在计算机视觉任务中面临的数据投毒攻击威胁，提出了一种名为 STAR-FL 的新型防御框架。研究指出，现有防御技术仍面临两大关键挑战：一是难以准确区分良性模型更新与恶意模型更新，二是在模型聚合阶段难以有效削弱投毒更新的影响。STAR-FL 框架包含两个核心组件：首先，利用时空聚类（spatial-temporal clustering）技术对客户端上传的模型更新进行分组与分析，从而识别并移除潜在的恶意更新；其次，在聚合过程中动态调整学习率，以减轻那些逃逸检测的恶意更新对全局模型的影响。作者在多个基准数据集上进行了大量实验，评估了时空分析与鲁棒聚合各自的贡献及其协同效应。实验结果表明，STAR-FL 能够有效保护联邦学习系统，并在抵抗定向投毒攻击方面持续优于现有的最先进防御方法，显著降低了攻击成功率（ASR）。论文还公开了源代码仓库（https://github.com/mlsysx/STAR-FL），便于研究者复现和进一步改进。该研究主要面向联邦学习安全、对抗性机器学习和鲁棒聚合领域的研究人员与安全工程师，为其提供了可落地的防御思路与实验基线。

本文提出了一种名为 FedCRI 的联邦移动网络风险情报框架。随着数字化普及以及新冠疫情推动更多服务在线化，移动服务生态系统面临越来越大的攻击面，移动服务提供商在保护其服务和相关移动应用时面临诸多挑战。现有防御手段往往局限于轻量级的应用程序级保护，例如应用加固、监控和入侵检测，缺乏系统性的风险评估与管理能力。FedCRI 旨在通过联邦学习的方式，在不共享原始敏感数据的前提下，使多个移动服务提供商能够协作构建网络风险情报模型，从而更有效地评估和管理移动服务所面临的安全威胁与潜在损害。其核心思想是结合移动设备上的本地风险评估与跨组织的联邦聚合，形成全局风险视图，同时保护数据隐私。该框架能够支持风险量化、威胁检测和决策支持，帮助服务提供商优先处理高风险环节，降低攻击造成的损失。本文的贡献在于提出了一种面向移动生态系统的联邦风险情报架构，解决了传统集中式风险数据汇聚的隐私与合规瓶颈。适合移动安全研究人员、风险管理人员以及移动服务提供商的安全团队阅读。

本文是一篇关于联邦学习中聚合方法在模型投毒与后门攻击下鲁棒性的系统性比较研究。作者重建了一个包含500个单元格的评估矩阵，覆盖五种聚合方法（如Trimmed Mean、Krum等）、五个数据集、五种模型架构，以及四种记录条件：干净环境、符号翻转攻击、高斯噪声攻击和BadNets后门攻击。通过溯源原始运行日志，识别出454次成功运行和36次修复或重跑的执行，另有10个干净的SVHN单元格仅有汇总级溯源。实验结果显示，在干净环境下，Trimmed Mean取得了最高的宏平均准确率（76.02%）和最低的平均任务内排名（1.70）；而在符号翻转和高斯配置下，Krum取得了最高的记录准确率。当仅保留21个所有方法-条件组合均具备原始成功日志的任务对时，相对排名保持不变。作者还对提供的BadNets指标实现进行了审计，发现其实现导致每个测试输入在目标标签计数前均被触发，因此保留的指标实际是“触发目标标签率”（TTLR），而非传统的不含目标的攻击成功率。此外，对提供的FedPARETO脚手架代码的审计揭示了一条路径：预测摘要可能描述一个未损坏的本地模型，而聚合权重却应用于一个单独被损坏的更新，导致报告预测结果与实际用于聚合的更新之间存在潜在的不一致。论文强调，该矩阵每个单元格仅有一个确定的种子，且攻击与配置的完整血统不完整，因此研究结论应视为在记录配置范围内的描述性比较，而非统计估计或关于鲁棒性的普适性声明。适合联邦学习研究者、聚合算法设计者以及关注模型鲁棒性的安全工程师阅读。

该论文（实际为学术报告摘要）由 Dawn Song 撰写，聚焦于构建负责任的数据经济所需的关键技术与体系架构。文章指出，数据是现代经济与人工智能/机器学习发展的核心驱动力，但大量数据涉及敏感信息，其处理方式已对个人和企业造成前所未有的挑战，且随着数字化深入，问题只会愈发严重。为应对这些挑战，作者提出需要综合运用多种隐私计算与数据治理技术，包括安全计算（secure computing）、差分隐私（differential privacy）、联邦学习（federated learning），以及用于保障数据权利的区块链技术。核心主张是将隐私计算技术与区块链相结合，构建一个负责任的数据经济平台，从而在保护用户数据权利、实现数据创造价值公平分配的同时，最大化社会福利与经济效率。该平台能够支撑新的数据使用范式，如去中心化数据科学（decentralized data science）和数据DAO（Data DAO，去中心化自治组织）。此外，作者还讨论了数据估值（data valuation）的新框架，以量化数据在不同场景下的贡献。该报告面向对数据隐私、数据治理、区块链应用及AI伦理感兴趣的研究者和从业者，属于概念性、框架性的前瞻研究，尚未涉及具体实现或实验验证。

本文关注众包联邦学习（Crowdsourced Federated Learning, CrowdFL）中的鲁棒性量化问题。CrowdFL通过众包范式允许开放、异构的参与，扩展了传统联邦学习，而声誉驱动的激励机制常被用于引导工人选择并增强可信度。然而，现有框架大多忽略了对隐秘对抗者（能规避标准检测机制的对手）鲁棒性的量化评估。为此，论文提出R2CFL，一个鲁棒的声誉驱动CrowdFL框架。R2CFL的核心创新在于：1) 设计了一个鲁棒声誉模型，将参与者的声誉演化与聚合阶段的更新过滤（最近邻混合，Nearest Neighbor Mixing，简称R2-NNM）机制耦合；2) 该机制能够防止隐秘攻击者通过逐步积累信任来影响未来任务。实验结果表明，面对自适应攻击者，R2-NNM在拜占庭鲁棒性和后门防御效果上达到或超越了现有的最先进防御方法；此外，当与现有检测-过滤类防御集成时，所提出的声誉模型能通过生成与底层防御真实正阳性率、假阳性率特性高度一致的声誉分数，准确捕捉该防御的统计鲁棒性。该工作的主要贡献在于首次将声誉机制与鲁棒聚合防御相结合，填补了CrowdFL中针对隐秘对抗行为的鲁棒性量化空白，并为开放环境下联邦学习的可信执行提供了新思路。适合关注联邦学习安全、鲁棒聚合机制设计、声誉系统评估的研究人员及安全工程师阅读。

本文提出 Fed-SRC，一种面向联邦检索增强生成（Retrieval-Augmented Generation, RAG）的私有任意时间选择性风险认证框架。选择性风险证书的核心承诺是：所有被模型接受的输出都能满足预设的错误率目标。与以往依赖特定分数分布的方案不同，Fed-SRC 是分数不可知的，并集成差分隐私与自适应监控。各客户端仅发布经过高斯扰动后的分数直方图与损失直方图，避免直接暴露原始数据。方法上，作者利用记录索引和噪声方差索引两类鞅（martingale）联合约束目标风险对比和接受质量，覆盖所有已注册的阈值与轮次，从而支持可预测的参与者招募、退群、阈值选择和可选停止。此外，通过一个一阶全变差项将校准混合分布转移到声明的部署混合分布，使证书在分布偏移下依然有效。实验在多个数据集、隐私预算和策略组合下进行：未出现任何同时违反边界的情况。然而认证的实际效力高度依赖分数和总体分布——主要目标 r*=0.10 在全部设置中均未得到认证，RAGTruth 上 r*=0.20 也未认证；但在 HaluEval 问答任务中，200 次非私有试验全部成功认证，且留出风险低于目标。作为对照，天真地私有化非私有证书会在 146 至 198 次试验中违反边界，凸显了联合设计的必要性。此外，作者探索了私有投注资本启发式方法，但未证明其 e-process 有效性，该启发式在 epsilon<=4 时停止认证，而 Fed-SRC 仍能继续。代价方面，认证消耗的流事件数约为唯一校准项数量的 30 倍。总体而言，本文的贡献在于首次将私有、联邦、任意时间保证组合成统一的认证框架，而非单独改进对比统计量或接受下限。

本文提出 FedGSA，一种面向差分隐私联邦 LoRA 的几何一致子空间聚合框架。LoRA 通过低秩分解显著降低了联邦微调预训练语言模型的通信开销，但引入差分隐私后存在两个关键问题：对两个低秩矩阵分别扰动和聚合会导致聚合失配以及二次噪声项。现有方法通过冻结其中一个低秩矩阵来缓解问题，但依然依赖欧几里得聚合，该聚合方式具有基依赖性，可能扭曲全局更新方向。FedGSA 将每个客户端经过差分隐私处理的更新表示为 Grassmann 流形上的基不变子空间。在每一轮通信中，客户端提取表达主要更新方向的低维子空间，并将其编码为投影矩阵；服务器聚合这些投影矩阵以估计几何一致的全局更新子空间，并在该子空间内重构全局 LoRA 因子，从而减少因基对齐错误、隐私噪声和客户端更新异构性带来的失真。作者证明了 FedGSA 不会在客户端差分隐私训练之外引入额外隐私损失，并在标准假设下建立了收敛性保证。在 GLUE 的四个任务以及一个语言生成基准上的实验显示，该方法在不同隐私预算和数据异构程度下均取得一致提升；具体地，在 ε=6 和 ε=3 的设置下，平均准确率相比最强基线分别提升 2.17% 和 2.27%。这项研究为在联邦环境中安全高效地微调大语言模型提供了新的理论支撑和实践方法。

联邦学习（FL）中的隐私增强技术，如安全聚合和分布式差分隐私，通常依赖一个关键假设：参与者中必须存在诚实多数，以抵御各种攻击。然而在实际部署中，服务器并非总是可信的，一个恶意的服务器可以策略性地选择已受感染的客户端，人为制造不诚实多数，从而破坏整个系统的安全保证。本文提出名为 Lotto 的联邦学习系统，致力于解决这一基础但长期未被充分研究的问题——即如何对抗恶意服务器实现安全的参与者选择。Lotto 支持两种选择算法：随机选择和知情选择。为了在没有可信服务器的情况下确保随机选择，Lotto 使得每个客户端能够依据可验证的随机性自主决定是否参与，从而消除了对服务器信任的依赖。对于更容易被操纵的知情选择，Lotto 通过在经过筛选的客户端池中进行随机选择来近似该算法，从而限制了服务器的操作空间。理论分析证明，Lotto 能有效将服务器选中的受损参与者比例对齐到全体客户端中不诚实客户端的基线比例。大规模实验进一步表明，Lotto 的收敛速度（时间到精度）与传统不安全的选择方法相当，说明其安全选择带来的计算开销很低。该研究为联邦学习中的参与者选择提供了一种可信且高效的新机制，增强了系统在对抗性服务器环境下的鲁棒性。适合联邦学习平台开发者、隐私保护机器学习研究人员以及关注服务器不可信场景的安全工程师阅读。

本文提出了一种面向联邦学习场景的隐私保护框架 DP-SimAgg，用于解决医学影像中脑病灶分割任务。联邦学习允许多家医疗机构在不共享原始数据的情况下协作训练模型，但由于不同机构的数据分布存在异质性（非独立同分布），且模型更新可能间接泄露患者隐私信息，直接应用联邦学习面临挑战。DP-SimAgg 结合了相似性加权聚合与客户端-服务器两级的隐私保护机制：首先对参与方上传的模型更新执行 L2 裁剪，限制更新幅度；然后计算各参与方更新之间的相似度，以此作为聚合权重，减轻非独立同分布数据的影响；最后，在中心服务器端引入基于高斯噪声的差分隐私机制，即通过向聚合结果注入校准噪声来满足全局 (epsilon, delta)-差分隐私，在假定的敏感度界下提供每轮隐私预算。该框架基于 Intel OpenFL 平台实现，并在 FeTS 2022 数据集（包含 1251 幅多模态 MRI 扫描）上进行了脑肿瘤分割实验。实验结果显示，在严格的每轮隐私预算（epsilon=1，累计 epsilon 为 20，共 20 轮）下，模型对增强肿瘤、肿瘤核心和全肿瘤区域分别取得了 Dice 指数 0.6357、0.5305 和 0.5274。在更宽松的隐私预算（每轮 epsilon=10，累计 200）下，分割性能接近无隐私保护的基线，同时仍具备中心高斯机制带来的隐私保障。研究结果表明，DP-SimAgg 能够在保持有竞争力分割精度的同时，为医学影像跨机构协作学习提供可量化的隐私保护，为隐私敏感场景下的联邦学习实践提供了有价值的技术参考。

本文来自 arXiv，研究跨组织纵向联邦学习中的隐私保护与模型精度权衡问题。在传统联邦学习中，各参与方本地持有数据，通过共享模型参数或更新信息来协作训练，并借助本地差分隐私（Local Differential Privacy）保护原始数据。然而，本地差分隐私通常会注入大量噪声，导致模型精度显著下降。针对这一瓶颈，作者提出一种名为“私有跨聚合技术”（Private Cross-aggregation Technology, PCT）的新方法。PCT 结合了私有集合交集基数（Private Set Intersection Cardinality）、可信执行环境（TEE）和差分隐私（DP），构造一个从输入到输出均保持私密的交叉列联表（cross-tabulation table）。整个训练流程分为两步：第一步，利用 PCT 生成私有交叉列联表；第二步，基于该表格训练机器学习模型。这样，模型无需直接接触原始数据，也不依赖高噪声的梯度交换。实验结果表明，在隐私预算受限的场景下，所提方法的分类精度优于基线联邦学习方法，同时计算耗时更短。论文的核心贡献在于：将 TEE 与 DP 结合，通过私有交叉表形式降低了噪声对模型精度的影响，为纵向联邦学习提供了一种端到端的隐私保护解决方案。适合关注隐私计算、联邦学习、差分隐私与可信硬件结合方向的研究人员阅读。

本文针对联邦学习（FL）中数据异质性导致的客户端模型性能下降问题，研究了聚类联邦学习（CFL）方法。现有CFL方法在隐私保护、通信成本和计算效率三者之间存在权衡，作者将其形式化为“CFL三难困境”（CFL trilemma）：改善其中两个维度必然以牺牲第三个为代价。一类主流方法通过共享元数据（即客户端数据集的低维表示）给服务器来实现通信与计算高效的聚类，但这类方法与标准FL隐私保护机制（如加密）不兼容。为解决该局限，论文提出FLAMECHE框架，将基于元数据的CFL重新建模为分布式期望最大化（EM）过程，并严格限制服务器端的更新为加法操作，从而在保持聚类效率的同时兼容实用的安全FL方案（如同态加密或安全聚合）。作者在多个数据集和多种异构场景下进行了大量实验，结果表明FLAMECHE能提升客户端模型的有效性（如准确率），并首次实现加密兼容的元数据聚类，显著改善了其在CFL三难困境中的定位。该工作主要贡献包括：形式化CFL三难困境、提出EM视角的分布式聚类方法、设计仅需加法运算的服务器更新机制、并通过实验验证了方法的有效性与加密兼容性。适合联邦学习、隐私保护机器学习及分布式系统方向的研究者和工程师阅读。

本文提出一种针对临床脑电图（EEG）数据的隐私保护联邦学习框架，核心机制是基于掩码的安全聚合（secure aggregation）。联邦学习虽然允许多个机构在不交换原始临床EEG数据的前提下共同训练模型，但个体模型更新仍可能泄露患者隐私。为解决这一问题，论文将多种技术融合到框架中：基于图的通信拓扑、阈值秘密共享、抗节点掉线（dropout）的聚合协议、局部更新裁剪，以及可选的基于布隆过滤器的隐私保护记录链接初始化模块，并引入辅助公证人（auxiliary notary）机制来实现聚合结果的可验证性。该框架同时支持半诚实（semi-honest）和恶意（malicious）聚合器安全模型，并基于Flower联邦学习框架实现。实验在模拟的跨机构（cross-silo）医疗场景下进行，使用TUH EEG数据集，并配置了不同的客户端数量。结果表明，在既定假设下，安全聚合变体能够对聚合服务器隐藏个体更新，且与联邦模型训练兼容。然而，针对恶意设置的防护机制以及轻量级一致性检查会引入额外的计算、通信和训练轮次耗时。其中，半诚实变体在安全配置中开销最低，而恶意设置和辅助公证人变体以更高成本换取更强的数据一致性、完整性以及轻量级验证支持。该研究为医疗领域中的EEG数据共享与协作建模提供了可落地的隐私保护方案。

该论文针对基于RLWE的同态加密（HE）在联邦学习（FL）聚合中保护隐私时面临的计算和通信开销问题，提出了一种新型的两层数据编码方法。现有方法通常简单地在多项式中拼接整数或分配系数，未能充分利用RLWE的结构特性。作者设计了一种双层数据打包策略，在整数层和多项式层分别进行批量处理。第一层（整数层）将量化后的模型数据合并为更大的整数，并引入基于中国剩余定理（CRT）的编码方法替代传统拼接，有效缓解了溢出和错误传播问题。第二层（多项式层）将大整数转换为多项式形式，并提出了新的子环分解方法，通过环同构映射将多个大整数投影到不同的子多项式环中。该双层编码提供了更灵活和高效的批量同态加密解决方案。作者严格分析了方法的正确性、效率和安全性，实验结果表明，在联邦学习中应用该技术可显著提升计算和通信效率，优于当前批量同态加密方法。该研究主要面向隐私保护、密码学和安全联邦学习领域的研究人员。

该论文提出了一种名为MOSAIC-FL的微服务架构隐私保护联邦学习框架，重点面向基因组学等敏感数据领域。框架采用模块化设计，集成gRPC高效通信层和有限状态机以确保组件同步和威胁检测；核心安全机制基于CKKS同态加密的阈值变体实现容错安全聚合，要求至少t个活跃客户端才能解密，从而在保证隐私的同时降低通信开销。通过噪声洪水技术实现IND-CPA-D安全等级，并每轮更新集体密钥材料以抵御针对同步解密器的密钥恢复攻击。实验涵盖EMNIST手写数字识别和TCGA乳腺癌亚型分类等任务，评估了不同阈值和模型规模下的系统性能。该研究为联邦学习在医疗健康场景的隐私合规提供了可行方案。

本文研究联邦排名学习（Federated Ranking Learning, FRL）的鲁棒性。FRL 是一种新兴的联邦学习范式，与传统联邦学习有两个关键区别：1）客户端传递离散排名而非梯度更新，大幅降低通信成本并限制恶意更新空间；2）服务端采用多数投票聚合全局排名，每个客户端仅贡献一票，从而削弱单个客户端的恶意影响。这些特性使 FRL 具备良好的可扩展性和抗投毒潜力。然而，作者通过理论分析证明 FRL 并非固有鲁棒，存在特定脆弱边（vulnerable edges）。他们推导出每层中识别脆弱边的下界和上界，并据此提出一种新型本地模型投毒攻击——脆弱边操纵攻击（VEM）。该攻击首先定位每层最脆弱的边，然后利用优化方法最大化扰动效果。在基准数据集上的实验表明，VEM 攻击的平均攻击影响力达 53.23%，是现有最佳方法的 3.7 倍。这项工作揭示了排名联邦学习中的重大安全漏洞，并强调了开发新型鲁棒联邦学习框架的紧迫性。

该论文探讨了利用联邦学习（FL）进行安全事件预测的可行性。当前网络防御越来越依赖主动预测攻击者的下一步行动，但构建准确的预测模型需要多个组织的数据，这涉及敏感信息（如网络结构、安全策略）的泄露。为此，作者提出了 Cerberus 系统，允许参与组织协作训练循环神经网络（RNN）模型，而无需共享原始数据。联邦学习在集中式训练（高隐私风险）和本地训练（低效用）之间提供了折中方案。Cerberus 在来自某安全公司入侵防御产品的大规模数据集上进行了评估，从效用、鲁棒性、隐私以及参与者的贡献与收益等维度进行了分析。实验表明，联邦学习能够达到接近集中式训练的准确性，同时显著降低隐私风险。研究还揭示了 FL 在安全预测中的挑战，如异质性数据、通信开销和模型收敛问题。该工作为联邦方法在预测性安全中的部署奠定了基础，展示了其提升跨组织协作防御能力的潜力。适合安全研究人员、数据隐私工程师及关注联邦学习应用的从业者阅读。

该论文针对物联网（IoT）设备在关键任务环境中的安全与隐私挑战，提出了一种联邦学习（FL）与大型语言模型（LLM）驱动的威胁情报框架，用于构建零信任物联网架构。传统IoT设备常因资源受限而无法更新，易受病毒、数据泄露和未授权访问等威胁。现有解决方案未能从根本上解决分布式环境中的信任问题。本文提出的框架将FL异常检测、隐私保护分布式学习、持续身份验证以及LLM驱动的自主威胁响应整合到统一流水线中。FL允许各设备在本地训练模型并仅共享梯度，从而保护数据隐私。通过基于MQTT协议的相互传输层安全（mTLS）机制，框架在每一通信层执行零信任原则，确保没有任何设备或消息默认可信。实验使用树莓派和多种传感器实现，评估了异常检测性能，取得了0.9091的F1分数和1.0的ROC-AUC，证明了该框架在资源受限IoT设备上实现隐私保护异常检测的有效性。该研究的核心贡献在于：1）提出FL与LLM结合的新型威胁情报方法；2）在轻量级IoT设备上实现零信任通信；3）实验验证了高检测精度。适合物联网安全研究人员、零信任架构设计者及网络安全从业者阅读。

联邦学习（FL）允许多个客户端协同训练机器学习模型，同时将数据保留在本地，从而提升隐私保护。然而，FL训练过程中交换的梯度仍易受到梯度反转攻击（GIA）的威胁，攻击者可以重建客户端本地数据，破坏FL的隐私承诺。GIA可由被动或主动的服务器发起。主动服务器会操纵全局模型以促进数据重建，但早期主动GIA可被客户端检测，限制了其实战应用。近期出现的新型主动GIA声称比以前的方法更隐蔽。本文首次对这些主张进行全面分析，研究了四种最新的GIA。作者提出了新颖的轻量级客户端检测技术，基于统计上不可能的权重结构以及异常的损失和梯度动态。在多种配置下的广泛评估表明，所提出的方法使客户端能够在不修改FL训练协议的情况下有效检测主动GIA。该研究为FL隐私安全提供了重要检测手段，适合隐私保护研究人员和FL系统开发者阅读。

本文针对联邦大语言模型（FedLLMs）中的成员推断攻击（MIA）问题展开研究。FedLLMs允许多方协作微调大语言模型而无需共享原始数据，从而解决资源有限和隐私保护等挑战。然而，即使数据不离本地，共享的梯度仍然可能通过成员推断攻击泄露敏感信息。由于FedLLMs具有参数规模巨大、收敛速度快、梯度稀疏且非正交等独特特性，现有的MIA方法效果不佳。为此，作者提出了ProjRes——首个针对FedLLMs的基于投影残差的被动成员推断攻击方法。ProjRes将隐藏嵌入向量作为样本表示，并分析它们在梯度子空间上的投影残差，以揭示梯度与输入之间的内在联系。该方法不需要影子模型、辅助分类器或历史更新，因此效率高且鲁棒性强。在四个基准测试和四个大语言模型上的实验表明，ProjRes达到了接近100%的准确率，比之前的方法性能提升了高达75.75%，即使在强差分隐私防御下仍然有效。该研究揭示了一个先前被忽视的FedLLMs隐私漏洞，并呼吁重新审视其安全假设。代码和数据已公开。

本文提出了一种名为ARES（通过稀疏反演恢复激活）的主动梯度反转攻击方法，旨在解决联邦学习（FL）中现有梯度反转攻击（GIA）在面对大批量训练样本时重建保真度低且需修改模型架构的问题。联邦学习通过共享模型更新而非原始数据来保护隐私，但研究表明共享更新可能泄露敏感训练数据。现有主动GIA虽能在大批量下实现高保真重建，但通常需要架构修改，限制实用性。ARES将激活恢复问题建模为噪声稀疏恢复任务，利用广义LASSO（最小绝对收缩与选择算子）求解。为扩展到多样本恢复，ARES采用印记方法解耦激活，实现可扩展的逐样本重建。理论上，推导了预期恢复率和重建误差上界，提供了理论保证。在CNN和MLP上的大量实验表明，ARES在多种数据集上实现高保真重建，显著优于现有GIA，尤其在大批量及现实FL设置中。结果强调中间激活在FL中构成严重且被低估的隐私风险，亟需更强防御。

本文提出了一种名为“Shared Spotlight Meridian”的新型分布式稀疏伪随机函数（Sparse PRF）协议，旨在解决联邦学习中可扩展性、通信效率和隐私保护的挑战。联邦学习通常需要客户端与服务器之间频繁交换模型更新，这会导致高通信开销和潜在的隐私泄露风险。传统伪随机函数在分布式场景下难以高效实现稀疏输出，而现有稀疏PRF方案多基于强假设或计算密集。作者引入了一种轻量级的分布式协议，利用秘密共享和双向映射技术，使服务器能够聚合客户端稀疏更新的同时保持隐私。通过理论分析和模拟实验，证明了该方案在通信轮数、计算开销和模型精度上优于现有基线方法。该研究为大规模联邦学习系统提供了一种实用的隐私增强组件，尤其适用于带宽受限或对通信敏感的场景。

该论文针对跨组织联邦学习（cross-silo FL）中跨边界会话操作准入的审计难题，提出了一种可审计的会话准入网关（Session Admission Gateway）。当前常见的准入方式依赖中心化策略服务、平台配置或临时检查，这些方式随着时间推移容易产生偏差，且难以从边界可见的证据中进行审计。作者设计的网关在组织边界强制执行预批准的会话能力，并生成可验证的决策记录。具体而言，在会话建立阶段，参与组织批准角色和约束条件，并签发签名的会话能力令牌（session capability token），该令牌枚举了针对给定 session_id 允许的会话操作。运行时，每个请求携带令牌和基于请求的持有证明（proof-of-possession），网关通过请求绑定检测令牌重放和身份冒充。准入简化为网关上的无状态逐请求密码学验证和能力匹配，而会话建立和编排超出范围，由各组织自行处理。作者以 MNIST 作为替代负载，在跨组织 FL 工作流上进行了端到端验证，概念验证代码开源、容器化、支持基础设施即代码，并包含可复现的测试和证据日志。

本文提出了一种名为 FLINT 的新型黑盒指纹识别框架，旨在通过 5G 物理层（PHY）侧信道推断联邦学习（FL）模型的架构家族（如 CNN、RNN、Transformer）。传统针对 FL 的侧信道攻击通常假设攻击者具有网络层数据包级别的可见性，但在 5G PHY 层，用户有效载荷经过加密，且无线网络临时标识符（RNTI）可能随时间变化，使得此类假设不成立。然而，作者发现在物理下行控制信道（PDCCH）上广播的调度元数据保留了与架构相关的时序模式。FLINT 通过解码 PDCCH 调度信息、将变化的 RNTI 映射到物理用户设备，并应用多视图时序建模，成功区分了不同架构在训练过程中产生的独特行为。该泄漏具有安全重要性，因为知道客户端的模型架构可将被动侦察转变为针对性的下游利用。作者在基于 srsRAN 的空中 5G 测试平台上进行了广泛实验，结果表明 FLINT 在架构家族分类任务上达到了 0.930 的宏观 F1 分数。据作者所知，这是首个利用 5G 低层侧信道信息对 AI/ML 模型架构进行指纹识别的工作。

本文提出了一种名为 NFSA 的非前向安全聚合协议，旨在解决联邦学习中现有安全聚合方案存在的通信开销大和安全隐患问题。传统基于服务器的安全聚合协议通常需要服务器在用户之间转发敏感数据，这不仅增加了通信轮次，还引入了数据泄露的风险。NFSA 通过结合 Shamir 秘密共享和基于伪随机函数（PRF）的 2-out-of-2 加法秘密共享，构建了两层秘密共享机制，从而消除了用户间的直接通信，无需服务器转发任何中间数据。为了支持高维数据聚合，作者进一步利用密钥同态 PRF（KhPRF）扩展了协议，使其适用于联邦学习场景，实现单服务器、单轮次的安全聚合。针对用户端开销，论文设计了基于中国剩余定理的编码方法，用于近似 KhPRF 掩码，显著减少了 KhPRF 调用次数，并缓解了掩码后模型更新膨胀的问题。实验结果表明，在用户数量为 100 时，NFSA 的通信效率相比现有方法提升近 100 倍，计算开销降低约 17%；当输入长度为 2^18 时，用户计算时间可减少 51% 至 75%。该研究为联邦学习中的隐私保护提供了一种高效、低开销的解决方案，适合对安全聚合协议和隐私计算感兴趣的研究人员阅读。

该论文研究了跨孤岛联邦学习（FL）中的记录级个性化差分隐私（DP）问题。现有方法通常假设所有记录具有统一的隐私预算，提供“一刀切”的解决方案，无法满足每条记录特定的隐私需求。作者提出了一个名为rPDP-FL的新型框架，采用两阶段混合采样方案：包括均匀的客户端级采样和非均匀的记录级采样，以应对不同的隐私要求。该框架允许每个记录根据其隐私需求设置个性化的隐私预算，并通过精心设计的采样机制确保整体训练的收敛性和效率。实验部分（在摘要中未详述）可能通过标准数据集验证了该框架在满足个性化隐私约束的同时，保持了模型的效用。该方法适用于多个数据持有者（如医院、银行）在隐私法规要求下协作训练模型，且每个数据点可能有不同的隐私敏感度。论文的核心贡献在于首次系统性地解决了跨孤岛FL中的记录级个性化隐私保护问题，并提出了可实际部署的算法框架。

本文提出了一个名为 PriEval-Protect 的统一框架，用于医疗保健系统中的隐私风险评估与保护。当前，在 GDPR 和 HIPAA 等法规下，保护患者隐私并同时允许有意义的医疗数据使用至关重要，但现有合规方法通常依赖人工，容易出错，且将政策审计与数据级评估割裂。PriEval-Protect 采用两阶段设计：评估阶段结合了基于微调法律大语言模型（LLM）与检索增强生成（RAG）的监管合规评分，以及通过加密类型、数据架构和多种度量指标（包括相似度、不确定性、攻击者成功率、信息增益/损失）进行的技术分析。利用层次分析法（AHP）对各类指标进行加权聚合，得出综合风险评分。保护阶段则根据评估的风险推荐相应的防护措施，例如联邦学习和差分隐私。作者在真实医院文档和数据集上进行了实验，结果表明该框架能提供与法规对齐且可解释的评估，有效弥合了法律合规与数据级风险分析之间的鸿沟。该工作对于需要自动化隐私合规评估的安全团队、合规官以及医疗行业的数据保护从业者具有参考价值。

本文提出并评估了一个隐私保护的推荐系统框架，旨在解决传统推荐系统依赖集中存储用户交互数据所带来的隐私与合规挑战（如GDPR、CCPA、CPRA）。该框架结合了联邦学习、差分隐私、群体级建模和隐私感知智能体：联邦学习保持原始用户数据分散在本地，差分隐私向模型更新引入数学上有界的噪声，群体级建模利用用户群体特征而非个体数据，隐私感知智能体负责协调隐私预算分配。实验在模拟客户点击流和购买行为的合成零售数据集上进行，评估了矩阵分解、神经协同过滤和GRU4Rec三种推荐模型在多个差分隐私预算（ε值）下的表现，度量包括点击率（CTR）、Precision@K、Recall@K和归一化折损累计增益（NDCG@K）。结果发现，在中等隐私预算（ε≈5）下，该框架能保持有竞争力的推荐质量，表明强隐私保护可以以有限的推荐效果损失实现。此外，还开发了交互式Streamlit仪表盘以可视化推荐性能、排序稳定性、隐私-效用权衡和公平性指标。本文为部署兼顾个性化、法规合规与商业目标的隐私保护推荐系统提供了实用框架，适合电商和零售平台的安全与隐私工程师、推荐系统研究人员阅读。

现代车载网络面临内部电子控制单元（ECU）和外部车联网（V2X）通信不断扩大的攻击面。联邦学习（FL）作为一种去中心化范式，被用于在不牺牲数据隐私的前提下部署入侵检测系统（IDS）。然而，车载FL-IDS文献存在方法论碎片化和实验设置不切实际的问题。本文呈现了一篇系统化知识（SoK）论文，统一了车载攻击面的分类学，评估了FL拓扑结构，并映射了投毒攻击和推理攻击等对抗性威胁。通过审计60多篇出版物，识别出反复出现的陷阱：人为的独立同分布（IID）数据划分、依赖琐碎的基准测试、对抗性评估薄弱、以及忽略实时CAN总线约束。最后，定义了一个前瞻性研究议程，并概述了将车载FL-IDS从乐观仿真过渡到安全现实部署所需的最低基准测试要求。

该研究针对联邦学习（FL）系统中的数据隐私与安全性问题，提出了一种结合同态加密（HE）和差分隐私（DP）的架构。联邦学习允许数据保留在本地设备上，避免了集中式数据收集，但模型更新过程中仍可能泄露敏感信息。同态加密使得在加密数据上直接进行计算成为可能，而差分隐私通过对模型输出施加统计扰动来防止个体信息被提取。研究者在Framingham、皮马印第安人糖尿病和银行营销三个数据集上测试了所提出的架构，实验结果表明，在未显著牺牲模型准确率的前提下，能够有效增强隐私保护。此外，文章还分析了客户端间数据异质性对模型性能的影响，并指出通过精心选择差分隐私参数、优化训练设置以及使用更大规模的数据集，可以提升联邦学习的效率。该研究的贡献在于证明隐私保护且高性能的人工智能系统可以安全地应用于医疗、金融等敏感领域。适合对联邦学习、隐私保护机器学习感兴趣的研究人员和工程师阅读。

本文研究了联邦学习（FL）中的一种新型攻击：中央化“取走训练数据”（TATD）攻击。传统的TATD攻击利用深度模型的记忆能力存储并恢复训练数据，但在联邦学习环境中，多客户端平均聚合可能会覆盖编码后的数据，使得攻击难以实现。为此，作者提出了FedCVESA方法，这是相关值编码攻击（CVEA）的联邦变体。该方法假设恶意服务器选择n个目标客户端，通过向目标客户端的损失函数添加皮尔逊相关正则化项，将私有训练数据逐步编码到选定的模型参数（称为载体参数）中。为了减少服务器聚合时载体参数被覆盖，作者进一步提出对分散的载体参数进行分段聚合，保留选定的载体参数，同时对其余参数进行标准平均。在MNIST、Fashion-MNIST和CIFAR-10数据集上，基于狄利克雷非独立同分布划分的实验表明，该方法能够在保持可接受主任务效用的前提下，从训练好的模型中窃取语义上可识别的私有训练图像。这些结果证明，在所研究的白盒恶意服务器设置下，联邦学习可以成为主动TATD攻击的参数级记忆通道。

该论文研究了持续学习中参与隐私（Participation Privacy）的挑战。在联邦学习和流式学习场景中，模型通常持续更新并释放中间模型，因此隐私保护需要覆盖整个动态交互轨迹。作者针对单次编辑（single-edit）相邻用户流这一模型，即用户流中一次插入或删除会改变所有后续更新，传统的基于汉明距离（Hamming-neighbor）的持续发布分析无法直接适用。为了解决这一问题，论文提出了一种可审计的模块化方案：首先，设计一个随机缓冲包装器（randomized buffering wrapper），将原始更新流分割成大小为$[U, 2U]$的箱子（bins），从而将单次编辑流转化为每个箱子内的汉明风格更新流，并给出明确的积压/延迟保证，其中$U$由隐私参数$(\varepsilon, \delta)$校准。其次，论文证明了一个认证定理（certification theorem），该定理揭示了当非自适应的汉明邻域差分隐私证明能够提升到自适应输入的条件：基础算法必须每轮使用全新的随机性，并且在共同自适应上下文中具有稳定的单轮隐私配置。结合这些要素，论文最终实现了对于单次编辑流的轨迹级$(\varepsilon, \delta)$-差分隐私，并利用标准基础算法（如树前缀和机制）给出了隐私与延迟之间的显式联系（通过$U$参数）。实验部分验证了所提方法的隐私保证和实用效率。适合对差分隐私、联邦学习、流式数据隐私保护的学者和工程师阅读。

联邦学习（FL）允许多个客户端协作训练机器学习模型，同时保留数据本地性，从而增强用户隐私。然而，传统的FL框架依赖中心化聚合服务器，并假设客户端是诚实但好奇的，这使其易受服务器端推理和客户端投毒攻击。先前的工作虽然探索了安全且拜占庭鲁棒的FL协议，但它们在隐私、完整性和可验证性之间存在根本性权衡，并且由于大量使用密码学原语而产生了巨大的计算和通信开销。本文提出PRoVeFL——一个新颖的模块化FL框架，兼具隐私保护、拜占庭鲁棒性和可验证聚合。PRoVeFL利用多服务器架构和多方全同态加密：每个客户端加密其本地模型更新并将加密份额分发给所有服务器。这种设计实现了混合计算模型，在严格隐私约束下将密文操作巧妙地卸载到明文域，以高效评估复杂的统计聚合规则。PRoVeFL兼容多种最先进的拜占庭鲁棒聚合算法（如Krum、Trimmed Mean、FLTrust、范数裁剪、MESAS等），并通过可验证性机制进一步增强它们，该机制仅需信任至少一个诚实服务器。我们在不同设置下进行了评估，证明了其在参数数量和参与者数量变化时的可扩展性。与先前基于分布式信任且具有可比安全性的工作Prio和ELSA相比，PRoVeFL的运行时分别提高了最多100倍和10倍。

该论文聚焦于联邦学习（FL）中的隐私保护问题。联邦学习作为一种分布式机器学习范式，允许多个客户端在不共享原始数据的前提下，通过聚合服务器联合训练全局模型。然而，现有研究表明，恶意聚合服务器可能通过客户端上传的模型更新发起推理攻击，窃取客户端的隐私信息。安全聚合（Secure Aggregation）技术旨在让聚合服务器仅能获取更新之和或平均值，从而保护个体更新。但现有的安全聚合协议存在通信开销大、计算复杂、轮次过多等缺陷。本文提出SAFELearn，一个通用的高效隐私联邦学习系统设计，专门抵御针对个体模型更新的推理攻击。其核心思想是结合安全多方计算（MPC）或全同态加密（FHE）技术，在不依赖可信第三方的前提下，实现仅两轮通信的聚合，且客户端无需执行昂贵的密码操作，同时支持客户端掉线处理。作者基于两方安全计算实例化该系统，并在实验中证明：聚合500个参数超过30万的模型，耗时不到0.5秒。总体来说，SAFELearn在保证隐私性的同时，大幅提升了联邦学习中安全聚合的效率与实用性。

本文针对纵向联邦学习（VFL）中的标签推断攻击提出了一种名为KD-k（知识蒸馏结合k-匿名）的防御框架。在VFL中，多个参与方持有垂直划分的数据，共同训练机器学习模型，其中标签仅由聚合服务器（标签所有者）持有，旨在保护标签隐私。然而，已有研究发现，攻击者可以利用服务器返回给底层模型的梯度信息，结合少量辅助标签（仅需训练数据中极少部分样本的标签），推断出其他样本的私有标签。这类攻击被称为标签推断攻击，严重威胁了VFL中的标签隐私。为了抵御此类攻击，本文提出的KD-k框架结合了知识蒸馏和k-匿名技术：首先通过知识蒸馏机制，将原始教师模型的知识迁移至学生模型，从而减少梯度中关于标签信息的泄露；同时引入k-匿名，确保每一类的梯度在统计上无法区分个体样本，进一步弱化攻击者的推断能力。在多个标准数据集上进行的实验表明，应用KD-k后，多种标签推断攻击的成功率显著下降，降幅超过60%，而VFL全局模型的精度几乎不受影响（几乎无损失）。该工作为VFL中的隐私保护提供了有效的解决方案，平衡了模型效用与隐私安全性。本文适合联邦学习、隐私保护机器学习领域的研究人员和工程师阅读，以了解标签推断攻击的现状及一种实用的防御思路。

该论文是一篇关于生成式人工智能（Generative AI）和联邦学习（Federated Learning）在入侵检测系统（IDS）中应用的综述。入侵检测系统是现代网络环境（如网络物理系统、物联网、企业网络和分布式网络）中监控流量、识别恶意行为的关键组件。然而，开发可靠的IDS模型面临诸多挑战：攻击行为不断演化、真实数据集难以获取、流量记录可能不完整、攻击类别不平衡、以及隐私限制导致数据无法集中收集。近年来，生成式AI（包括自编码器、生成对抗网络（GAN）、扩散模型和大语言模型（LLM））和联邦学习的进步为克服这些局限提供了新机遇。生成模型可用于异常检测、合成流量生成、数据增强、数据补齐、对抗流量生成以及IDS告警解释。联邦学习则能在不直接共享本地网络流量的情况下进行分布式IDS训练，特别适用于隐私敏感和地理分散的环境。本文首先总结了IDS研究的代表性方向，包括对抗机器学习、基于异常的检测、面向物联网的IDS、可解释IDS及基准数据集。然后，根据模型家族和任务目标对生成式AI在IDS中的应用进行了分类。最后，综述了将生成式AI与基于联邦学习的IDS相结合的新兴研究，并讨论了开放挑战，如合成数据质量、真实流量生成、双重用途对抗风险、非独立同分布客户端分布、通信高效模型共享、联邦IDS基准测试以及面向网络安全的领域特定大语言模型。该综述为网络安全研究人员和工程师提供了前沿技术的系统化梳理，有助于理解当前生成式AI和联邦学习在IDS领域的应用现状与未来方向。

联邦学习（FL）极易受到隐蔽后门攻击的影响，攻击者通过植入特定触发器，迫使模型对包含该触发器的输入预测攻击者指定的目标类别。然而，现有的统计防御方法主要关注模型收敛的早期阶段。本文发现了一个根本性漏洞，称为“后期失败”（Late-stage Failure）。我们证明，随着全局模型收敛，梯度范数衰减导致恶意更新和良性更新在形态上难以区分。这种消失的统计方差实际上使传统防御方法失效，使自适应攻击者能够保持休眠状态，随后劫持训练过程。为了克服这些限制，我们提出了Secure-CHG，一个混合框架，将防御范式从表面的形态检测转向内在的语义贡献验证。Secure-CHG采用自适应防御管道：在早期振荡阶段，级联统计滤波器稳定优化过程；而在后期收敛阶段，新型CHG-Shapley机制接管。通过利用样本难度（即局部训练损失）将更新投影到复合硬度-梯度空间，有效放大了对抗性语义痕迹，即使梯度范数消失也能隔离隐蔽攻击者。此外，我们推导了CHG-Shapley的闭式解，实现了低复杂度、无需重新训练的节点估值和信任调制聚合。在CIFAR-10、MedMNIST和NEU-SDDB上的广泛评估表明，Secure-CHG有效缓解了后期失败问题。具体而言，相对于主流Krum和Trimmed Mean基线，它将高级后门攻击的成功率分别降低了2.3倍和2.0倍。

随着物联网（IoT）的快速发展，攻击面不断扩大，针对智能对象及其交互的新兴威胁日益增多。确保服务提供的安全性对于IoT生态系统的正常运行、安全性和可靠性至关重要。服务提供涵盖设备注册、配置、认证、授权和软件部署等关键任务。本文提出一个综合框架，旨在选择最合适的智能对象来交付目标服务，同时在服务提供阶段监控相关实体的行为。该方法采用深度强化学习（DRL），使智能代理通过与复杂动态环境的交互，学习在遵守预定义安全约束的同时适应变化。对于行为监控，利用联邦学习（FL）开发全局行为指纹（BF）模型，该模型完全分布式，可分析IoT设备在网络中的交互方式。此外，BF用于计算每个服务提供商的可靠性评分，反映其遵守安全约束的程度。该评分被纳入服务提供过程，使智能对象不仅能根据功能适用性，还能根据可靠性水平选择提供商。广泛的实验评估表明，该解决方案即使在资源受限的IoT设备上也能有效部署，成为现代IoT生态系统中可行且可扩展的安全增强机制。

该论文研究联邦学习（FL）下基于大型语言模型（LLM）的问答（QA）系统中的后门攻击。在联邦学习中，多个客户端本地训练模型，然后由中央服务器聚合更新。传统后门攻击需要攻击者控制客户端或访问训练数据，但本文考虑一个更危险的场景：恶意聚合服务器（例如云服务提供商）与第三方供应商合谋，在完全不接触客户端数据的情况下，悄无声息地将广告类后门植入联邦QA模型中。攻击者的双重目标是：（1）保持正常查询的问答质量，即带毒模型在非触发查询上表现与干净模型无异；（2）当输入中出现特定触发词时，模型生成高度自然、上下文相关的回复，其中包含目标广告。实现这两个目标极具挑战性，因为缺乏私有数据知识，简单的后门注入可能降低模型正常性能或无法成功植入后门。为此，作者利用训练过程中客户端上传的梯度，提出一种无数据且隐蔽的两阶段投毒框架：第一阶段，从客户端梯度中恢复代表性训练样本；第二阶段，利用恢复的样本和触发短语构建投毒数据集，从而将后门注入全局模型。在多个代表性QA数据集和LLM家族（包括全微调和LoRA设置）上的实验表明，该方法在几乎不影响正常任务性能的前提下，实现了接近100%的攻击成功率（ASR）。关键的是，仅需重构5-20%的梯度就足以发动可靠攻击，暴露了联邦QA LLM训练流程中的一个实际盲点。该研究揭示了联邦学习在LLM场景下的新安全威胁，并呼吁设计更鲁棒的聚合算法和异常检测机制。

该论文提出了一种基于联邦学习（FL）的分布式分类器，用于检测包含敏感内容（如健康、政治信仰、性取向等类别）的URL。传统的集中式分类器存在隐私风险和数据集中问题，而联邦学习允许在本地数据上训练模型，仅共享模型更新，从而保护用户隐私。然而，联邦学习容易受到恶意用户的投毒攻击，他们可能通过传播错误的模型更新来降低良性用户的分类准确性。为此，论文开发了一种结合主观逻辑和基于残差的攻击检测的稳健聚合方案。通过理论分析、轨迹驱动模拟以及原型和真实用户的实验验证，结果表明该分类器能够高精度地检测敏感内容，快速学习新标签，并且对恶意用户的投毒攻击以及非恶意用户的不完美输入均保持鲁棒性。该方法在保护隐私的同时提高了系统的安全性和可靠性，适用于需要大规模内容审核的场景。

本文提出了一种联邦哈希投影潜在因子学习模型（FHPLF），旨在解决传统哈希学习（HL）需要集中存储用户数据引发的隐私问题，以及联邦学习（FL）中传输实值梯度导致的高通信开销和隐私风险。FHPLF 通过三个关键创新实现隐私保护与性能平衡：1）用二值梯度类矩阵替代实值梯度矩阵，显著降低计算、存储和通信成本，同时增强隐私保护；2）采用投影汉明距离进行相似度建模，捕捉每个二进制位的权重，提升二进制编码的表示能力；3）提出安全二值梯度重组与隐私增强上传策略（SBG-PEU），进一步降低传输过程中用户交互泄漏的风险。在四个真实数据集上的实验表明，FHPLF 在准确率、效率和隐私保护之间取得了优于现有哈希学习和联邦学习方法的平衡。

本文研究联邦学习中的语义驱动后门攻击机制，重点探讨触发器颜色对攻击成功率的影响。联邦学习易受到后门攻击，恶意客户端注入中毒更新同时保持良性任务性能。现有研究多关注触发器形状、位置等，而本文系统性地分析了触发器颜色这一因素。攻击者使用自然视觉配件（如口罩、太阳镜）作为语义触发器，仅改变触发器颜色（黑/白），保持攻击管线固定。恶意客户端通过将触发器应用到源类别图像并重新标记为目标类别来构建中毒样本，良性客户端仅使用干净数据训练。此外，还比较了标准中毒目标和更强的SABLE目标（结合干净分类损失、触发目标损失、特征分离损失和正则化），以减少更新漂移。实验基于CelebA数据集上的四分类发色任务（金发、黑发等），结果表明：即使触发器语义、位置和中毒预算不变，触发器颜色显著改变攻击成功率。白色触发器对针对金发类别的攻击更有效，黑色触发器对针对黑发类别的攻击更有效。这一趋势在鲁棒聚合下依然存在。论文贡献在于揭示了触发器颜色作为一个被忽视的重要因素，影响语义后门攻击的有效性和持久性，为联邦学习安全评估提供了新视角。适合联邦学习安全研究人员、后门防御设计者阅读。

本文提出了一种名为 TL++ 的双模式遍历学习框架，旨在解决分布式智能系统在数据孤岛下训练时的准确性与隐私保护问题。传统的联邦学习虽然保持数据本地化，但在异构分区下性能下降且需要反复交换完整模型；拆分学习通过切割层激活值减少通信，但通常无法恢复集中式小批量梯度行为，且可能以明文暴露激活值和梯度。TL++ 包含两种模式：基础模式仅交换切割层激活值和梯度而非完整模型，显著降低通信开销；安全模式通过秘密共享将每个切割层激活值和梯度在编排器与非共谋辅助服务器之间分割，防止任一服务器观察到明文切割层张量，但此保护限于半诚实两服务器设置，且标签和损失相关输出对编排器可见。在轻量级安全路径中，线性或仿射服务器路径可实现精确性，非线性操作需借助非线性 MPC 或近似。论文在 CIFAR-10 和 BioGPT/PubMedQA 数据集上使用全微调和 LoRA 方法评估，与联邦学习和拆分学习基线对比。结果表明，TL++ 基础模式切割层1和精确安全模式切割层3在 CIFAR-10 上分别达到 91.41% 和 90.93% 的准确率，超过最强非 TL++ 基线 12 个百分点以上；基础模式每步通信量相比完整模型同步减少 13.1 倍。PubMedQA 结果同样支持 TL++ 优势。总体而言，TL++ 接近集中式训练性能，同时减少通信并提供激活层秘密共享的隐私保护。

本文针对联邦学习场景中数据去重面临的隐私和可扩展性挑战，提出了一种高效隐私保护的多方去重协议 EP-MPD。在联邦学习中，不同客户端的数据可能存在重复样本，去除这些重复能提升模型性能并节省训练时间与能耗。然而，传统去重需要聚合各方数据，会泄露隐私。EP-MPD 基于两个新颖的私有集合交集（PSI）协议变体构建，采用模块化设计，能够在多个客户端数据集上安全高效地移除重复数据，而无需暴露原始数据。实验表明，在大型语言模型的联邦训练中，当重复率在 10%-30% 时，应用 EP-MPD 可使困惑度（perplexity）最多降低 19.62%，运行时间最多减少 27.95%。该协议在隐私和性能之间取得了良好平衡，适用于大规模联邦学习应用。本文的主要贡献包括：首次针对联邦学习提出隐私保护去重协议，设计两种高效的 PSI 变体，并通过实验验证了去重对联邦 LLM 训练的显著收益。适合隐私保护机器学习、联邦学习及大模型训练领域的研究者和工程师阅读。

在联邦学习（FL）中，隐私保护训练面临计算开销与安全性之间的权衡。现有全加密方案（如同态加密）虽能保护数据，但计算成本过高，难以部署。本文提出HADES框架，一种选择性特征加密与混合模型融合的隐私保护联邦学习方法。核心思想是：并非加密所有数据，而是通过主成分分析（PCA）识别出对隐私最敏感的特征子集，仅对这些特征进行多方同态加密（MHE），其余特征和对应模型部分保持明文。HADES包含两个并行的训练管道：加密管道处理敏感特征，明文管道处理非敏感特征，最后通过融合机制将两个管道输出的表示无缝整合，实现端到端训练。此外，作者提出一种通用打包方案，考虑整个神经网络架构，消除冗余旋转操作，提升计算效率。实验表明，HADES在保持与普通FL相同准确率的同时，显著降低了重建攻击的成功率，并优化了运行时间。该工作适合对联邦学习隐私保护、同态加密优化感兴趣的研究人员和工程师阅读，尤其适用于医疗、金融等特征高度敏感的场景。

联邦学习（FL）因其在本地训练模型并保护隐私的能力而在各行业广泛流行。然而，FL系统容易受到隐私推断攻击和投毒攻击，这两类攻击可能由恶意参与者破坏系统。尽管已有大量工作分别应对这些攻击，但对两者组合攻击的研究关注有限。为填补这一空白，本文提出了SafeFL，一个基于安全多方计算（MPC）的框架，旨在评估FL技术在同时应对隐私推断和投毒攻击方面的有效性。SafeFL的核心是一个通信器接口，使得基于PyTorch的实现能够利用成熟的MP-SPDZ框架，后者实现了多种MPC协议。SafeFL的目标是促进开发更高效的FL系统，以有效应对隐私推断和投毒攻击。该框架为研究人员和从业者提供了一个评估平台，以测试不同防御机制的鲁棒性。

该论文提出了一种名为PentaGOD的五方图异常检测方法，旨在超越传统的图异常检测（GOD）范式。研究背景中，现有图异常检测方法通常仅依赖单一视角或少数几方数据，难以应对复杂场景下的协作需求。本文通过引入五方协作机制，设计了一种新的图异常检测框架，可能涉及分布式计算、隐私保护或联邦学习等特性。由于仅提供标题和作者，缺乏具体摘要内容，无法详细描述技术细节和实验验证。该方法理论上适用于需要多方数据共享且保护隐私的异常检测场景，如金融欺诈检测、网络安全威胁分析等。论文适合对图学习、多方安全计算及异常检测领域的研究者和工程师阅读。但受限于信息，确切贡献仍需阅读原文确认。

随着物联网设备的普及，分布式边缘系统开始大规模收集敏感数据，为设备端机器学习提供了应用场景。联邦学习（FL）通过仅传输模型参数而不交换原始数据，在一定程度上缓解了隐私泄露风险。然而，当前研究忽视了一个关键盲点：在个性化联邦学习（PFL）场景中，客户端各自维护私有模型以应对数据异质性，但这种个性化机制反而使得系统更容易受到基于迁移的对抗性攻击。本文首先系统分析了多种主流PFL方法，发现相较于集中式学习，PFL在对抗样本转置攻击下表现出显著更高的脆弱性：恶意客户端可利用本地模型知识构造对抗样本，进而攻击其他对等客户端的个性化模型。作者通过理论分析并在多个基准数据集（如CIFAR-10、MNIST等）上进行实证评估，验证了该脆弱性，结果显示各PFL方法的准确率均大幅下降。为应对这一挑战，论文提出了一种协同防御框架，具体包括：（1）在输入层注入随机噪声，以破坏对抗扰动的有效性；（2）引入输入缩放迹正则化，约束模型更新方向；（3）最大化参数敏感度，增强模型对微小扰动的鲁棒性。实验证明，该框架能有效恢复模型精度，平衡隐私与安全性。这项工作首次对PFL系统中的对抗威胁进行了系统性研究，既揭示了安全隐患，也提供了实用的诊断工具与防御手段，适合联邦学习、分布式机器学习及安全领域的从业者阅读。

联邦学习（FL）允许多方协作训练模型而不共享原始数据，但分布式特性使其易受后门攻击——恶意客户端在本地训练数据中嵌入隐藏触发器，操纵模型预测。现有防御主要在聚合前或聚合中生效，无法完全消除收敛后全局模型中残留的后门行为。此外，服务器在训练后缺乏触发器模式或恶意客户端的信息，导致后门残留或正常准确率下降。为此，本文提出SCRUB-FL（通过遗忘后门来净化和清洗表示），一种两阶段后门清除方案。训练阶段：客户端使用频谱分析和激活聚类识别可疑样本，然后训练轻量级WGAN-GP（带梯度惩罚的Wasserstein生成对抗网络）捕获触发器相关分布；服务器端聚合生成器参数，构建可疑模式的全局表示而不暴露原始数据。收敛后阶段：服务器合成近似触发器的样本，应用机器遗忘（machine unlearning）通过将预测分布重定向为均匀分布来擦除触发器-目标关联。在CIFAR-10和GTSRB数据集上，针对三种攻击类型和高达40%的恶意参与率，实验表明SCRUB-FL将后门攻击成功率降至3.88%，同时保持超过91%的正常任务准确率，优于现有最先进防御，且无需服务器预先知道触发器模式或拥有大型干净代理数据集。

这篇论文揭示了联邦学习（FL）在语言模型微调过程中的隐私后门攻击风险。在联邦学习中，多个参与者协作微调模型而不共享原始数据，但全模型微调计算成本高昂，因此参数高效微调（PEFT）成为实际应用中的主流方法，它冻结基础模型仅训练少量适配器。本文提出一种名为NeuroImprint的攻击方法，由恶意参数服务器实施，能够将PEFT适配器隐秘地转化为隐私后门，该后门隐式地记忆客户端的训练样本，以每个样本对应的隔离参数更新形式存储在单独的神经元中，且不降低模型效用。具体来说，NeuroImprint为每个训练样本分配一个专用的记忆神经元，并约束每个神经元在本地微调轨迹中最多更新一次，从而解决了大本地批次和有状态优化器（如Adam/AdamW）导致的交叉样本碰撞和交叉步骤混合问题。微调完成后，这些隔离的样本更新可以通过闭式解析方法逆向恢复为文本嵌入，并确定性地映射回 token 序列。作者在多种语言模型（BERT、GPT-2、Qwen2、Llama3.2）和四个不同领域的微调数据集上验证了该方法，结果显示攻击能够重构59%至79%的微调样本，且具有较高的语义保真度。该研究首次系统性地展示了在联邦语言模型微调中利用PEFT适配器实现隐私泄露的可行性，对联邦学习的安全隐私保护提出了新的挑战。

该论文研究了个性化联邦学习（PFL）在面对后门攻击时的脆弱性。联邦学习（FL）允许多个客户端在不共享私有数据的情况下协作训练全局模型，但非独立同分布（non-IID）的数据分布导致全局模型难以适应每个客户端的本地数据。为此，个性化联邦学习（PFL）被提出，使每个客户端能够基于其私有数据训练个性化的本地模型。尽管已有大量研究关注FL中的后门风险，但PFL中的后门攻击尚未得到充分探索。本文深入分析了PFL对后门攻击的防御能力与潜在弱点。一方面，PFL的个性化过程可以稀释注入到个性化本地模型中的后门毒化效果；此外，PFL系统通常部署服务器端和客户端两端的防御机制以增强对后门攻击的屏障。另一方面，研究表明这些防御措施可能带来虚假的安全感。作者提出了一种名为PFedBA的隐蔽且有效的后门攻击策略，该策略通过优化触发器生成过程，巧妙地将后门学习任务与PFL的主学习任务对齐。全面的实验表明，PFedBA能够成功地将触发器无缝嵌入到个性化本地模型中，并在10种最先进的PFL算法上取得了优异的攻击性能，同时击败了现有的6种防御机制。该研究揭示了PFL系统中隐蔽而强大的后门威胁，呼吁社区加强对新兴后门挑战的防御。

本文提出了一种名为TIGER的新型梯度反演攻击方法，针对联邦学习场景下Transformer模型的隐私泄露问题。联邦学习中，多个客户端协同训练共享模型，仅上传梯度更新至中央服务器，理论上原始输入数据保留在本地。然而，已有的梯度反演攻击表明，这些更新足以泄露客户端输入信息。现有针对Transformer的攻击方法存在局限：优化假输入匹配真实梯度更新对于现代模型成本高且不稳定；或者利用注意力梯度的低秩性识别包含真实层嵌入的子空间，再对候选token进行离散成员测试，但该测试对数值噪声（如量化或差分隐私DP）鲁棒性差，且在非因果注意力编码器模型中扩展性差。TIGER创新性地将子空间信号转化为可微分目标，通过直接优化token嵌入以最小化其到子空间的距离，避免了对完整梯度的匹配或离散搜索。实验表明，在仅编码器模型上，TIGER在重建质量和运行时间上显著优于现有攻击；在解码器模型上，TIGER比基于子空间的先前攻击更具鲁棒性，首次在受差分隐私保护的联邦学习设置中成功实现了输入重建。这项工作揭示了现有联邦学习隐私保护机制的脆弱性，对采用Transformer架构的联邦学习系统构成实际威胁。

本文挑战了“差分隐私（DP）能够天然增强联邦学习（FL）抗后门攻击鲁棒性”的普遍假设。通过实证分析两种基线攻击策略，作者发现DP-FL中存在根本性矛盾：若攻击绕过DP，现有先进防御能够有效检测并过滤恶意更新；但若攻击遵守DP约束，DP的噪声添加过程反而会掩盖恶意更新的统计特征，导致现有防御失效。基于这一“掩蔽效应”，本文提出RING攻击，其核心思想是明确利用DP来隐藏恶意贡献，同时最大化攻击效果。具体地，被攻陷的客户端通过协同构造对抗扰动，在聚合阶段重建强后门信号而不触发异常检测。RING作为一种与底层后门技术无关的扰动层，可以广泛兼容并组合到现有攻击中，这极大增强了其对DP-FL的威胁。在四个图像和文本数据集（非独立同分布）上的大量评估表明，在中等隐私预算（如ε=8）下，RING对六种最先进防御的平均攻击成功率达到90.3%，相较于基线策略提升最高达26.08倍。最后，作者评估了潜在对策，发现缓解该威胁会带来显著的效用-隐私权衡，从而暴露了部署差分隐私联邦学习时的根本安全漏洞。

联邦学习作为一种分布式机器学习范式，允许多个客户端在不共享原始数据的情况下协作训练全局模型。然而，拜占庭鲁棒性问题是其面临的主要安全挑战之一：当存在一定数量的恶意客户端时，它们可以通过精心构造的本地模型更新来破坏全局模型的质量。现有的拜占庭鲁棒联邦学习方法通常依赖服务提供商对客户端更新进行统计分析，如修剪异常值或计算中位数，但恶意客户端仍能通过构造与正常更新方向相似但幅度极大的更新来绕过检测，因为这些方法缺乏一个可信任的基准。 本文提出 FLTrust，一种新的拜占庭鲁棒联邦学习方法，其核心思想是让服务提供商自身引导信任。具体而言，服务提供商预先收集一个干净的、小规模的训练数据集（称为根数据集），并基于此维护一个服务器模型。在每个通信轮次中，服务提供商首先计算服务器模型更新（即基于根数据集计算的梯度更新），然后为每个客户端本地模型更新分配一个信任分数：如果客户端更新的方向与服务器模型更新的方向偏离越大，则信任分数越低。接着，服务提供商对客户端更新进行幅度归一化，使其与服务器模型更新位于同一超球面上，从而限制恶意客户端通过大幅度更新造成的影响。最后，服务提供商以信任分数为权重，计算归一化后客户端更新的加权平均值作为全局模型更新，并更新全局模型。 FLTrust 不依赖对客户端数量的假设，且不要求客户端数据独立同分布。实验在六个不同领域的数据集上进行，包括图像分类、文本分类等，结果表明 FLTrust 能够有效防御现有的多种攻击（如模型替换攻击、后门攻击）以及针对性的强自适应攻击。该方法的主要贡献在于引入了基于服务提供商自身数据的信任引导机制，为联邦学习提供了新的安全基线。

联邦学习（FL）允许多方协作训练模型而不共享原始数据，但标准方法（如FedAvg）将每个客户端视为黑盒，无法隔离对抗性贡献者、审计每个客户端的影响，或尊重已退出参与者的被遗忘权。本文提出Fed-FBD（联邦功能块多样化），一种模块化联邦架构，将ResNet骨干网络分解为六个功能块（stem、四个残差组和分类头），并维护一个包含N种颜色变体的仓库，每种变体由独立跟踪和贡献者标记的块组装而成。Fed-FBD提供FedAvg所不具备的三种能力：(i) 架构保障的块级隔离，使对抗性或错误标记的客户端无法污染干净的变体；(ii) 设计上的隐私保护，在应用任何隐私机制之前，成员推断优势已与随机猜测无异；(iii) 在亚秒级成本且无需重新训练的情况下，外科手术式地遗忘已退出参与者的贡献。在六个MedMNIST-2D数据集、224x224的PathMNIST和CIFAR-10上的实验表明，在规模足够的数据集上，Fed-FBD以0.3%-3.1%的IID准确率下降换取这些保证，在四个数据集中的三个上，在Dirichlet alpha=1.0时与FedAvg的差距保持在0.8%-4.0%以内，并且所有六种对抗性攻击都被限制在中毒客户端的自身块内，对干净变体的AUC漂移不超过±0.01。

该论文提出并评估了一个端到端的联邦学习系统，用于在边缘设备上进行无监督的12导联心电图异常检测。系统结合了三种自编码器架构（VanillaAE、ConvAE、VAE），基于Flower框架实现跨十个模拟医院的联邦平均聚合，并集成客户端差分隐私（DP-SGD，使用Rényi-DP会计）和8位整数量化后训练压缩（在树莓派4上测试）。实验使用PTB-XL数据集，表明联邦学习在所有架构上达到或超过集中式基准（ConvAE的ROC-AUC为0.782），隐私预算ε=4被推荐为临床操作点。INT8量化使模型大小减半，树莓派延迟降低44%，且AUC损失小于0.12%。关键发现是差分隐私和量化惩罚可经验独立叠加，因此实践者无需在强隐私保证和小型边缘部署之间权衡。该工作是首个结合联邦学习、形式化(ε,δ)-差分隐私、无监督重建检测和量化AArch64部署的系统，为医疗物联网中的隐私合规实时监测提供了工程基准。

该论文针对量子计算对现有金融加密体系构成的威胁，提出了一种后量子安全的联邦去中心化金融（DeFi）框架，旨在提升因信用记录不足而被传统银行排斥的个人的金融包容性。核心方法包括：多家银行将客户加密数据批量上传至虚拟服务器，采用基于格的全同态加密（FHE）实现端到端同态计算，确保数据在加密状态下完成融合分析；服务器融合本地数据驱动的概率评估、专家信念以及NASA-IBM Prithvi地理空间基础模型（GFM）生成的可验证证据（全部为密文形式）；利用区块链等去中心化技术保证证据的防篡改性和机构间数据交换的可审计问责。该框架以美国弗吉尼亚州农村借款人的农业贷款决策为测试场景，展示了在保护隐私的同时提升贷款覆盖率的潜力。论文的主要贡献在于首次将后量子密码学、联邦学习、FHE与地理空间AI模型系统性地整合到DeFi场景中，为应对量子威胁下的金融普惠问题提供了可扩展的架构方案。适合关注后量子安全、联邦学习、隐私计算及普惠金融的技术研究与安全架构师阅读。

联邦学习（FL）是一种分布式机器学习范式，允许多个客户端在不共享原始数据的情况下协同训练共享模型，从而解决数据孤岛和隐私问题。然而，数据本身也是FL系统面临的主要挑战和脆弱性来源，直接影响训练的稳定性和收敛速度。现有综述通常从整体架构、安全攻击或应用场景入手，缺乏从数据视角的系统性分析。本文填补了这一空白，从数据异构性、数据划分协议和数据相关的安全防御三个方面，首次全面梳理了数据因素对FL收敛的影响。具体地，作者首先将非独立同分布（non-IID）数据分解为可测量的特征（如标签分布偏移、特征偏移、数量偏移等），并根据其对收敛的影响强度分为强、中、弱三个等级，解释了每种偏移影响收敛的机制，并统一了图像、文本和图数据上的实验证据。其次，作者将实验中常用的数据划分方式（如按标签划分、按狄利克雷分布划分）与真实场景中的现象对应，指出了这些划分方式引入的人为偏差（artifact）及其对目标精度的扭曲效应，帮助研究者更合理地设计实验。最后，作者分析了数据相关的安全漏洞（如投毒攻击、成员推断攻击）及其防御机制（如差分隐私、鲁棒聚合）对收敛速度和稳定性的影响，在干净和对抗条件下报告了性能表现，揭示了收敛与鲁棒性之间的权衡。作为首篇全面理解FL中数据挑战的综述，本文为从业者提供了可操作的设计指南，帮助他们构建具有可预测收敛性和稳定性的FL系统。

该论文研究联邦学习（FL）中的模型投毒攻击。传统FL后门攻击主要依赖算法层面操纵训练数据，但本文引入一类新的攻击：利用硬件故障（如Rowhammer）在本地模型参数中注入比特翻转，从而在联邦学习期间植入后门。攻击过程分为离线阶段：攻击者从预训练模型出发，通过分析确定要翻转的比特位；在线阶段：恶意客户端在本地训练时通过硬件故障（比特翻转）修改模型参数，使全局模型在目标任务上保持正常性能，但后门触发时输出攻击者指定的错误结果。实验表明，在ResNet-18等模型上，平均每次恶意客户端出现仅需10次比特翻转，共19次恶意交互即可达到94%的攻击成功率。论文还讨论了攻击的实用性及潜在防御的鲁棒性，并指出Rowhammer是该类威胁的主要攻击向量。该工作揭示了硬件安全与联邦学习安全的交叉风险，对设计防御策略具有指导意义。

本文针对隐私保护的个性化联邦学习（PFL）中应用CKKS同态加密方案时缺乏系统参数选择指导的问题，提出了pFedCKKS框架。该框架将CKKS集成到PFL中，并首次提供了参数选择的系统指南。研究指出，在128位安全级别下，CKKS参数约束可简化为选择两个关键值：内部密文素数和外部密文素数。通过使用Flower框架和TenSEAL库实现，并在FEMNIST、CelebA和Sentiment140数据集上，结合FedFinetune、Ditto和FedPer三种PFL算法进行评估。实验揭示了精度与计算/通信成本之间的经验权衡，从而为实际部署pFedCKKS时选择适当的CKKS参数以平衡效率和准确性提供了具体指导。该工作对于希望使用同态加密保护隐私的PFL实践者具有重要参考价值。

随着物联网和移动设备中海量数据的快速增长，分布式机器学习技术日益受到关注，联邦学习（FL）作为一种保护隐私的分布式学习框架，允许多方协作训练模型而无需共享原始数据。然而，FL容易受到数据投毒攻击，恶意客户端可能通过操控本地数据或模型更新来破坏全局模型。现有防御方案多基于相似度度量或异常过滤，但缺乏对攻击者意图的深度分析，且无法提供可解释的证据来判定恶意客户端。针对这一问题，本文提出了SHERPA，一种利用Shapley加法解释（SHAP）来识别FL系统中潜在投毒者的鲁棒算法。SHERPA的核心创新在于：首先，通过SHAP值计算每个客户端对全局模型的特征贡献；然后，基于特征归因聚类开发一种新的算法来区分投毒者和正常客户端。在多个数据集上模拟了不同场景的数据投毒攻击（包括针对隐私的投毒攻击），实验表明SHERPA能够有效缓解攻击，同时提供可解释性，为聚合过程中剔除恶意客户端提供合理的依据。该方法不仅提升了防御的可解释性，还增强了对投毒行为判定的合理性。本文的研究展示了可解释人工智能（XAI）技术在联邦学习安全防御中的潜力，为后验特征归因在对抗数据投毒攻击中的应用提供了新的视角。

本文研究了联邦学习中信息论安全聚合的容量问题。安全聚合允许服务器在保护用户更新隐私的前提下聚合本地更新。现有信息论问题通常假设由可信第三方（TTP）提供相关随机密钥，或通过预定义的组结构生成，但建立这些相关密钥的通信成本常被忽略。因此，在通用密钥分发机制下的基本极限尚不清楚。本文在包含密钥分发和聚合更新的两阶段框架下，研究了具有N个用户的T-colluding信息论安全聚合问题。与以往工作不同，本文通过用户间通信建模密钥分发，允许任意用户生成的密钥分发机制，消除了对TTP或预定义结构的依赖。这使得能够联合表征三个资源：安全随机性、密钥分发通信和聚合通信。通过构造一种新的安全聚合方案并匹配信息论逆定理，完全刻画了这三个资源之间的容量区域。特别地，本文给出了一个显式的确定性容量达到构造，适用于大小为至少N的任意有限域，而现有方案大多依赖TTP或在大有限域上使用随机或存在性构造。进一步证明，仅使用两两共享密钥即可实现最优性能，从而可通过Diffie-Hellman密钥交换实现。与Google的开创性安全聚合方案相比，所提方案在保持相同聚合通信开销的同时，所需随机掩码密钥更少。该成果为联邦学习中的隐私保护提供了理论基础和实用方案。

本文针对分布式基础设施系统（包括云计算、物联网和边缘架构）面临的日益扩大的攻击面与复杂威胁，提出了一种认知威胁情报与可解释联邦安全分析框架。传统集中式入侵检测方法在可扩展性、数据隐私、通信开销以及AI决策透明性方面存在局限。该框架融合联邦学习（FL）、可解释人工智能（XAI）和认知安全分析，实现跨分布式网络的协作式隐私保护威胁检测。其核心是：各分布式节点本地独立训练安全模型，仅通过联邦聚合机制共享加密的模型参数与更新，而非原始网络流量数据，从而提升隐私保护、降低通信依赖与集中风险。在智能威胁分析方面，框架集成了Random Forest、XGBoost、Autoencoder等机器学习和深度学习算法，并通过XAI提供可解释的检测结果，增强安全分析师对AI决策的信任。实验设计与性能评估部分在摘要中未详述，但作者声称该框架在隐私保护、检测准确率和解释性方面优于传统方法。本文适合联邦安全、可解释AI及分布式系统安全领域的研究者与从业者阅读。

本文针对基于可信执行环境（TEE）的联邦学习聚合协议中的安全漏洞进行了研究。作者首先分析了现有协议，发现服务器端攻击者可以利用TEE的局限性，即状态回滚和I/O操纵，通过操纵客户端选择和重放聚合来破坏系统的鲁棒性和隐私性。为了解决这些问题，本文提出了DIST-FL，一种由多个TEE保护的分布式服务器系统，这些TEE形成一个仅追加账本，用于实现隐私保护和鲁棒的联邦学习聚合。具体而言，DIST-FL通过确保操作线性化来防止状态回滚攻击，并通过纳入来自可靠服务器的输入来缓解I/O操纵威胁。作者在广域网（WAN）环境中实现了DIST-FL并进行了评估。实验结果表明，DIST-FL能够有效抵御所提出的攻击，并且在利用TEE计算优势的同时，其性能与单TEE方案相当，但吞吐量比同类方案提升了6倍。该研究为联邦学习安全聚合提供了新的思路，适合联邦学习、系统安全、隐私保护领域的研究人员和工程师阅读。

该论文提出了一种名为 TITAN-FedAnil+ 的联邦学习框架，旨在解决资源受限智能企业环境中的数据异质性（非独立同分布数据）和去中心化安全威胁。核心贡献包括：1) 基于亲和传播的自适应聚类聚合方法，无需预先知道攻击者数量即可识别并过滤恶意更新；2) GPU 加速向量化技术提升计算效率；3) 轻量级签名状态跳变机制实现区块链快速重同步。实验在 8 GB 边缘设备上进行，经过 50 轮通信后，相比基线框架，内存开销节省高达 81%。研究结果表明，TITAN-FedAnil+ 有效提升了鲁棒性、可扩展性和资源效率，适用于智能企业的安全联邦学习部署。

该论文研究了联邦学习在跨中心败血症早期预测中的应用。败血症早期预测需要多中心医疗数据，但数据隐私和分布式特性阻碍了集中式建模。联邦学习允许多个机构在不共享原始数据的情况下联合训练模型，但其实际性能、鲁棒性和隐私保护优势尚未在真实临床数据中得到充分评估。为此，作者从中国三家三级医院收集了648个临床筛选样本，并制定了严格的纳入排除标准。他们建立了集中式训练范式作为性能基线，然后实现了水平联邦学习框架进行分布式协同建模。大量实验表明，基于联邦学习的模型在预测准确性上与集中式模型高度接近，同时从根本上避免了隐私泄露。进一步的隐私安全分析验证了恶意攻击者无法从传输的模型参数中重建原始患者数据，表明其具有很强的抗数据重建攻击能力。这项工作不仅验证了联邦学习在临床败血症预测中的实用性和安全性，也为隐私保护的多中心医疗协作提供了可靠且可行的解决方案。

该论文提出了一种名为Echelon的跨组织语言模型适应训练架构，旨在解决日益严峻的治理约束问题：在许多部署场景中，设备级模型状态（参数、激活值、优化器状态、每次更新）不能导出到管理边界之外。现有的分布式和联邦学习架构通常假设跨站模型交换，然后再改造隐私机制，这增加了合规复杂性并使审计变得脆弱。Echelon采用“边界优先”的训练架构，将设备级模型状态不导出作为系统不变量。设备在每个边界内本地训练；跨边界的唯一负载是安全聚合的边界级增量以及O(1)的协调元数据，并通过具体的审计接口暴露。将交换限制为聚合值改变了优化问题：系统必须在广域网延迟、异构参与、节点离开和non-IID数据下保持稳定，即使全局层面从未看到每设备更新。Echelon结合了缓冲半异步安全聚合、过时感知加权、参与窗口、近端局部目标和漂移感知外部同步控制器。在2个边界、1B参数LoRA适应的实验中（24.88M token，三个种子），Echelon在固定token、固定字节、固定壁钟时间和固定同步次数预算下，达到了验证损失3.887±0.010，在低通信基线中最佳或并列最佳。在OpenWebText压力测试中，Echelon在各种广域网和non-IID条件下维持2,139-2,176 token/s的吞吐量；Echelon-DA在广域网延迟下相对隐私对等的DiLoCo+SA基线改善了达到目标时间，且在模拟200ms延迟或严重non-IID分区下质量下降不超过2.2%。该工作适合关注跨组织LLM训练隐私合规、联邦学习系统设计的研究人员阅读。

联邦学习（FL）中，异构差分隐私（HDP）允许客户端根据自身策略和数据敏感度选择不同的隐私预算（ε_i）。现有HDP-FL系统常采用ε感知的服务器聚合，通过根据客户端声明的隐私预算重新加权其梯度更新来提升模型效用。然而，联邦学习中的梯度更新保留了由非独立同分布（non-IID）数据引起的结构模式，这些额外信号为诚实但好奇的服务器提供了新的推断机会。本文首先展示了一种隐私推理攻击：服务器利用梯度去噪和代理建模，在现实知识约束下，能够推断客户端的分布属性并在训练轮次间链接同一客户端的更新，通过代理推断准确率和链接成功率衡量。Shuffle-Model作为一种防御手段，通过匿名化更新来源来抵御此类风险，但其与HDP-FL的ε感知聚合本质不兼容。为解决此矛盾，本文提出IntraShuffler，一种面向HDP-FL系统的中间件防御框架。IntraShuffler引入隐私感知的洗牌机制：将客户端分组到隐私兼容的桶中，在每个桶内执行参数级洗牌，以破坏持续的梯度结构，同时保留ε感知聚合。在四个不同数据集上的实验表明，IntraShuffler将梯度可恢复性降低超过60%，代理推断准确率从0.78降至0.33，同时在不同FL聚合规则下保持了可比的模型效用。

联邦学习（FL）是一种去中心化的机器学习范式，允许多个参与方在不共享原始数据的情况下协同训练全局模型。由于各参与方数据质量参差不齐，如何公平地评估每个数据提供者的贡献（即数据估值）成为保障FL公平性的关键问题。现有工作常引入沙普利值（Shapley value）概念，通过测量包含或排除某本地模型参数对全局模型性能的影响来量化贡献。然而，传统的贡献度测量由聚合器或中心化验证者执行，该验证者可能受组织控制而伪造结果，导致估值不公平。本文提出一个具有强公平性的可验证数据估值框架，其核心思想是让所有参与者（数据提供者）都能独立验证贡献度测量结果的正确性，从而杜绝伪造可能性。框架基于沙普利值，但设计了一套可验证的计算协议，确保任何参与方均能对聚合器计算的估值进行校验，而无需信任中心化实体。作者通过理论分析证明了框架满足强公平性（即无法伪造或篡改估值结果）和安全性，并通过实验评估了计算和通信开销，表明其在合理资源消耗下可实现可验证性。该工作为FL中的数据估值提供了可信、公平的解决方案，尤其适用于对隐私和公平性要求高的场景。

本文提出了一种基于多密钥同态加密（MK-HE）的隐私增强零阶联邦学习协议，适用于无线信道环境。传统联邦学习中的同态加密方法主要依赖单密钥方案，需要信道估计或预均衡来补偿无线衰落，且单密钥方案易受诚实但好奇的客户端攻击——一旦某个客户端密钥泄露，整个网络的安全性将受损。多密钥HE方案为每个设备分配独立密钥，提供更强的客户端级安全性。然而，多密钥HE在无线信道上的聚合面临挑战：不同用户的密文在信道上叠加会产生干扰。本文设计了一个四阶段协议，利用xMK-CKKS（一种知名的多密钥HE方案）在共享无线信道上实现无信道估计的聚合。协议通过重传部分公钥和密文利用相同信道实现，使得解密过程中占主导的大模数加密项代数相消。该协议与零阶联邦学习结合，适用于慢变视距主导信道，每个设备每轮仅传输一个加密标量，通信和加密开销与模型维度无关。理论证明，解码后的加密噪声将收敛率保持在O(1/√K)水平，直至可忽略的噪声基底。协议对诚实但好奇的服务器与最多N-1个客户端合谋的场景安全。MNIST数据集上的数值实验验证了理论分析。

联邦学习在保护数据隐私的同时，面临来自恶意客户端的模型投毒攻击威胁，现有防御方法多依赖固定阈值或固定聚类数量来区分恶意梯度与良性梯度，难以适应动态变化的攻击策略，且由于客户端本地数据异构性，容易误丢弃良性梯度。针对这些问题，本文提出一种增强聚类聚合（EnCAgg）方法，利用少量已知良性客户端作为参考，在恶意客户端数量未知且动态变化的情况下，准确识别并过滤恶意梯度，同时尽可能保留良性梯度。具体而言，首先设计基于密度的低维梯度聚类方法，将高维梯度投影到差异最大的两个维度上，采用密度聚类识别恶意梯度，同时保留聚类良性梯度和可能为良性的离群点；其次，提出增强聚类低维梯度生成器模型，学习生成与良性簇边界对齐的伪梯度，作为连接稀疏良性梯度离群点的桥梁；最后，引入低维梯度重聚类，将生成的伪梯度与真实梯度共同聚类，恢复被误分类为噪声点的良性梯度，使更多良性梯度参与聚合。在MNIST、CIFAR-10和MIND数据集上的大量实验表明，该方法在动态投毒场景下具有优异的保真度和鲁棒性。

联邦学习通过不传输原始数据的方式实现分布式模型训练，但平均聚合方法受非独立同分布（non-IID）数据的严重影响，导致收敛速度慢和模型精度下降。现有替代方案具有显著的低效性：带有噪声或高度异构数据的客户端贡献了昂贵的梯度计算，这些计算在聚合前往往被丢弃或大幅降权。这种被动方法浪费计算资源、需要更多通信轮次，并导致不必要的隐私暴露。本文提出一种主动客户端选择框架，旨在训练开始前找到一组最优客户端联邦，其组合数据满足效用和公平性要求。该方法利用从差分隐私列联表计算出的互信息，来量化联合数据集中跨特征相关性的相关性。引入潜在联邦损失（PFL）函数，该函数平衡两个目标：最大化集体数据效用，同时确保公平的跨特征相关性以防止群体不公。将客户端选择表述为在PFL目标上的最优子集搜索问题，使用模拟退火算法求解，并为客户端本地统计提供强差分隐私保证。在四个基准上的实验表明，与均匀采样甚至使用最先进的自适应聚合或采样策略相比，在最优联邦上训练的模型更快、更公平、更准确。

该论文提出了一种高效的联邦学习因果遗忘方法 HF-KCU，用于在不完全重训练的情况下移除特定客户的数据贡献，以满足隐私法规（如 GDPR）的数据删除要求。传统方法从头重训练计算成本极高（O(d^3)），而 HF-KCU 通过 Krylov 子空间中的共轭梯度迭代近似影响函数，将复杂度降至 O(kd)（k<<d）。其核心创新包括：(1) 因果加权机制，仅让持有被删除数据的客户端接收参数更新，避免对其他客户端产生虚假影响；(2) 能够处理有界对抗性扰动（对 Hessian 和梯度的扰动），在现实威胁模型下提供优雅的性能退化。实验在 CIFAR-10、MNIST、Fashion-MNIST 上使用 ResNet-18、SimpleCNN 和 ViT-Lite 架构验证：在 CIFAR-10 上，HF-KCU 比重训练快 47.75 倍，测试精度仅下降 0.60%（71.16% vs 71.76%）；成员推理攻击在遗忘集上的成功率为 0.499，与重训练模型一致，证明有效恢复了隐私。论文还提供了收敛性保证，证明 Krylov 近似误差随 O((κ^(1/2)-1)/(κ^(1/2)+1)) 衰减（κ 为 Hessian 条件数）。该方法的精确性和效率使其适用于异步删除请求且计算预算受限的生产联邦学习系统。

本文提出一个名为XAI FL-IDS的分布式入侵检测系统框架，旨在解决传统集中式IDS存在的两大局限：隐私泄露和缺乏可解释性。当前大多数IDS依赖集中式检测，要求IoT节点将原始数据发送至服务器，不仅增加网络开销，也无法保证数据隐私；同时，传统模型仅报告攻击与否，却不解释特征如何影响决策。作者首先通过联邦学习（FL）实现隐私保护：每个节点在本地训练数据，仅将更新参数（而非原始数据）上传至中央服务器，从而消除数据转移的隐私顾虑。其次，在本地节点和中央服务器两个层级的检测结果上，均使用SHAP（Shapley Additive Explanations）进行可解释性分析，提供决策过程的详细洞察。框架包含一个中央服务器和10个客户端，采用Edge-IIoTset数据集，并在客户端间均衡分布类别。每个客户端运行XGBoost模型。实验表明，该方法在入侵检测中表现稳健，准确率超过99%，有时可达100%。联邦学习的引入保证了每个本地节点网络信息的机密性。本文贡献在于将联邦学习与可解释AI有机结合，为分布式IDS提供了隐私保护与透明度兼具的解决方案。

本文针对空中联邦学习（OTA-FL）系统中的后门攻击漏洞提出了一种两阶段鲁棒聚合防御框架。OTA-FL利用无线信道的叠加特性提升通信效率，但该特性也导致参数服务器无法获取单个客户端的本地更新，从而难以识别和排除被投毒的梯度。此外，在非独立同分布（Non-IID）训练数据下，良性梯度的漂移可能与恶意更新高度相似，进一步加剧了检测难度。为此，作者首先为每个客户端分配一个模态感知的多指标信任分数，根据数据模态（如波形、文本、图像）和模型架构选择最具区分力的指标以捕捉后门更新的特征。基于该分数，参数服务器执行基于信任的多址接入（TBMA），将客户端分为可信、可疑和恶意三类。对于可疑客户端，进一步通过服务器侧的逐层检查和纵向声誉机制进行审查。在多个数据集上的实验表明，该方法能有效抑制多种隐蔽后门攻击（包括有界缩放攻击、欧几里得约束攻击、余弦约束攻击和Neurotoxin），同时保持主任务精度。该研究为OTA-FL的安全部署提供了重要理论支持。

该论文提出了一种用于网络入侵检测的新型联邦学习方法，旨在解决传统联邦学习假设各参与机构数据分布同质的问题。作者指出，不同机构（如金融公司与政府机构）的安全控制成熟度、风险暴露程度存在显著差异，导致其本地模型训练数据本质不同。论文从ISACA的CRISC框架中选取了四个治理指标：控制成熟度（CMM）、已实施控制比例（KCI）、风险指标激活频率（KRI）和平均漏洞评分（CVSS），并将其结合为一个机构一致性指数（ICC）。该指数作为正则化先验，输入到Nelder-Mead联邦权重优化器中，引导权重分配反映机构质量，而不强加固定分配。每个节点训练一个混合朴素贝叶斯分类器，结合分类和连续属性处理。服务器端将本地分布集成为真实高斯混合，保留各节点的统计特性，而非合并为全局参数向量。在NSL-KDD（2009）、CIC-IDS2017（2017）和UNSW-NB15（2015）三个数据集上，在七种狄利克雷异构程度下进行验证。结果表明，ICC正则化方法在F1宏平均上均优于按比例大小的联邦平均：0.9135 vs 0.9076（+0.0059）、0.7556 vs 0.6771（+0.0785）和0.2110 vs 0.2060（+0.0050）。在94个配置中有70个达到统计显著性（McNemar检验，p<0.05）。优化器自动将最高权重分配给机构成熟度最高的节点，最低权重分配给成熟度最低的节点，无需显式排序约束。

该论文针对半导体供应链中假冒集成电路（IC）带来的安全威胁，提出了一种基于联邦学习的隐私保护协同检测方案。传统联邦学习易受拜占庭数据投毒攻击，导致模型聚合被污染。作者设计了一个轻量级的客户端认证框架FedEDAuth，在联邦学习的嵌入层进行身份验证。该方法利用黄金数据集生成参考嵌入分布，通过异常值分析、均值偏移检测和微聚类行为特征，在不访问原始数据或梯度的情况下识别并过滤恶意客户端。实验设置50个分布式参与者，在拜占庭投毒攻击下，FedEDAuth实现了100%的恶意客户端检测率，过滤后联邦模型对假冒IC的分类准确率达到94.17%。该框架可无缝集成到标准联邦学习流程中，为下一代硬件安全解决方案提供了可信联邦学习的关键技术支撑。

本文提出了一种名为 DisAgg 的新型安全聚合协议，用于联邦学习中的隐私保护。在传统联邦学习中，客户端更新直接暴露给中央服务器，存在隐私风险。现有的安全聚合方案虽然能抵御诚实但好奇的服务器，但通常存在通信轮数多、公钥操作重、难以处理客户端掉线等问题。最近提出的单轮私有聚合（OPA）虽然减少了通信轮数，但引入了大量的密码学和计算开销。DisAgg 通过引入一个由少量客户端组成的聚合器委员会来执行聚合操作：每个客户端使用秘密共享将其更新向量分发给聚合器，聚合器本地计算部分和，只返回聚合后的份额给服务器进行重构。这种设计消除了本地掩码和昂贵的同态加密，降低了端点的计算复杂度，同时保护了隐私（抵御好奇的服务器和有限数量的合谋客户端）。通过优化通信与计算成本的权衡，DisAgg 在处理来自 100k 个 5G 客户端的 100k 维更新向量时，相比于之前的最佳协议 OPA 实现了 4.6 倍的加速。论文通过理论分析和实验验证了 DisAgg 在效率、隐私保证和可扩展性方面的优势。

联邦学习（FL）极易受到后门攻击的影响，恶意客户端会向全局模型中注入特定行为。现有的防御方法在真实世界的非独立同分布（non-IID）数据下存在较高的误报率，会错误地将良性客户端标记为恶意，即使正确识别了对手也会导致模型精度下降。本文提出了一种新颖的后门防御方法FedSurrogate，它通过结合双向梯度对齐过滤与层自适应异常检测来解决这一局限性。FedSurrogate通过方向散度分析识别安全关键层，并在这些层上进行选择性聚类，将检测信号集中到低维子空间中。双向软过滤阶段对受信任的客户端进行筛选以去除残留污染，同时从可疑客户端中救回误报，显著减少了异构条件下的误分类。FedSurcore不直接移除确认的恶意更新，而是用来自结构相似的良性客户端的降尺度替代更新来替换它们，从而在保持梯度多样性的同时中和对抗性影响。大量实验表明，FedSurrogate在所有数据集和攻击类型下将误报率保持在10%以下（最接近的可比较基线为31-32%），同时在具有挑战性的non-IID设置下实现了更高的主任务准确率，并将攻击成功率保持在2.1%以下。

本文提出一种名为 DP-LAC 的轻量级自适应裁剪方法，用于解决联邦学习（FL）中差分隐私（DP）随机梯度下降（DP-SGD）的裁剪阈值自调整问题。在联邦微调大规模语言模型（LLM）时，DP-SGD 通过裁剪每个客户端贡献的梯度范数至阈值 C 并添加与 C 成比例的高斯噪声来保护隐私。现有的自适应裁剪方法虽然能动态调整 C，但需要繁琐的超参数调优，且可能消耗额外的隐私预算。DP-LAC 首先通过私有直方图估计在最优阈值的一个数量级内估算初始裁剪阈值，随后在训练过程中在不消耗额外隐私预算且不引入新超参数的情况下自适应调整该阈值。实验结果表明，DP-LAC 在多个任务上平均准确率比当前最优自适应裁剪方法和原始 DP-SGD 提高 6.6%，显著提升了模型效用与隐私保护之间的权衡。该方法特别适用于资源受限的边缘设备场景，为联邦学习中差分隐私的实用化提供了轻量级解决方案。

本文提出了一种针对语言模型联邦学习（FL）训练过程的梯度反转攻击方法GRAB。以往研究表明，梯度反转攻击在视觉模型的连续域中威胁显著，但在语言模型中由于文本数据的离散性，攻击效果通常被认为较弱或依赖于不切实际的训练设置，导致其隐私威胁被低估。GRAB通过混合优化策略克服了实际训练中的挑战：首先，通过层间dropout掩码的同步优化来提升令牌恢复的准确性；其次，采用离散优化以实现有效的令牌排序。实验表明，GRAB在基准设置下可恢复高达92.9%的私有训练数据，相比仅使用辅助模型进行离散优化的攻击方法，恢复率提升达28.9%；在实际设置下提升达48.5%。该工作揭示了联邦学习语言模型训练中此前被忽视的隐私风险，为理解这一新兴训练模式的隐私威胁提供了重要进展。适合关注联邦学习隐私安全的研究人员、语言模型开发者以及安全工程师阅读。

本文提出 Flamingo，一种用于大规模客户端数据安全聚合的系统，特别针对联邦学习中的多轮聚合场景。联邦学习中，服务器需要多次对客户端提交的模型权重进行求和（平均）以训练模型，但必须保证不泄露任何客户端的个体输入。现有协议如 Bell et al. (CCS '20) 主要针对单轮设计，通过重复执行来适应多轮场景，这导致每轮都需要昂贵的设置操作。Flamingo 的主要创新包括：1）消除了每轮设置，大大降低了通信和计算开销；2）提出了一种轻量级的 dropout 弹性协议，当客户端在聚合过程中中途退出时，服务器仍能获得有意义的结果，而无需像之前方案那样重新开始或丢弃整个聚合；3）引入了一种新的本地选择“客户端邻域”的方法（该概念由 Bell et al. 引入），使得每个客户端可以自主决定参与聚合的合作伙伴，从而减少客户端与服务器之间的交互次数。这些技术显著缩短了端到端训练时间。作者实现了 Flamingo 并在 (Extended) MNIST 和 CIFAR-100 数据集上进行了评估，结果表明它能够安全地训练神经网络，且模型收敛精度与无隐私保护的联邦学习系统相当，未出现精度损失。本文适合对联邦学习隐私保护、安全多方计算、高效密码协议感兴趣的研究者和工程师阅读。

联邦学习（FL）面临诸多安全攻击，但学界对其根本原因及有效防御缺乏整体理解。本文系统剖析了现有定向攻击的内部机制，揭示了攻击可行的原因在于：机器学习算法对尾部数据的记忆需求对FL完整性产生重大影响——这一现象此前主要被研究为隐私问题，本文首次阐明了其对模型完整性的关联。通过分析，作者发现对客户端更新施加范数约束（如L2和L∞界）可以显著缓解某些严重攻击。然而，在安全聚合协议中高效实施这些约束面临挑战，因为加密的梯度更新无法直接验证。为此，本文提出RoFL，一种新型安全FL系统，它在安全聚合的基础上扩展了隐私保护的输入验证功能。RoFL利用密码学技术，在不暴露明文更新的前提下，对高维加密模型更新强制执行L2和L∞界约束。实验表明，RoFL在保持模型准确率的同时，能有效防御多种投毒攻击，为FL的鲁棒性提供了可证明的保障。该工作为理解FL攻击的本质及设计实用防御方案提供了理论基础和实践指南。

本文提出 martFL，一种专为安全、可验证的数据市场设计的联邦学习架构。在数据市场中，数据需求方（DA）需要从多个数据提供方（DP）获取高质量训练数据，但直接交换原始数据存在隐私风险。联邦学习通过交换模型或梯度来传递数据效用，但现有架构存在三个关键挑战：1) DA 无法在交易前私下评估各 DP 提交的本地模型质量；2) 现有聚合协议难以有效排除恶意 DP，同时避免对 DA 可能有偏的根数据集过拟合；3) 缺乏公正的计费机制来按贡献分配奖励。martFL 通过两项创新设计解决上述问题：首先，一个质量感知的模型聚合协议，使 DA 即使在根数据集有偏的情况下，也能从聚合中排除低质量或投毒的本地模型；其次，一个可验证的数据交易协议，使 DA 能够以简洁且零知识的方式证明其已按照承诺的权重忠实地聚合了这些本地模型，从而允许 DP 根据其权重/贡献明确索取奖励。作者实现了 martFL 原型，并在多种任务上进行了广泛评估。结果表明，martFL 可将模型准确率提升高达 25%，同时节省高达 64% 的数据获取成本。该工作适用于联邦学习、数据市场、隐私计算等方向的研究者和工程师。

该论文提出了一种名为 FedAttr 的新协议，用于在联邦学习（FL）环境下对大型语言模型（LLM）微调过程进行客户端级别的归属分析。传统的基于水印的放射性检测方法已证明在集中式LLM微调中有效，但在联邦学习中面临挑战：联邦学习依赖安全聚合（SA）来保护客户端更新的隐私，这使得检测哪个客户端使用了带水印的数据变得困难。FedAttr 通过配对子集差分机制实现客户端归属，同时不破坏安全聚合的隐私保证和联邦学习性能。协议分三步：首先，通过两次安全聚合查询的差分估计每个客户端的更新；其次，利用差分评分机制通过水印检测器对估计结果打分；最后，使用Stouffer方法跨轮次合并分数。理论分析表明，FedAttr 能产生每个客户端更新的无偏估计，且每轮互信息泄漏量为 O(d*/N)。实验结果显示，FedAttr 在真实数据集上实现了100%的TPR和0%的FPR，在TPR上至少优于所有基线44.4%，在FPR上至少优于19.1%，且仅增加FL训练时间6.3%的额外开销。消融研究证实了其对协议参数和配置的鲁棒性。该工作填补了联邦LLM微调中隐私保护客户端归属的空白，特别适用于数据版权保护场景。

该论文提出了一个名为CLAD的综合框架，用于解决物联网（IoT）和工业物联网（IIoT）环境下的入侵检测问题。随着IoT设备的激增，网络攻击面大幅扩大，传统集中式入侵检测系统面临隐私和扩展性挑战。联邦学习（FL）提供了一种隐私保护方案，但现有FL-based IDS难以处理设备行为的异质性，且通常无法利用大量未标注数据。CLAD通过结合聚类联邦学习（CFL）和一种新颖的双模式微架构（DM²A）来同时解决这两个瓶颈。DM²A包含一个共享编码器和两个分支，分别用于无监督异常检测和有监督攻击分类，从而能够从标注和未标注客户端中提取知识。聚类组件根据流量模式动态分组设备，防止全局模型发散。实验表明，在80%未标注客户端的场景下，CLAD相比现有基线方法实现了30%的检测性能相对提升，且通信开销减半。该框架适合关注隐私保护型IDS、联邦学习在网络安全中应用的研究者和工程师。

本论文提出一种针对联邦学习的训练时后门攻击方式，使恶意服务器能够系统性地提取客户端完整训练样本。传统数据提取方法往往只能概率性重建或产生幻觉，无法精确恢复原始数据。该方法通过修改训练过程，在模型中嵌入一个后门触发器，当输入特定索引模式时，模型会直接输出对应训练样本。由于输出尺寸限制，攻击者将样本分割为多个补丁依次提取，并在服务器端重组。攻击仅需对训练代码做微小修改，客户端验证难以察觉，构成联邦学习供应链安全威胁。实验覆盖分类器、分割模型和大语言模型，显示可以数千计地恢复敏感样本，且对主任务性能影响极小（如医学分割数据集仅降低3%准确率）。研究揭示了联邦学习系统中数据隐私的重大漏洞，强调加强分布式训练管道完整性和透明性的必要性。适合联邦学习安全研究员、隐私保护工程师阅读。

该论文提出 ZKSL，一个可验证且高效的拆分/联邦学习框架，将训练过程与零知识证明相结合。核心目标是实现联邦学习的隐私保护与可验证正确性，同时避免高昂的证明开销。ZKSL 通过三个设计支柱实现： (i) 层间并行证明，逐层生成证明并聚合； (ii) PC-PLONK，引入专用的隐私承诺列来高效强制执行跨层一致性，避免在电路内进行哈希（在论文规模下不可行）或脱离电路进行哈希（破坏零知识信任模型）； (iii) 异步计算-证明调度（K-window），将随机梯度下降与证明解耦，使训练过程不会因证明生成而停滞。论文提供了开源原型，包括立即可用的配置和脚本，可复现 LeNet（两方）和 DeepFM（三方）上的关键结果。它产生结构化日志，记录前向/梯度/反向各阶段的证明生成时间。预期结果是，在启用分层并行时，前向和反向阶段的证明时间显著减少，并且在异步调度下端到端吞吐量更高，与论文图表中报告的趋势一致。该工作适合关注隐私保护机器学习、联邦学习安全性和可验证计算的研究人员和工程师阅读。

该论文提出了一种基于图的网络入侵检测系统（GNIDS）与联邦学习（FL）相结合的方法 Entente，旨在解决传统 GNIDS 在分布式数据收集场景下因隐私法规和运营限制而难以实现集中式数据的问题。现有 GNIDS 主要假设数据集中存储，但现实中不同组织的数据可能因隐私保护无法共享。作者利用联邦学习使得多个客户端（如不同组织的网络）在不共享原始数据的情况下协同训练检测模型。然而，直接将 FL 应用于 GNIDS 面临挑战：不同客户端之间的图数据存在异构性（例如网络拓扑结构差异），且不同 GNIDS 的设计选择不同。为此，Entente 引入了一套针对图数据集的新技术：参考图合成（Reference Graph Synthesis）用于生成统一的参考图以缓解异构性；图草图（Graph Sketching）用于高效地压缩图数据并保留关键结构信息；自适应贡献缩放（Adaptive Contribution Scaling）用于平衡各客户端对全局模型的贡献，防止某些客户端主导训练。实验使用三个大规模数据集（LANL、OpTC 和 Pivoting）进行评估，结果显示 Entente 在检测准确率和鲁棒性上优于现有的 FL 基线方法。此外，论文还针对 GNIDS 场景设计了特定的联邦学习投毒攻击，并证明 Entente 能够将攻击成功率限制在较低水平，展现了其鲁棒性。总体而言，该研究为构建跨组织边界的分布式 GNIDS 提供了有前景的方向。

本文提出了一种名为 WhiteCloak 的协议，旨在解决联邦学习安全聚合场景下匿名恶意客户端的问责问题。在安全聚合中，客户端数据通过加密手段聚合，保护了用户隐私，但也使得恶意客户端可以匿名破坏模型而不被追责。WhiteCloak 通过一种可验证的匿名身份绑定机制，在聚合过程中为每个客户端生成唯一但匿名的凭证，使得服务器在聚合后能够识别并排除恶意客户端，同时不泄露其真实身份。该协议结合了密码学承诺、零知识证明和可追溯签名，实现了隐私保护与问责性的平衡。实验表明，WhiteCloak 在额外计算开销可接受的前提下，有效提升了联邦学习系统的安全性。

联邦学习（FL）允许多个客户端协同训练模型而不共享原始数据，但面临梯度反转攻击（GIA）的威胁，攻击者可从共享梯度中重建私有数据。现有防御方法要么在嵌入式平台上计算开销过高，要么无法同时保证隐私保护和模型效用，且许多方法易被了解防御细节的自适应攻击者绕过。为此，本文提出SVDefense，一种基于截断奇异值分解（SVD）的梯度混淆防御框架。SVDefense包含三项关键创新：1）自适应能量阈值（Self-Adaptive Energy Threshold），根据客户端脆弱性动态调整SVD截断阈值；2）通道级加权近似（Channel-Wise Weighted Approximation），有选择地保留关键梯度信息以维持模型训练效果，同时增强隐私保护；3）层级加权聚合（Layer-Wise Weighted Aggregation），在类别不平衡下实现有效的模型聚合。实验评估在图像分类、人类活动识别和关键词识别等多个应用上表明，SVDefense在提供强大隐私保护的同时对模型精度影响极小，且可在多种资源受限的嵌入式平台上实际部署。论文若被接收将公开代码。

本文针对联邦学习（FL）中梯度、模型更新和发布表示可能泄露敏感属性的隐私问题，提出了一种名为高斯隐私保护器（Gaussian Privacy Protector, GPP）的数据发布框架。GPP针对连续高维输入，学习一个随机编码器，将原始数据映射到低维的消毒表示。编码器通过变分下界最小化发布表示与指定敏感属性之间的互信息，同时通过交叉熵项保留指定效用属性，并引入拉格朗日乘子β控制权衡。随后，作者将GPP扩展到联邦设置：每个客户端训练本地编码器，敏感标签不出客户端，聚合器仅接收消毒表示，从而在标准FL的“原始数据保留本地”保证之上提供实例级隐私保护。在三个基准数据集上评估：MNIST（数字和效用、奇偶敏感）、CelebA（微笑与性别）和HAPT-Recognition（活动与主体身份），结果表明GPP的效用与无约束自编码基线相差约一个百分点，同时将对手的AUC降至接近随机猜测水平。该方法为隐私敏感型应用（如医疗传感器、物联网设备、可穿戴设备）中的数据发布提供了一种有效的隐私-效用权衡方案。

本文针对联邦学习中的隐私保护问题，提出了一套完整的隐私保护机器学习工作流，专注于敏感表格数据。首先，结合匿名化与差分隐私技术，在数据层面和模型训练层面提供隐私保障。其次，对客户端漂移（client drift）给出了正式定义，并设计了检测方法以减轻投毒攻击的影响。核心贡献在于提出了一种基于重识别风险度量的个性化全局差分隐私预算分配方法，允许为网络中不同客户端分配差异化的隐私预算。在公开的医疗记录数据集上的实验表明，与固定全局差分隐私预算的方案相比，所提出的个性化预算方法在两个误差指标上取得了更优的模型性能。该工作流涵盖了从数据预处理到模型聚合的全流程，为敏感数据场景下的联邦学习实践提供了系统性的隐私保护框架。

联邦学习（FL）易受到投毒攻击，恶意客户端会上传篡改的模型更新以降低全局模型的性能。现有的检测方法虽能识别并移除恶意客户端，但模型已受污染，仍需恢复。从头再训练虽然有效但成本高昂，而现有的遗忘方法在效果和效率上均不理想。本文提出联邦对抗遗忘（FAUN），一种轻量级框架，仅保留恶意客户端最近一小段更新历史，并利用代理数据集进行对抗优化，生成能消除恶意方向的更新。通过少量遗忘轮次应用这些更新，随后进行良性微调，即可快速移除恶意影响并稳定恢复。在三个经典数据集上的实验表明，FAUN 能达到与再训练相当的恢复效果，且所需轮次大幅减少，攻击成功率降至接近零，证明了 FAUN 成功消除了被遗忘客户端的贡献。

本文提出了一种针对联邦学习（FL）中拜占庭攻击的多层防御自适应聚合方法（AdaBFL）。联邦学习允许客户端在不共享原始数据的情况下协作训练模型，但其分布式特性使其容易受到投毒攻击，恶意客户端可能提交损坏的模型以操纵全局模型。现有的拜占庭鲁棒方法要么无法平衡对抗多种攻击类型，要么依赖服务器持有数据集。为此，AdaBFL设计了一个新颖的三层防御机制：第一层通过统计检测异常更新，第二层采用加权平均聚合，第三层自适应调整各防御算法的权重以应对复杂攻击。该方法在非凸非独立同分布（non-iid）数据设置下提供了收敛性保证。在多个数据集上的实验表明，AdaBFL在防御效果上优于对比算法，且能有效应对多种攻击类型的混合场景。研究贡献包括：提出自适应多层防御框架、证明收敛性、以及实验验证鲁棒性。适合联邦学习安全研究者及关注隐私保护与鲁棒性的工程师阅读。

联邦学习（Federated Learning）因其能够保护参与者数据隐私而闻名。然而，近期出现的模型逆向攻击（Model Inversion Attacks, MIAs）表明，恶意的参数服务器可以从模型更新中重建用户的本地数据样本。现有的最先进攻击要么依赖计算密集型的迭代优化方法来重建每个输入批次，导致难以扩展；要么需要恶意参数服务器在全局模型架构前添加额外模块，使得攻击过于显眼且容易被检测。为了克服这些局限，本文提出了Scale-MIA，一种新型的模型逆向攻击，能够高效且准确地从聚合模型更新中重建本地训练样本，即使系统受到鲁棒的安全聚合（Secure Aggregation, SA）协议保护。Scale-MIA利用模型的内部架构，将潜在空间（Latent Space）识别为破坏隐私的关键层。它将复杂的重建任务分解为创新的两步过程：第一步，利用精心设计的线性层，通过闭式反演机制从聚合模型更新中重建潜在空间表示（LSRs）；第二步，将LSRs输入微调后的生成式解码器，重建整个输入批次。作者在常用机器学习模型上实现了Scale-MIA，并在多种设置下进行了全面实验。结果表明，与最先进的MIAs相比，Scale-MIA在不同数据集上均取得了优异的性能，在更大规模下表现出高重建率、高准确性和高攻击效率。代码已开源。