该论文关注联邦学习(FL)中一类被现有防御忽视的威胁模型。传统 FL 防御普遍假设攻击者是静态的、彼此独立的(例如固定比例的投毒客户端或互不配合的恶意节点),因此可以依靠单客户端行为异常或鲁棒聚合规则将其过滤。作者指出这一假设可被"动态自适应"攻击系统性突破,并据此提出 Fed-ADR 攻击框架。Fed-ADR 的核心是引入一个恶意编排服务器(OS),它充当攻击方的协调中枢,实时调度一组异构的对抗客户端:其中既有以降低全局模型可用性为目标的非定向攻击者,也有以诱导模型偏向特定目标为目标的定向攻击者。在 OS 的实时协调下,恶意客户端不再使用固定或随机的梯度扰动,而是有策略地调整自己的梯度更新,使其在参数服务器(PS)侧看来尽量贴近正常更新的分布,从而规避多种当前最先进的鲁棒聚合与检测防御,同时持续削弱全局模型性能或将训练推向攻击者期望的方向。作者同时给出缓解方案:检测模块利用客户端的历史更新来估计其"真实梯度",据此实时识别协同恶意行为,且不引入额外通信或计算开销;恢复模块是"原位"(in-situ)的,即无需重启训练即可把全局模型性能拉回,保持收敛性并缩短恢复时间。实验在 MNIST、Fashion-MNIST 和 CIFAR-10 上进行:Fed-ADR 可把全局准确率从 90% 以上压到 10% 以下,并绕过多项 SOTA 防御;启用检测与恢复后,系统能在数轮之内识别恶意客户端并把准确率恢复到 90% 以上,且相比从头重训至少降低 20 倍计算开销。