利用软提示对联邦提示微调实施隐私攻击

arXiv:2601.06641v4 公告类型：替换 摘要：成员推断攻击（MIAs）对联邦学习（FL）构成了严重的隐私威胁。尽管成员推断攻击在标准联邦学习中已得到广泛研究，但近期向联邦微调的转变引入了新的、尚未得到充分探索的攻击面。在本研究中，我们表明，利用轻量级输入前缀来适配预训练基础模型的联邦提示微调，暴露了一种新颖且有效的成员推断攻击途径。我们提出了 PromptMIA，这是一种专门针对联邦提示微调的成员推断攻击：恶意服务器引入以对抗方式精心构造的提示，并利用这些提示在协作训练期间的更新，判断目标数据点是否属于某个客户端的私有数据集。我们通过安全博弈对这一威胁进行形式化描述，并证明 PromptMIA 在多种基准数据集上均能取得较高的攻击优势，显著优于当前最先进的联邦成员推断攻击。我们还给出了攻击优势的理论下界，用以解释实证观察到的行为。最后，我们表明，现有的成员推断攻击防御措施往往无法有效抵御 PromptMIA，这凸显了针对联邦环境下的提示微调设计专用防御机制的必要性。