联邦艺术追踪：联邦微调中的隐私泄露与数据投毒

arXiv:2610.21547v1 发布类型：新 摘要：联邦学习（FL）正越来越多地用于将预训练、集中式微调的模型适配到保留在用户设备上的数据，而不仅仅是从头开始训练模型。在这份为第 4 届 Federated Machine Learning International Summer School 编写的报告中，我们通过一个可复现的流程研究了这种方法的隐私性与完整性。我们首先使用十个 Quick, Draw! 类别对 ImageNet 预训练的 MobileNetV4-Conv-Small 模型进行集中式微调（测试准确率为 97.50%），随后在十个非独立同分布（non-IID）客户端上采用仅更新模型头部的 FedAvg 进行适配，使客户端训练准确率从 90.34% 提升至 91.49%，同时保持全局准确率不变。我们评估了四种对抗场景。第一，在仅有一个客户端进行一步更新的情况下，诚实但好奇的服务器可以恢复完整的私有标签集合，但其重建结果遵循的是类别原型，而非私有绘图（平均 SSIM 为 0.130）。第二，从一轮 FedAvg 聚合结果中恢复标签数量时，准确率从单客户端情况下的 87.5% 降至五个和十个客户端情况下的 75.0%，低于不掌握任何信息时均匀猜测的 80.0%。第三，在 FedAvg 下，由 30%、50% 和 100% 的客户端注入的后门，其攻击成功率（ASR）分别达到 21.9%、31.3% 和 54.7%，而干净数据准确率的损失最多为 0.8 个百分点；相比之下，标签翻转只有在大多数源类别数据都被重新标记时才有效。第四，使用集中式微调阶段保留的根数据集的 FLTrust，可将恶意客户端占比为 30% 和 50% 时的后门 ASR 分别降至 1.8% 和 4.0%，并将标签翻转 ASR 从 12.6% 降至 0.8%，且不会造成可测量的干净数据准确率损失；但当所有客户端均为恶意客户端时，它无法提供保护。报告最后介绍了一场现场活动，参与者通过 Indigma 的 FedMaestro 编排器绘图、微调并投毒模型。代码和已执行的笔记本可在 Google Colab 上运行，地址为：https://github.com/Indigma-Innovations/fl-summer-school。