《Applied Sciences》：FedSTIP-Tuning: Federated Black-Box Prompt Tuning with Aggregate-Only Feedback and Common-Candidate Optimization
编辑推荐：
专业术语翻译：联邦黑盒提示调优（Federated Black-Box Prompt Tuning）使各组织能够在不对中心化其标注数据的前提下适配一个专有的冻结语言模型，但局部搜索状态聚合并不能直接定义一个共享的池化数据目标，且客户端特定反馈可能泄露隐私信号。
专业术语翻译：联邦黑盒提示调优（Federated Black-Box Prompt Tuning）使各组织能够在不对中心化其标注数据的前提下适配一个专有的冻结语言模型，但局部搜索状态聚合并不能直接定义一个共享的池化数据目标，且客户端特定反馈可能泄露隐私信号。研究人员提出了FedSTIP-Tuning，该方法在跨孤岛（cross-silo）场景中，将基于置换的三方受保护前向传播（permutation-based protected forward propagation）与公共候选种群（common-candidate population）及成对掩码损失聚合（pairwise-masked loss aggregation）相结合。所有参与客户端评估相同的提示候选，协调者对其样本加权聚合损失进行排序，从而在完全参与条件下优化固定客户端分片并集上的经验目标。在所声明的半诚实（semi-honest）与非共谋（non-collusion）假设下，聚合层隐藏了每个发布损失向量的客户端级分解，而聚合值及执行元数据仍对其授权方可见。在RoBERTa-large上，在匹配的前向预算下，FedSTIP-Tuning在AG News、SST-2和DBpedia上分别比评估中最强的FedBPT配置高出6.40、2.66和7.60个百分点。其受保护前向在600次配对生成中保持了所有候选排名，并且在RoBERTa-base暖路径和冷路径上分别比通用交互式两方计算参考快861倍和957倍，在RoBERTa-large上快694倍和578倍。
论文解读文章：
一、研究背景与问题
预训练语言模型（Pre-trained Language Models, PLMs）通常以服务形式提供，而非直接分发给每个数据持有方。在跨孤岛适配场景中，模型提供方拥有冻结模型，而多个组织（如医院、金融机构或企业）各自持有针对共同下游任务的小型但敏感的标注数据集。集中这些样本或披露模型参数均不可取。此外，仅将记录保留在本地并不能保护客户端标识的优化反馈免受协调方窥探：即使原始样本从未离开客户端，客户端特定的损失、排名和样本数量也构成通向模型所有者的第二观察通道。输入式软提示调优（input-only soft-prompt tuning）保持模型冻结，黑盒调优（Black-Box Tuning, BBT）通过前向评估而非梯度在低维提示空间中搜索。现有联邦黑盒方法提供了有用的优化基线，但组合独立演化的局部状态通常不等于在客户端样本并集上评估单个候选。仅前向访问还引入了系统问题：每次生成在多个客户端上评估候选种群，任何每次推理的开销都会乘以种群大小、客户端数量和生成次数。这促使研究人员提出显式的、公共候选的全局目标。受保护Transformer推理解决了设计中的互补部分：STIP在其声明的信任假设下提供三方变换前向底层，而SecP-Tuning使用基于交互式多方计算（MPC）的前向调优架构。两者本身均未指定全局无导数更新所消费的固定名册多客户端损失向量。因此，研究人员研究带有冻结专有模型、公共候选和仅聚合客户端反馈的联邦黑盒调优。
二、研究内容与结论
FedSTIP-Tuning将一个CMA-ES种群分发给固定客户端名册。客户端通过基于置换的受保护前向接口在其完整局部训练分片上评估每个候选，掩码其损失和向量，并让协调者仅恢复用于排名的样本加权聚合适应度。反馈保证刻意限于每个聚合的客户端级分解；聚合记录本身仍是授权观察。主要贡献包括：指定同时通过三方基于置换的受保护前向保护客户端私有数据和模型所有者的冻结模型的协议，结合固定名册、成对掩码反馈，并在半诚实、非共谋威胁模型下陈述各方的授权视图；将公共候选、样本加权适应度表述为池化经验目标，区别于独立优化的局部状态的聚合，使全局目标在异构标签分布下保持良定义；在效用、排名稳定性和相对于明文执行及通用交互式两方计算参考的前向成本方面评估实例化的仅编码器设置。在RoBERTa-large上，FedSTIP-Tuning在AG News、SST-2和DBpedia上分别达到83.78%、85.58%和84.74%的平均准确率，在匹配前向预算下分别超过最强评估FedBPT配置6.40、2.66和7.60个百分点。受保护前向在600次配对生成中保持所有候选排名，在RoBERTa-base暖路径和冷路径上分别比通用交互式两方计算参考快861倍和957倍，在RoBERTa-large上快694倍和578倍。
三、关键技术方法
研究人员采用了以下主要关键技术方法：基于置换的受保护前向接口（STIP），在可信执行环境（TEE）内执行可信嵌入、特征置换、行变换和输出恢复，使批量Transformer计算在不可信加速器上对变换表示运行；投影式黑盒提示搜索，使用固定随机投影和初始化将低维内在候选映射到模型嵌入空间；CMA-ES（协方差矩阵自适应进化策略）作为基于排名的无导数优化器；成对掩码安全聚合，客户端对通过Diffie–Hellman密钥协商建立会话级共享秘密，每代派生新鲜掩码，掩码在聚合中成对抵消；固定点编码与环上聚合，使用64位环和固定点尺度编码实数损失。实验使用RoBERTa-large（24层，隐藏大小1024）和RoBERTa-base（12层，隐藏大小768），在AG News、SST-2和DBpedia三个掩码语言模型文本分类任务上评估，采用每类少量样本训练和验证划分，五个跨孤岛客户端完全参与，Dirichlet标签偏斜模拟强标签异构性。
四、研究结果
6.2.2 总体效用与目标对齐（RQ1）：FedSTIP-Tuning在RoBERTa-large上于AG News、SST-2和DBpedia分别达到83.78%、85.58%和84.74%，相对零提示模型分别提升10.23、7.37和8.55个百分点。在两种Dirichlet标签偏斜水平下结果完全一致，因为对于固定池化训练集、完全参与和公共候选，仅改变分配不改变精确的样本加权目标。与集中式BBT对照比较，每代损失差异至多1×10-6，候选排名和CMA-ES均值在100代内完全一致，证明联邦聚合和保护前向保留了与集中优化相同的优化轨迹。
6.2.3 可比预算下的优化成本（RQ2）：在匹配前向预算下，FedSTIP-Tuning在每个数据集和两种偏斜下均具有最高五种子均值。在α=0.5时，超过最强FedBPT解释的边际为AG News 6.40个百分点、SST-2 2.66个百分点、DBpedia 7.60个百分点，Cohen's d分别为5.44、2.96和3.96。FedSTIP使用100个同步轮次，每轮11.48秒，总耗时1148.0秒；FedBPT变体使用24轮，每轮46.69/47.19秒，总耗时1120.7/1132.6秒。通信方面，FedSTIP下行链路约为20 MB（100代累积），而FedBPT约为240 MB。搜索预算分析显示，从10代增加到100代，平均准确率从76.13%提升至83.78%，平均墙钟时间从1.92分钟近似线性增至19.13分钟。
6.2.4 受保护前向：正确性与测量成本（RQ3）：保护路径与明文路径在FP32下非逐位一致，198个压力单元中最大全logit绝对差异为0.02077，但所有25,344个硬决策一致，六次完整100代运行中每个候选排列和影子CMA-ES转换均匹配，最终检查点标识符全部相同。RoBERTa-base保护暖路径需0.314秒，对比明文0.2894秒，约8.6%开销；RoBERTa-large保护暖路径1.1628秒，对比明文1.0654秒，约9.1%开销。通用CrypTen两方计算路径在RoBERTa-base上暖路径需270.59秒、冷路径346.28秒，分别约861倍和957倍慢于保护执行；在RoBERTa-large上暖路径807.34秒，约694倍慢，通信量936.03 GB，35,144轮。线性投影表明，10,000次顺序保护前向约0.87小时，而通用两方计算参考约751.65小时。
6.2.5 客户端规模系统行为（RQ4）：分析性成本显示，一次性成对秘密数随K二次增长，每代候选下行链路随K线性增长，每代损失上行链路在K=5时为840字节（800字节损失加40字节样本计数坐标）。协议编排计时显示，Diffie–Hellman建立和掩码生成随K增长最强，而损失上传和聚合保持在毫秒范围。
五、讨论与结论
研究人员指出，当前研究评估了仅编码器RoBERTa模型的适配，假设完全参与、非共谋和受保护的受保护前向边界。公共候选目标和损失聚合不依赖编码器注意力，协议架构原则上可用于仅解码器模型，但其受保护前向路径需保留因果掩码和所选提示条件损失，生成输出、KV缓存和端到端性能需单独实现和评估。跨代聚合损失、执行元数据、丢弃恢复、恶意行为、更大客户端名册、更大训练集、额外数据集以及现实网络和硬件多样性均不在已建立保证和测量范围内。五种子中数据采样、Dirichlet划分、随机投影及其初始化和优化器随机性共同变化，报告离散度无法分离各来源对准确率或方法间边际的贡献，需专门消融研究。丢弃容忍版本将优化活动集目标，除非恢复原始名册。研究结论为：FedSTIP-Tuning在三个任务、两种评估RoBERTa规模和两种异构水平下产生正向提示增益，在匹配前向预算下超过审计的FedBPT配置，并保持与集中式黑盒调优相同的优化轨迹；保护执行在评估矩阵中保持所有协议消费决策，RoBERTa-large保护前向开销（9.1%）与RoBERTa-base开销（8.6%）同数量级；保护前向保持接近明文推理，而通用CrypTen两方计算参考慢数百倍并需数百GB通信。
