基于频谱特征识别的鲁棒联邦学习用于恶意客户端检测

《RELIABILITY ENGINEERING & SYSTEM SAFETY》：Spectrum-feature-aware robust federated learning for malicious client detection

　　

摘要

在联邦学习中，防御投毒攻击面临诸多挑战，因为服务器在可观察性有限的情况下必须做出安全决策，往往只能依赖客户端上传的更新数据。在异构联邦学习环境中，这一问题更为突出：非独立同分布的数据以及训练数据的多样性可能导致良性与恶意更新在可观察的更新空间中重叠，而适应性攻击者则进一步削弱固定阈值过滤方法的可靠性。为应对这些相互关联的挑战——即区分度不足和决策稳定性差——我们提出了一种基于频谱特征的框架，用于检测联邦学习中的恶意客户端。该方法将客户端更新映射到频谱域，提取结构化的能量分布特征，从而更有效地区分良性行为与恶意操作。随后，它结合马氏距离异常得分与动态阈值，使过滤决策能够根据训练过程中的良性数据多样性进行调整。通过在聚合之前过滤可疑更新，该框架降低了多轮训练中投毒攻击的累积影响。我们在多种数据集上针对典型的投毒场景评估了所提方法，并从检测效果和鲁棒性等多个角度展示了结果。实验表明，该方法在保持任务实用性的同时提升了检测效率和抗攻击能力，且在异构联邦学习场景中表现出更稳定的防御性能。

引言

联邦学习面临着一个严峻的现实：攻击者仅需少量资源就能造成严重损害[1]、[2]、[3]。Bagdasaryan等人[4]证明，在一轮训练中，一个恶意参与者即可实现100%的后门准确率，同时仍保持较高的正常性能。在医学影像领域，十个客户端中只要有一个恶意客户端，就能在精度下降不到2%的情况下实现超过90%的攻击成功率[5]。随着联邦学习在医疗、金融和移动系统中的广泛应用，其面临的风险也日益增加——Verizon在2025年的DBIR报告中指出，协作型安全事件的比例每年从15%上升至30%，而IBM估计平均一次数据泄露的成本为488万美元[7]，这些成本还会波及整个联邦学习联盟。这一核心问题的根源在于联邦学习的设计理念：为保护本地数据隐私，中央服务器无法查看各个客户端的贡献数据，这就形成了一个被攻击者刻意利用的可观察性缺口。当采用安全聚合等隐私增强机制时，这一缺口会变得更加明显。

除了传统的安全指标外，联邦学习中的投毒攻击还可能给工程系统带来可靠性和安全性方面的风险。在那些注重可靠性的联邦学习应用中，比如分布式预测性维护、风力涡轮机故障诊断、智能电网异常检测以及制造设备监控等，被污染的客户端更新可能会掩盖早期故障迹象，导致全局模型未能发现潜在的故障问题。这类漏检可能会导致维护工作延迟、意外停机、经济损失或安全隐患。因此，在数据聚合之前检测恶意客户端可以被视为一种可靠性风险控制机制，旨在防止被篡改的更新降低全局模型的故障诊断或异常检测能力。

正是由于这一可观察性缺口，人们提出了大量联邦学习中的投毒防御方法，这些方法大致可分为三个发展方向。早期的以聚合为中心的防御方法[8]、[9]、[10]、[11]、[12]、[13]试图在聚合阶段直接限制恶意行为的影响。它们的基本假设是良性客户端更新相对一致，而恶意更新则表现为更新空间中的异常值。这类设计简单实用，但在面对非独立同分布的数据以及复杂的训练环境时，其可靠性就会下降。在这样的环境下，良性更新可能会自然分散，使得“异常值”这一假设不再成立，恶意更新也就有可能混入正常的变异之中。为了提升这类环境下的区分能力，后来的防御方法[14]、[15]、[16]、[17]、[18]、[19]引入了检测与抑制相结合的流程，先识别出可疑客户端，然后在聚合阶段实施动态抑制。与早期方法相比，这些方法利用了更丰富的信号，如聚类结构和时间模式，因此通常对数据多样性有更强的抵抗力。然而，其中许多方法仍然依赖于较为粗略的聚合级可观察数据。在面对适应性投毒攻击时，攻击者可以操纵每轮的统计数据和时间趋势，缩小良性与恶意得分分布之间的差距，从而逐渐削弱检测器的可靠性。

最近的防御方法[20]、[21]、[22]、[23]、[24]通过使用结构化的更新表示方式进一步提升了区分能力，减少了对粗糙信号的依赖，同时也提高了对伪装型规避手段的抵御能力。另一类研究则着眼于构建注重可靠性的信任与声誉机制，以此来应对联邦学习中不可靠或恶意的客户端。例如，基于贝塔二项式或狄利克雷分布的信任模型，通过积累客户端历史上的良性或可疑行为数据来评估其可靠性。这些方法能够提供可解释的长期信任评分，但对于新近被攻破、行为不稳定的或具有适应能力的恶意客户端，反应可能较为迟缓。相比之下，我们的方法侧重于在数据聚合之前，从上传的更新数据中提取频谱结构特征，以实现当前轮次的异常检测。因此，频域检测与概率信任建模是相辅相成的：前者能够捕捉即时更新中的异常情况，后者则能反映客户端的长期可靠性。尽管取得了这些进展，仍有两个问题尚未解决。首先，在高度异构且投毒行为隐蔽的情况下，区分度仍然有限，因为良性数据的变异可能与恶意行为在可观察的更新空间中重叠，尤其是对于那些依赖几何一致性或粗糙统计数据的检测方法而言。其次，即便使用了更复杂的表示方式，决策边界仍然容易受到数据分布变化的影响：在不同的模型架构、训练阶段以及非独立同分布场景下，特征分布都可能发生变化，从而导致阈值调整和跨轮决策的不稳定。恶意客户端检测本质上需要在检测效果与任务实用性之间取得平衡。过于严格的过滤策略可能会错误地拒绝那些因数据特性而产生自然偏差的良性更新，进而减少有用的训练信息；而过于宽松的策略则可能无法检测到恶意更新，使其进入聚合流程。因此，我们的方法会根据每轮的异常得分统计情况动态确定检测阈值，旨在在避免遗漏恶意更新和误拒良性更新之间找到平衡，同时抑制投毒攻击的影响，保障任务功能的正常发挥。

为了解决这些挑战，我们提出了一种新的基于频谱特征的强大联邦学习方法，用于检测恶意客户端，其主要贡献如下：

• •
  我们提出了一种基于频谱特征的客户端更新处理方法。通过将更新数据映射到频谱域并提取结构特征，该方法能够捕捉良性与恶意更新在频谱能量分布上的差异，为异常识别提供更有结构的依据。
• •
  我们设计了基于马氏距离的异常度量指标，并采用了动态阈值策略。在每次聚合之前，首先过滤掉可疑更新；同时，该策略旨在保留良性数据的多样性，从而在非独立同分布环境下降低误分类的风险。
• •
  我们在多种数据集上针对典型的投毒攻击进行了实验测试。从检测能力、攻击抑制效果以及处理后全局模型的实用性等多个角度展示了所提方法的优势，证明了其在复杂场景下的高效性与稳定性。

本文的结构如下：第2节回顾相关研究，第3节阐述威胁模型与防御目标，第4节介绍所提出的方法，第5节描述实验设置与结果，第6节对全文进行总结。

各章节要点

相关研究

目前针对联邦学习中投毒攻击的防御方法，大多将客户端更新视为主要的可观察数据：服务器试图识别异常行为，并在聚合阶段采取相应措施来控制恶意影响。总体而言，现有研究可分为三类。

第一类研究[25]、[26]、[27]、[28]、[29]、[30]旨在无需服务器端直接监督的情况下抑制恶意更新，仅依靠客户端更新之间的一致性来实现这一目标。这类方法通常

威胁模型与防御目标

我们考虑的是一种标准的跨设备或跨系统的联邦学习架构，其中中央服务器负责协调多个客户端之间的训练过程。在每一轮通信中，服务器会将当前的全局模型发送给各个客户端，每个客户端则在其私有数据上开展本地训练，然后将模型更新上传给服务器。服务器只能在聚合之前查看这些上传的模型更新，而无法获取客户端的原始训练数据或本地训练样本。

攻击方的

方法

在本节中，我们将探讨联邦学习在遭受投毒攻击时全局模型性能严重下降的问题，并提出一种基于频域异常检测的防御方法。在每一轮联邦学习过程中，该方法会将客户端上传的模型更新映射到频域，构建低维且稳健的频谱特征，然后通过基于全局马氏距离并配合动态阈值的算法来识别异常客户端。被判定为恶意的客户端将被排除在聚合过程之外，从而

实验

本节将对所提出的防御方法在多种数据集、不同攻击类型以及不同攻击强度下的表现进行系统评估。我们主要关注两个方面：（i）识别恶意客户端的能力；（ii）过滤后的全局模型的实用性。

结论

在本文中，我们提出了一种基于频谱特征的框架，用于检测联邦学习中的恶意客户端。该框架将客户端更新转换为频谱形式，提取结构化的能量分布特征，从而捕捉那些通过简单的低阶统计方法难以发现的差异，进而提高对不同客户端更新之间的区分能力。基于这些特征，我们构建了基于马氏距离的异常得分体系，并设计了动态阈值策略，以此

CRediT作者贡献说明

杨旺：论文撰写——初稿、验证、方法论、形式化分析、概念设计。董汉硕：可视化、验证、软件开发、问题研究、数据整理。李雪：资源协调、项目管理、问题研究、概念设计。陈思光：论文撰写——审阅与编辑、监督指导、项目管理、方法论研究、资金筹措。

利益冲突声明

作者声明，他们不存在任何可能影响本文研究结果的已知利益冲突或个人关系。

致谢

本研究部分得到了中央高校基本科研业务费（编号：B250201047）、江苏省333高层次人才培养计划以及南京大学新型软件技术国家重点实验室开放研究基金（编号：KFKT2025B03）的支持。

杨旺|董汉硕|李雪|陈思光