FedVigil：通过动态Wasserstein-HDBSCAN监控机制防御联邦学习中的后门攻击

《Future Generation Computer Systems》：FedVigil: Defending backdoor attacks in federated learning via dynamic Wasserstein-HDBSCAN vigilance

　　**摘要**
联邦学习（FL）通过本地化训练有效打破了数据孤岛并保护了用户隐私，但在开放的协作环境中极易受到后门攻击的威胁。攻击者经常利用数据投毒或模型投毒技术将隐蔽的恶意逻辑植入全局模型中，严重破坏了系统的安全性和可信度。现有的防御策略（如梯度裁剪和参数筛选）在应对分布式协作注入和梯度缩放等复杂攻击时，常常面临隐私合规性约束和动态适应能力不足的双重瓶颈。为了解决这些挑战，本文提出了FedVigil，这是一个为联邦学习量身定制的动态防御框架。该框架创新性地构建了三层协作防御机制：“特征提取-异常识别-权重调整”。具体来说：（1）它利用Wasserstein距离来衡量模型更新的分布差异，从而在不访问客户端原始数据的情况下有效提取和测量异常特征，保持了数据隔离；（2）它引入了基于HDBSCAN密度聚类算法，突破了高维异常检测的限制，能够自适应地识别和隔离隐蔽的协作攻击节点群；（3）它结合了自适应梯度L2范数裁剪和动态信任评分机制，形成了时空联合防御策略，有效抵御持续性和周期性的后门威胁。综合实验评估表明，FedVigil能够显著降低各种复杂攻击场景下的后门攻击成功率，包括集中式数据投毒、分布式数据投毒和模型投毒。此外，在防御过程中，它还能高度保持主要任务的性能稳定性，为联邦学习的安全实际应用提供了有力的支持。

**引言**
联邦学习（FL）[1],[2]作为一种新的分布式机器学习范式，通过将模型训练过程限制在本地数据持有者范围内，有效打破了“数据孤岛”的障碍。它在医疗保健、金融风险控制和物联网（IoT）[3]等数据敏感领域展示了巨大的应用潜力。近年来，FL的应用范围不断扩展到更加复杂和高度动态的边缘网络场景。例如，2025年的研究成功构建了一个用于边缘无人机配送系统的隐私保护联邦学习框架（FedShufde）[4]，以及一个适用于高度动态网络的移动簇联邦学习架构（MoCFL）[5]。特别是在物联网领域，随着复杂AI/ML模型和优化算法在网络威胁检测中的广泛应用（例如基于混合自动编码器和门控循环单元的高级威胁检测模型[6]），系统对分布式协作和隐私保护的需求变得日益紧迫。然而，FL的去中心化和局部不可见性也引入了严重的安全威胁，尤其是高度隐蔽的后门攻击[7],[8],[9],[10],[11],[12],[13]。在这种攻击模式下，恶意客户端通过数据投毒篡改本地样本以干扰学习过程，或通过模型投毒直接操纵梯度更新，将带有触发机制的异常行为模块有意植入全局模型中。一旦满足特定触发条件，全局模型就会产生预定义的错误输出，严重损害联邦学习系统的完整性和可用性。为了减轻恶意客户端带来的后门风险，现有研究提出了各种防御机制，如梯度裁剪和参数筛选。然而，随着对抗技术的不断进化，攻击方法变得越来越复杂和隐蔽。除了经典的分布式协作攻击[14]和梯度缩放技术[8]之外，最新研究表明攻击者已经发展出更先进的策略，如自适应分布式后门（Sadba）[15]、有范围的后门注入（Scope）[16]、基于优化的协同攻击（Coba）[17]以及根深蒂固的持续后门威胁[18]。这些复杂威胁的出现暴露了传统防御策略在实用性、鲁棒性和动态适应能力方面的显著局限性，具体体现在以下三个方面：
首先，隐私保护与深度特征提取之间的矛盾：为了严格避免数据泄露的风险，大多数当前的防御方法放弃了对客户端本地数据或模型内在行为特征的深入探索，导致防御机制缺乏精确的特征提取能力。尽管一些试图依赖辅助数据进行验证的方法[19]可以提高泛化能力，但它们在某种程度上牺牲了隐私保护的初衷。
其次，高维空间中隐蔽攻击的测量能力较弱：面对分布式协作注入[14]或梯度缩放攻击[8]等新威胁时，基于欧几里得距离或余弦相似度的传统异常检测方法容易受到“维度灾难”的影响。这些方法难以准确捕捉多个恶意节点协作引起的微妙分布变化，从而导致误报或漏报，从而在隐蔽攻击检测中产生结构性盲点。
第三，静态防御策略难以应对时空动态攻击：现实世界中的攻击者经常采用周期性延迟和连续注入微扰等动态策略来规避审查。然而，当前的主流防御方法大多依赖于静态异常筛选规则[20]、固定的裁剪阈值[21]或均匀的权重分配。它们缺乏对客户端行为的动态建模，无法在聚合阶段动态调整防御强度，难以构建针对持续或突发污染的长期安全屏障。为了解决这些挑战，本文提出了FedVigil，这是一个为联邦学习量身定制的动态防御框架。该框架构建了三层渐进式协作防御机制：“基于Wasserstein距离的特征提取-基于HDBSCAN的异常识别-基于自适应裁剪和信任评估的动态权重调整”，能够全面抵御数据投毒和模型投毒的后门攻击。本文的主要贡献如下：
1. 我们在数据隔离的环境下提出了一种特征提取机制。FedVigil引入了倒数第二层表示（PLRs）作为模型行为的探针，利用服务器端的一小部分辅助数据来提取模型更新的特征分布。通过计算客户端更新与全局模型之间的2-Wasserstein距离，它可以准确量化和放大后门攻击引起的分布几何变化。虽然这种方法能够在不访问任何客户端本地数据的情况下高效测量隐蔽攻击，但必须明确指出，该机制的有效性在很大程度上依赖于服务器端辅助数据集的质量和代表性。要求服务器拥有与主要任务共享相同分布的干净辅助数据集是一个强假设，而这个数据集本身可能成为潜在的隐私瓶颈。因此，该方法在严格的数据不可见性约束和高度敏感的防御效果之间寻求平衡。
2. 我们构建了一个能够突破高维限制的自适应恶意客户端识别模型。为了解决高维空间中的协作攻击威胁，本文引入了HDBSCAN密度聚类算法，该算法不需要预先定义的簇数。它可以基于Wasserstein距离向量自适应地隔离低密度异常节点和隐蔽的协作攻击群。此外，通过整合客户端的歷史行为，构建了一个动态信任评分系统，实现了对持续性和周期性伪装攻击的精确跟踪。
3. 我们为全局模型设计了一种时空协作的动态安全聚合策略。为了防止间歇性或渐进式后门植入，FedVigil在空间维度上采用基于中值的自适应L2范数裁剪来实时抑制极端扰动对全局模型的影响；在时间维度上，它根据历史信任评分动态分配模型聚合权重。时空维度的结合有效地消除了长期潜在的污染，并最大化了良性客户的贡献。
需要澄清的是，FedVigil的方法创新性并不在于单独采用任何一种技术——Wasserstein距离、HDBSCAN和信任评分都是成熟的技术——而是它们原则性、协同地整合到一个连贯的三层防御架构中。Wasserstein度量为HDBSCAN提供了一种感知分布的距离度量，放大了在欧几里得度量下不可察觉的细微后门诱导变化；HDBSCAN的非参数密度聚类为信任评分机制提供了稳定的、自适应的标签，而无需事先知道恶意簇的数量；时空权重调整（空间上的自适应裁剪，时间上的信任加权聚合）通过将检测结果转化为安全的聚合动作，完成了防御循环。这种“特征提取→异常识别→权重调整”的流程形成了比任何单一组件都更强大的深度防御，这一点通过第5.5节的消融研究得到了验证。系统实验结果表明，FedVigil框架能够在各种复杂后门攻击场景下有效降低攻击成功率，并保持主要任务的出色分类准确性，包括集中式数据投毒、分布式协作投毒和模型投毒。本文的研究为开放环境中的联邦学习系统提供了一种高效且自适应的新防御范式，为在敏感场景中促进联邦学习的安全实际应用奠定了坚实的基础。

**联邦学习中的后门攻击**
在联邦学习（FL）中，模型通过参与方在本地数据上进行独立训练并定期将模型更新上传到服务器进行聚合来实现分布式协作建模。由于服务器无法直接访问客户端的数据和训练过程，FL在增强数据隐私的同时，也暴露了独特的安全风险，使其特别容易受到恶意客户端发起的后门攻击。后门攻击是最常见的攻击方式之一。
**攻击方法：模型投毒和数据投毒（在完全控制下）**。本文假设攻击者对恶意客户端拥有完全控制权，允许他们任意操纵本地训练数据和计算过程，前提是恶意客户端的比例严格低于总参与客户端的50%。攻击方法包括数据投毒和模型投毒。

**概述**
为了解决联邦学习中后门攻击的高隐蔽性和强协作性挑战，本文提出的FedVigil防御框架部署在中央服务器端。在严格遵守数据隔离原则的前提下，该框架构建了三层渐进式协作防御机制：“特征提取-异常识别-权重调整”。其核心逻辑旨在实现实时拦截恶意行为。

**实验评估与未来工作**
为了全面评估所提出的FedVigil防御框架的有效性，实验采用了公共基准数据集和实际垂直领域数据集进行双验证：
- **CIFAR10数据集**[34]：作为计算机视觉和联邦学习安全领域的标准测试基准，用于验证该方法在一般场景下的基本防御性能。在该数据集上，采用了客户端本地训练的模型架构。

**结论与未来工作**
针对联邦学习中的后门攻击，本文提出了FedVigil算法，这是一种三层协作机制，整合了“基于Wasserstein距离的特征提取、基于HDBSCAN的恶意客户端识别以及基于梯度裁剪和动态信任评估的聚合权重调整”。通过倒数第二层的特征提取和Wasserstein距离测量，该框架实现了高度敏感的检测。

**作者贡献声明**
Guanpeng Wu：撰写——审阅与编辑、撰写——原始草稿、可视化、验证、监督、软件、资源、项目管理、方法论、调查、资金获取、正式分析、数据管理、概念化。
Litao Sun：监督。
Wenling Li：监督。
Haiyan Xu：监督。
Jianen Yan：监督。
Zhaoxin Zhang：监督。

**利益冲突声明**
作者声明他们没有已知的竞争财务利益或个人关系可能影响本文报告的工作。

**致谢**
本工作得到了山东省重点研发计划（项目编号2023ZLGX07）和PCL-CMCC科学与创新基金会（项目编号2024ZY2B0050）的部分支持。

**作者信息**
Guanpeng Wu | Litao Sun | Wenling Li | Haiyan Xu | Jianen Yan | Zhaoxin Zhang
哈尔滨工业大学计算学院，中国黑龙江省哈尔滨市