针对本地差分隐私协议的伪装数据投毒攻击

《ACM Transactions on Knowledge Discovery from Data》：Disguised Data Poisoning Attack to Local Differential Privacy Protocols

　　

# 摘要

本地差分隐私（LDP）使用户能够从不受信任的数据收集者处对数据进行本地扰动。近期的研究验证了LDP对数据投毒攻击的脆弱性，即攻击者将精心构造的数据注入LDP协议以操纵数据分析任务的结果。本文通过针对三种最先进LDP协议——优化一元编码（OUE）、前缀扩展方法（PEM）和分段机制（PM）——提出伪装数据投毒攻击，推进了这一领域的知识边界。该攻击操纵频率估计、重锤识别和均值-方差估计这三种流行的数据分析任务的结果，同时通过深入考虑LDP协议的固有属性来伪装攻击行为。核心思想是将目标项与相邻项捆绑在一起，利用目标项的增强来驱动其相邻项内的复杂变化，从而最大化攻击收益并伪装攻击行为。理论分析和实验结果验证了我们的攻击在五个数据集上相较于五种现有攻击具有优越性能。此外，我们探索了一种防御方法来缓解所提出的攻击，该方法利用离散余弦变换、α采样和频域聚类。广泛的实验结果验证了所提防御在五个数据集的某些场景下相较于两种最新现有防御的有效性。但在其他情况下，所提防御效果并不显著，因此未来需要新的防御方法。

# AI摘要

AI生成的摘要（实验性）

本摘要使用自动化工具生成，未经本文作者撰写或审阅。提供此摘要是为了支持发现、帮助读者评估相关性，并帮助相邻研究领域的读者理解该工作。本摘要旨在补充作者提供的摘要，后者仍是论文的主要摘要。完整文章仍然是权威的记录版本。

# 1 引言

本地差分隐私（LDP）是一种分布式环境中的隐私保护技术，使用户能够从不受信任的数据收集者处对数据进行本地扰动[1–6]。目前，LDP已在Google[7]、Uber[8]、Apple[9]等主要公司部署和应用，并有众多开源库可用[10]。例如，Google将RAP-POR集成到Chrome中以收集用户关于默认Chrome主页查询的反馈。Apple在iOS中部署了LDP协议来收集用户的表情符号偏好。然而，很少有研究探索LDP的安全性[11–14]。

近期，几项研究揭示了LDP协议对数据投毒攻击的显著脆弱性。最初的工作[15, 16]对LDP协议发起了输入投毒攻击（IPA），突出了LDP协议对数据投毒攻击的固有脆弱性，即使攻击者对底层LDP协议没有深入了解也是如此。与IPA不同，四项工作[15–18]设计了最大收益攻击（MGA）和输出投毒攻击（OPA）来操纵数据分析任务的结果，利用LDP协议执行过程中的特性。

在本文中，我们通过针对三种最先进的LDP协议——优化一元编码（OUE）[19]、前缀扩展方法（PEM）[20]和分段机制（PM）[21]——提出伪装数据投毒攻击，推进了该领域的知识。该攻击操纵这三种LDP协议的统计结果，同时通过深入考虑LDP协议的固有属性来伪装攻击行为。特别是，我们关注三种基本的数据分析任务：频率估计、重锤识别和均值-方差估计。频率估计的目标是估计集合中拥有每个特定项的用户比例。重锤识别旨在检测最频繁出现的项，而无需估计这些项的精确频率。均值-方差估计是估计所有用户提交的项的均值和方差。注意，我们分别使用最具代表性的协议OUE、PEM和PM来执行这三种任务，因为它们能在隐私和效用之间取得良好平衡，并适合大规模数据处理。

在所提出的攻击中，如图1所示，一组由攻击者控制的虚假用户——攻击者可以从暗网市场获取账户[17]——可以绕过LDP实现，将构造的数据注入LDP协议的输出并发送给数据聚合器，旨在扭曲数据分析的结果。由于攻击者可以本地访问LDP的实现细节，我们的攻击的核心思想是将目标项与相邻项捆绑在一起，利用目标项的增强来驱动其相邻项内的变化，这使得可以精细地操纵捆绑的项，并使目标项相较于其余项看起来合理，从而最小化被检测的风险。例如，攻击者投毒产品受欢迎程度（频率和排名）以及客户收入均值和离散度（方差）以误导决策，例如向高收入客户推荐过时的产品。

图1. 针对频率估计、重锤识别和均值-方差估计的LDP协议的伪装投毒攻击示意图。

第一个挑战是，在攻击者可以注入的虚假用户数量有限的情况下，如何构造数据并同时为频率估计和重锤识别在单个LDP（即OUE和PEM）查询中伪装攻击行为。为应对这一挑战，我们提出了一种优化方法，在频率估计的编码阶段操纵目标项的目标位和相邻项的对应位，并为重锤识别将相同的前缀分配给目标项和相邻项，以最大化整体攻击收益并伪装攻击行为。

第二个挑战是如何构造两个相关的统计估计量，即均值和方差，并在单次LDP（即PM）查询期间同时伪装攻击行为，这意味着三个相互关联的部分同时执行。为此，我们将攻击建模为混合整数线性规划问题，利用构造数据与真实用户扰动数据之间的皮尔逊相关系数（PCC）以及构造均值-方差值与目标均值-方差值之间的距离，分别量化构造数据的合理性和所提出伪装投毒攻击的有效性。

我们在理论上证明了所提出的攻击在频率估计和重锤识别任务中的理想整体收益，以及均值-方差估计中更小的均方误差（MSE）。此外，我们在三个真实数据集（Fire[22]、IPUMS[23]和Compensation[24]）和两个合成数据集（ZIPF[19]和Uniform[25]）上经验评估了所提出的伪装攻击针对三种LDP协议的效果，并将我们的攻击与五种现有攻击进行比较，即MGA[17]、随机扰动值攻击（RPA）[17]、随机项攻击（RIA）[17]、OPA[16]和IPA[16]。模拟结果验证了伪装攻击行为和操纵不同数据分析任务的统计结果的有效性。具体而言，对于频率估计和重锤识别任务，相邻项的频率和排名相应提高，与目标项相比。此外，对于这两种数据分析任务，我们的伪装攻击实现的整体收益大约比RIA高三倍，比RPA高出约60%，精度显著高于IPA（误差降低约35%），并与无伪装算法MGA和OPA具有相当的有效性。此外，对于均值-方差估计，构造数据与真实用户扰动数据之间的PCC达到最大PCC 0.9的阈值，表明构造数据是合理的。此外，广泛的实验结果验证了所提出的伪装攻击需要更少的虚假用户来实现相同的整体收益，并且构造均值-方差值与目标均值-方差值之间的距离小于现有攻击。

我们还探索了一种基于频率分析的防御方法来缓解所提出的伪装攻击。具体而言，它首先使用离散余弦变换（DCT）将数据转换到频域，在频域中采样数据的低频部分，并对采样数据进行聚类以最终去除构造数据。我们在五个数据集（Fire[22]、IPUMS[23]、Compensation[24]、ZIPF[19]和Uniform[25]）上进一步评估了所提防御的效果，并将我们的防御与两项最新现有工作（LDPGuard[26]和LDPRecover[27]）进行比较。广泛的实验结果表明，我们的防御在某些场景下可以有效地对抗所提出的伪装投毒攻击。具体而言，与LDPGuard和LDPRecover相比，我们的防御可以更大地降低频率估计的整体收益，并在均值-方差估计中实现更高的精度增益。然而，在其他情况下，所提防御效果并不显著，因此未来需要新的防御方法，特别是针对重锤识别。

总体而言，主要贡献如下：

—我们首次研究了针对三种最先进的LDP协议（OUE、PEM和PM）的伪装数据投毒攻击，用于三种基本的数据分析任务（频率估计、重锤识别和均值-方差估计），该攻击可以操纵数据分析任务的统计结果，同时可以伪装攻击行为。

—我们从理论和经验两个方面评估了伪装攻击。理论分析和广泛的实验结果验证了伪装攻击可以增加目标项的频率、促进目标项成为重锤并逼近目标均值-方差值，对于三种数据分析任务，更重要的是可以同时伪装攻击行为。

—我们探索了一种防御策略来缓解所提出的伪装投毒攻击，经验结果表明该防御在某些情况下是有效的，而在其他场景中则需要未来新的防御方法。

以下第2节介绍了本文使用的基础知识。第3节介绍了所提攻击的细节，第4节进行了性能评估。然后，我们在第5节进一步设计了防御。最后，我们在第6节回顾了相关工作，并在第7节对全文进行了总结。

# 2 预备知识

## 2.1 LDP协议

定义2.1（LDP[28, 29]）：一个算法M满足ε-LDP当且仅当对于任何x和任何扰动值m，以下等式成立：

(1)

其中ε是隐私预算，m是项x的随机扰动编码值，X是项的域，Y是编码值的空间。

此外，LDP的扩展——纯LDP正式定义如下：

定义2.2（纯LDP[19]）：一个LDP协议是纯的，如果它拥有两个概率参数p和q，满足以下条件对于任意两项x, x'：

(2)

其中X'是被扰动为x的项集合。

接下来，我们描述用于频率估计的三种纯LDP协议：OUE[19]、最优本地哈希（OLH）[19]、PEM[20]，以及一种广泛用于均值和方差估计的LDP协议PM[21]。

### 2.1.1 OUE

OUE协议将项编码为一元表示以避免依赖于域大小的估计方差。

编码：每个项x被编码为一个n位二进制向量b，其中第i位为1且其余位全为零。OUE的编码空间为{0,1}^n。

扰动：在OUE协议中，编码二进制向量的每一位被独立扰动。正式地说，扰动步骤为：

(3)

聚合：当且仅当扰动值y的第i位为1时，扰动值y支持项i。因此，f?_i = Σ1[y_j的i位=1]/n。

### 2.1.2 OLH

OLH协议通过哈希将来自大域的项映射到更小的域以提高效率。

编码：OLH使用哈希函数族H将项x映射到值z，其中H = {h_1, ..., h_K}，K是哈希函数的数量。接下来，OLH从H中随机选择一个哈希函数h∈H来计算x的哈希值，即h(x)。OLH的编码空间由{1,...,K}给出。

扰动：OLH按以下方式扰动哈希值z：

(4)

因此，我们可以推导出概率p和q。

聚合：（原文截断）

如果 被散列为 ，则扰动值 支持该项目 。正式地，它可以表示为 。
2.1.3 PEM
PEW 实际上是一个应用于重击手识别 [30] 的迭代过程。首先，用户被划分为 个组，他们的物品被编码为 -位二进制向量。在处理第 轮期间，用户应用 OLH 来扰动其编码位的首段，长度为 ，并将扰动后的比特传输到中央聚合器，在 OLH 中利用聚合来近似前缀的频率。随后，在重复该过程 个组后，最后一轮中的前 前缀，即前 重击手被识别出来。
2.1.4 PM
PM [21] 被广泛用于均值和方差估计 [31, 32]。PM 将所有用户划分为两组 和 。具体而言， 报告输入值的平方值，而 则提交原始输入值。
扰动。首先，输入值的每一位被归一化为 和 ，输出范围为 ，其中 。假设原始输入为 。变换系数定义为 ，其中 ；以及 ，其中 。随后，PM 对每个属性值应用扰动，如下所示：
(5)
其中 ， ，且 。
聚合。已证明 PM 中 。服务器将 聚合为 和 ，分别对应 和 ，其中 表示聚合值。之后，服务器获得无偏均值估计 和 ，以计算 。
2.2 OPA
OPA 使攻击者能够利用其对 LDP 的理解来操纵并在输出域内生成有毒数据 [16]。所有用户被分为 和 ，其中真实用户数为 和 ，假用户数为 和 。真实用户的两个输入集分别为 和 ，假用户的两个输入集分别为 和 。真实用户输入的总和和平方值分别为 和 。攻击者生成假数据使得以下等式成立，且 和 是攻击者的期望均值和方差。
(6)
2.3 MGA
MGA 是近期针对 LDP 的一种数据投毒攻击，专注于频率估计 [17, 33]。攻击者有能力向系统注入 个假用户，与 个真实用户并存。攻击者了解 LDP 参数，如域大小 、编码空间 以及每个扰动值 的支持集 。攻击者的目标是通过构造扰动值来最大化总增益 ，定义为目标项目预期频率增益之和。
(7)
其中 是目标项目 在攻击前后的频率方差， 是假用户 构造的扰动值， 是由真实用户的估计频率决定的常数， 是项目 的特征函数， 是项目集 。正式地，每个假用户的扰动值 可以通过下式获得：
(8)
2.4 DCT
DCT 的基本原理在于仅使用余弦函数将数据序列转换到频域，并且真实信号其能量天然集中在低频谱中。具有频率 和 的信号 的二维 DCT 为：
其中 ， ， ， 分别如下：
3 伪装数据投毒攻击
3.1 威胁模型
我们根据攻击者的背景知识和目标，为三项数据分析任务概述威胁模型。攻击者能够在 LDP 协议中引入假用户，并构造这些假用户向数据收集者提交的数据，从而操纵分析结果。
攻击者的背景知识。对于三项基本数据分析任务，即频率估计、重击手识别和均值-方差估计，我们假设攻击者有能力操纵 （ ）个假用户，如先前工作 [16, 17] 所述，其中 （ ）是假用户的比例。此外，LDP 协议的编码和扰动阶段对攻击者是可访问的。这是实际可行的，因为在 LDP 机制下，任何用户都可以在本地参与并执行 LDP 协议的编码和扰动。
此外，攻击者可能根据估计频率近似项目的相对排名。这一假设在标准 LDP 威胁模型下是现实的，原因有二。首先，在许多实际 LDP 部署中（例如 Google 的 RAPPOR 和 Apple 的 iOS 分析），历史聚合结果通常可用，聚合频率报告可能定期发布或通过侧信道推断。这些报告使攻击者能够估计项目的流行度。其次，攻击者可能依赖对数据分布的先验知识。对于许多常见领域（例如地理位置或产品类别），人口分布通常通过人口普查数据、市场报告或先前的学术研究公开可用 [16]。
至于均值-方差估计，假设攻击者利用最近数据报告中的统计信息来近似真实用户数量以及真实用户提供的输入值 和 （参见公式 (6)）。
攻击者的目标。攻击者寻求在 LDP 协议框架内操纵三项关键数据分析任务的结果。具体而言，对于频率估计，攻击者旨在通过构造扰动值来提高目标项目的估计频率，同时隐藏攻击行为。对于重击手识别，目标是通过操纵扰动值将目标项目提升为前 重击手，同时隐藏攻击行为。对于均值-方差估计，攻击者目标是操纵估计均值 和方差 ，使其与目标均值 和目标方差 对齐。
3.2 在频率估计中攻击 OUE
为了更好地描述所提出的攻击，我们区分了对主要目标项目的有效性与通过邻近项目操纵引入的隐蔽性益处。由于邻近项目也在攻击过程中得到提升，我们进一步考虑了一个公平预算基线，称为 MGA-extended，其中将这些邻近项目也包含在基线目标集中。这些设计选择在第 4 节中通过分别评估主要目标有效性和邻近项目效应进行了检验。
攻击者选择一个满足约束条件 、 以及当 时 的扰动向量 ，其中 是目标项目的数量。为了使目标项目的特征函数之和等于 ，攻击者为每个假用户初始化一个零填充的二进制向量，并对于所有项目 设置 ，其中 是第 个用户的向量的第 个值，被称为用户 的目标位。然而，这种攻击行为是脆弱的，因为它只构造目标位，使其容易被检测到。为此，我们随机将非目标位设置为 1，有效地掩盖了目标项目频率的构造。此外，我们在目标项目与邻近项目之间添加相关性，以进一步隐藏攻击者。此处，邻近项目指在排名列表中具有相似估计频率的项目。此排名仅用于攻击者在构建构造报告时识别具有相似流行度的项目。良性客户端继续在协议中使用全局预定义的项目索引。因此，为了掩盖特定项目频率的构造，这些周边项目的频率也应相应增加。
重要的是，此排序仅在攻击者基于估计频率对项目的内部排名中执行，并不改变协议中由良性客户端使用的全局预定义项目索引。基于此内部排名，攻击者为每个项目分配一个序数位置，并将此序号编码为 -位二进制向量。如果项目 的排序序号为 3（第三个项目），则向量可以为 。然后，第四个项目编码为 ，第五个项目编码为 。之后，如果我们设置三个邻近项目的扰动值对应的比特为 1，即 ，则特征函数之和 将增加。因此，在目标项目与其邻近项目之间添加相关性导致邻近项目的特征函数 增加。目标项目 及其邻近项目的扰动值将变为 。如果没有这种协调的扰动，单个项目频率的突然飙升可能在频率分布中造成异常的断层。注意，所提出的攻击不仅增加了目标项目的频率，也增加了其邻近项目的频率，从而隐藏了攻击行为并降低了被检测到的概率。
3.3 在重击手识别中攻击 PEM
我们通过使用 PEM 将所提出的攻击应用于重击手识别。在攻击中，每个项目被转换为 -位二进制向量，用户被随机分配到 个组。因此，每组中假用户的平均比例为 。在迭代 中，攻击者将目标项目的二进制向量的前 位作为"目标"，并为其邻近项目分配相同的前 位二进制向量。这用于构造由假用户发送的假值。此攻击可以增加目标项目被提升为前 重击手的可能性，同时提升其邻近项目的排名。
我们首先需要根据类别对项目进行划分。其次，我们假设目标项目在迭代 中的前缀为 ，总共 位。最后，我们将相同的前缀分配给目标项目的邻近项目，从而使相关类别的项目将被分配相同的扰动值前缀。
提升邻近项目排名的原因如下。首先，它隐藏了攻击行为，因为这使得攻击与真实用户的数据波动更难区分。其次，它可以欺骗那些对项目关系敏感的系统，从而可能操纵更广泛的数据分析结果。
3.4 在均值-方差估计中攻击 PM
PM 机制的扰动值范围为 。此处，我们将所提出的攻击映射到多维数据。具体而言，我们用 表示每个真实用户 对多个数值属性 的原始值，用 表示每个假用户的构造数据，其中 是数据的维度， 。设 和 分别表示维度 的估计一阶和二阶聚合值。在 LDP 设置中，这些统计量不是从原始用户数据计算的，而是从先前发布的聚合扰动报告中估计得出的。这些聚合统计量假定可从历史报告结果中公开观察。根据公式 (6)，攻击者可以通过求解以下混合整数线性规划问题来计算特定维度 中的假值：
其中 。我们通过将右侧表达式除以 或 来求解前两个方程。然而，以这种方式计算的假值是相同的，而且众多真实用户发送相同的扰动值是不太可能的。为解决此问题，攻击者为每个值引入随机扰动机制，保持总和不变并维持每个维度中的值在 。同时，我们要求确保 ，其中 。随后，攻击者在特定维度中以随机方式将值分配给两组假用户中的每一组。当攻击者计算的扰动值被随机分配时，为假用户构造的扰动值应与邻近真实用户表现出相关性。这些相关性是从基于扰动报告的聚合统计中估计得出的，而不是从个别原始用户数据中得出的。这确保了假用户能够在真实用户中有效地隐藏自己，从而实现伪装的目标。
3.5 理论分析
我们从理论上证明了伪装攻击的有效性。具体而言，我们使用频率估计的总增益 、均值-方差估计中构造的均值-方差值与目标均值-方差值之间的 ，以及来量化所提出攻击的有效性。对于重击手识别，攻击的效果与频率估计相同，因为它是针对原始 MGA 进行优化的。

因此，我们不再重复分析重击者识别。

**定理 1** 对于频率估计，针对协议 OUE 的所提攻击的整体增益可达到。

**证明** 基于公式（7），我们可以计算我们攻击的整体增益，其中常数由真实用户项的估计频率确定。我们将攻击应用于局部差分隐私（LDP）协议 OUE：（9）

与我们攻击的分析类似，RIA 的整体增益为，RPA 的整体增益为。公式（9）表明，随着参数减小，我们攻击的整体增益增加。

综上所述，定理 1 成立。□

定理 1 表明，伪装攻击的整体增益随着隐私预算的增加而减小。对于均值-方差估计，意味着我们攻击的更大有效性。

**定理 2** 对于均值-方差估计，当隐私预算增加时，针对协议 PM 的所提攻击在均值和方差上的误差变得更小。

**证明** 我们采用均方误差（MSE）作为评估指标。和分别表示和的误差，其中和是攻击后的估计均值和方差。我们首先分析协议 PM 中的误差。误差计算为。的期望可计算为。

我们分别用、、、和表示、、、、。因此，我们有，是的 PCC 施加的附加效应结果，由和之间的差异决定。此外，攻击者计算出的构造数据可视为常数，并在中忽略。因此，我们得到：

随后，可表示为以下三项之和。基于已有工作[16]中的引理 1，第一项为：

根据采样过程，第二项为：

鉴于和为常数，我们可以忽略第三项。因此，误差为：

然后，我们分析 PM 中的误差。误差计算为。我们分别用、、、、和表示、、、、、。的期望可计算为：

因此，我们专注于。与对的分析不同，我们界定了，即。因此，我们可以得到误差的最大值：

基于上述均值-方差估计的分析，对于隐私预算的所有正值，计算出的导数均为负值，表明均值和方差上的误差均随着隐私预算的增加而减小。

综上所述，定理 2 成立。□

定理 2 表明，均值-方差估计的误差同样随着的增加而减小。

## 4 性能评估

所有实验均在 Intel i5-12500H 服务器上进行，配备 CPU（12 核心 16 线程）和 16 GB 内存。源代码将在作者主页上提供。

### 4.1 实验设置

**数据集。** 我们使用三个真实世界数据集，即 Fire [22]、IPUMS [23] 和 Compensation [24]，以及两个合成数据集，即 ZIPF [19] 和 Uniform [25]。我们将这些值归一化到范围内，以适应均值-方差估计。

- **Fire。** 由旧金山消防部门编译的 Fire 数据集记录了服务请求，我们通过对记录类型进行细分，利用"警报"子集。

- **IPUMS。** 包含美国人口普查数据，城市属性表示每个用户拥有的个体项。

- **Compensation。** 包含在旧金山退休员工所获薪水的信息。

- **ZIPF。** 我们根据齐夫分布合成一个数据集，包含 128 个项目和 500,000 名用户。

- **Uniform。** 为确保指定范围内（从 0 到域）每个整数出现概率相等，我们生成了均匀分布的数据集。

**评估指标。** 对于频率估计，我们使用整体增益来量化目标项的频率增量，以及邻近项的频率增益以反映攻击效果是否扩散到主要目标之外。然而，仅这些基于增益的指标不能完全捕捉操纵频率分布的局部隐蔽性。因此，我们进一步引入两个互补指标：邻居平均增益（NAG）和峰值锐度（PS）。具体来说，NAG 衡量攻击效果是否扩展到邻近项而非仅集中在主要目标上，PS 捕捉攻击是否引入了异常的局部尖峰。与邻近项频率增益一起，这些指标提供了对攻击隐蔽性的更全面评估。这些指标的定义分别给出在公式（10）和（11）中：

$$\text{NAG} = \frac{1}{|\mathcal{N}|} \sum_{i \in \mathcal{N}} \Delta f_i \quad (10)$$

$$\text{PS} = \frac{\Delta f_{\text{target}} - \bar{\Delta f}_{\mathcal{N}}}{\bar{\Delta f}_{\mathcal{N}} + \epsilon} \quad (11)$$

其中表示邻近项集合，是第个邻近项的增益，是邻近项上的平均增益，是避免除以零的小常数。

对于重击者识别，我们使用攻击成功率，定义为目标项中提升到前重重击者的比例，以及邻近项排名的提升程度。对于均值-方差估计，我们采用公式（12）中定义的以及 PCC：

$$\text{PCC} = \sqrt{\frac{1}{n}\sum_{t=1}^{n}(\mu_t - \mu)^2 + \frac{1}{n}\sum_{t=1}^{n}(\sigma_t^2 - \sigma^2)^2} \quad (12)$$

这里，是迭代次数，和是目标均值和方差，和是第次迭代的均值和方差。

**默认参数设置。** 对于频率估计，默认设置隐私预算、假用户比例、目标项数量和域内项目总数。对于重击者识别，我们将用户分为组，并在实验中设置 20 个频繁项，即前。对于均值-方差估计，我们为每个数据集设置不同的目标均值和方差。随着参数和的变化而变化。

**对比方法。** 对于均值-方差估计，我们将我们的工作与两个现有攻击（OPA [16] 和 IPA [16]）进行比较，前者利用了底层 LDP 协议的详细信息，后者则相反。对于频率估计和重击者识别，我们将我们的攻击与现有工作 RPA [17]、RIA [17] 和 MGA [17] 进行比较。在 RIA 中，每个假用户在目标项中选择一个值，在传输到服务器之前进行扰动。相反，在 RPA 中，每个假用户从 LDP 协议的编码域中随机选择一个值并直接传输到服务器。此外，在 MGA 中，每个假用户被分配一个最优扰动值，以最大化攻击效果。

### 4.2 频率估计结果

我们进一步研究了隐私预算、假用户比例和目标项数量对目标项和邻近项的影响。

**的影响。** 图 2 显示了隐私预算对多个数据集中整体增益的影响。结果表明，所有攻击的整体增益均随着的增加而减小，这与 MGA 类似。这是因为真实用户在较小时会向数据中添加更多噪声。此外，构造的假值不受隐私预算影响。因此，假用户对频率的贡献将放大攻击的有效性。此外，结果表明我们的攻击与 MGA 相当，并且在增加时优于其他对比工作，即 RPA 和 RIA。原因是 RIA 和 RPA 更依赖随机性。RPA 的整体增益受增加的影响较小，因为它忽略了目标项的具体信息。

**图 2.** 隐私预算对 OUE 中我们的攻击、MGA、RIA 和 RPA 目标项整体增益的影响。

此外，我们通过研究邻近项的频率来评估所提攻击的伪装效果。我们固定其他参数、、和。表 1 显示了不同对邻近项频率的影响。我们观察到我们的攻击和 RPA 获得的频率增益大于 MGA 和 RIA。这表明我们攻击中构造的数据倾向于增加主要目标及其邻近项的频率，从而形成一种与自然项共现行为更加一致的模式。而在 RIA 和 MGA 中，放大的频率结构较弱，并非明确由目标项与其邻居之间的局部关系引导。

**表 1.** 协议 OUE 中不同隐私预算下邻近项频率增益的影响

红色向上箭头表示正向变化，蓝色向下箭头表示负向变化。除颜色外还使用箭头以确保可读性。

在固定隐私预算下，我们在公平的目标-预算设置下进一步将所提攻击与 MGA 进行比较，基线中包含相同数量的邻近项，以便两种方法在相同的总目标预算下进行评估。如表 2 所示，所提攻击在所有数据集上的主要增益方面与 MGA 保持可比。具体来说，它在 Fire 和 IPUMS 上获得了略高的主要增益，而在 Compensation、ZIPF 和 Uniform 上的差异较小。这表明所提攻击的有效性不依赖于额外的目标预算。此外，尽管两种方法在整体增益上接近，所提攻击在所有五个数据集上均产生了一致的正 NAG 值，而 MGA 始终给出负的 NAG 值。这表明所提攻击在目标项及其邻近项周围形成了更加连贯的局部扰动模式。在隐蔽性方面，所提攻击在所有数据集上获得的 PS 值远小于 MGA，表明其构造数据在统计上更接近真实的扰动数据。总体而言，所提攻击保持了与 MGA 相当的有效性，同时在隐蔽性方面表现出更明显的优势。

**表 2.** 在不同数据集上我们所提攻击与 MGA-Extended 在影响下的比较

| 数据集 | 攻击方法 | 主要增益 | 整体增益 | NAG | PS |
|--------|----------|----------|----------|-----|-----|
| Fire | 我们的攻击 | 0.16017 | 1.58553 | 0.15723 | 0.00837 |
| Fire | MGA-扩展 | 0.15665 | 1.57352 | ?0.00683 | 1.04343 |
| IPUMS | 我们的攻击 | 0.16323 | 1.55524 | 0.15850 | 0.01914 |
| IPUMS | MGA-扩展 | 0.15846 | 1.57223 | ?0.01899 | 1.12037 |
| Compensation | 我们的攻击 | 0.15553 | 1.56676 | 0.15710 | 0.00270 |
| Compensation | MGA-扩展 | 0.15979 | 1.58660 | ?0.03163 | 1.19933 |
| ZIPF | 我们的攻击 | 0.14974 | 1.58040 | 0.15908 | 0.00657 |
| ZIPF | MGA-扩展 | 0.15850 | 1.57979 | ?0.01677 | 1.10614 |
| Uniform | 我们的攻击 | 0.15099 | 1.57983 | 0.15734 | 0.00405 |
| Uniform | MGA-扩展 | 0.15564 | 1.58734 | ?0.01474 | 1.09285 |

**的影响。** 图 3 显示了参数对多个数据集中整体增益的影响。我们观察到四种攻击的整体增益均随着的增加而增加。原因是假用户发送的更多构造数据可以在没有隐私预算约束的情况下显著影响频率估计的结果。此外，随着增加，我们的攻击与 MGA 相当，并仍然优于 RPA 和 RIA。这是因为我们的攻击考虑了所有目标项和邻近项，这优于 MGA。而 RIA 和 RPA 的策略是分别随机选择目标项和值，没有优化。

**图 3.** 假用户比例对 OUE 中我们的攻击、MGA、RIA 和 RPA 目标项整体增益的影响。

此外，我们通过研究邻近项的频率来评估所提攻击的伪装效果。表 3 显示了不同对邻近项的影响。首先，我们的攻击在邻近项上获得了比 MGA、RIA 和 RPA 更大的频率增益。这是合理的，因为三种对比攻击中的随机扰动和最大化策略对邻近项影响较小。第三，RPA 的结果在时下降，因为极低的投毒比例以及随机性对攻击的可忽略影响。

第三，RIA 和 MGA 的结果有所下降，这归因于随机采样项目范围及用户数量的扩大。

**表 3. 数据集攻击 邻近项索引为 100**

| 数据集 | 攻击 | 数值 1 | 数值 2 | 数值 3 | 数值 4 | 数值 5 |
| :--- | :--- | :--- | :--- | :--- | :--- | :--- |
| Fire | Our Attack | 0.00680 | 0.01303 | 0.02591 | 0.15848 | 0.31901 |
| | MGA | 0.00513 | 0.00084 | | | |
| | RIA | | | | | |
| | RPA | 0.00132 | 0.00481 | 0.05360 | 0.10336 | |
| IPUMS | Our Attack | 0.00742 | 0.01806 | 0.03260 | 0.15146 | 0.31530 |
| | MGA | | | | | |
| | RIA | 0.00020 | | | | |
| | RPA | 0.00551 | 0.00765 | 0.04779 | 0.10253 | |
| Compensation | Our Attack | 0.00539 | 0.01499 | 0.03117 | 0.16112 | 0.31712 |
| | MGA | 0.00185 | | | | |
| | RIA | | | | | |
| | RPA | 0.00401 | 0.01184 | 0.04692 | 0.09657 | |
| ZIPF | Our Attack | 0.00143 | 0.02297 | 0.03322 | 0.15755 | 0.32136 |
| | MGA | 0.00415 | 0.00110 | | | |
| | RIA | | | | | |
| | RPA | 0.00056 | 0.00307 | 0.01172 | 0.04753 | 0.09347 |
| Uniform | Our Attack | 0.00617 | 0.01091 | 0.02703 | 0.15840 | 0.31578 |
| | MGA | 0.00094 | | | | |
| | RIA | | | | | |
| | RPA | 0.00953 | 0.02090 | 0.04770 | 0.09028 | |

**假用户比例对协议 OUE 邻近项频率增益的影响**
红色向上箭头表示正向变化，蓝色向下箭头表示负向变化。除了颜色外，箭头用于确认可读性。

**目标项数量 $k$ 的影响。** 图 4 展示了参数 $k$ 对多个数据集中整体增益的影响。我们观察到，四个攻击的整体增益随着 $k$ 的增加而增加，因为我们可以推断出基于公式 (7)，整体增益与目标项数量 $k$ 呈正相关。此外，如上所述，我们的攻击和 MGA 都优于两个基准工作，即 RIA 和 RPA。

**图 4. 目标项数量 $k$ 对 OUE 中我们的攻击、MGA、RIA 和 RPA 的目标项整体增益的影响。**

此外，我们通过调查邻近项的频率来评估所提出攻击的伪装性。表 4 展示了变化的目标项数量 $k$ 对邻近项的影响。我们注意到，如上所述，我们的攻击实现了比 MGA、RIA 和 RPA 更大的频率增益。

**表 4. 数据集攻击 邻近项索引为 100**

| 数据集 | 攻击 | 数值 1 | 数值 2 | 数值 3 | 数值 4 | 数值 5 | 数值 6 |
| :--- | :--- | :--- | :--- | :--- | :--- | :--- | :--- |
| Fire | Our Attack | 0.31779 | 0.31594 | 0.31315 | 0.31163 | 0.31078 | 0.30967 |
| | MGA | 0.00270 | | | | | |
| | RIA | | | | | | |
| | RPA | 0.10164 | 0.10204 | 0.10444 | 0.10481 | 0.10486 | 0.10557 |
| IPUMS | Our Attack | 0.32048 | 0.31681 | 0.31538 | 0.31049 | 0.30927 | 0.30574 |
| | MGA | 0.00092 | | | | | |
| | RIA | | | | | | |
| | RPA | 0.08924 | 0.09054 | 0.09078 | 0.09095 | 0.09116 | 0.09189 |
| Compensation | Our Attack | 0.31892 | 0.31671 | 0.31301 | 0.31141 | 0.31094 | 0.31050 |
| | MGA | 0.00104 | | | | | |
| | RIA | 0.12616 | | | | | |
| | RPA | 0.09221 | 0.09361 | 0.09592 | 0.09740 | 0.09843 | 0.09982 |
| ZIPF | Our Attack | 0.31601 | 0.31328 | 0.31275 | 0.31110 | 0.31061 | 0.31041 |
| | MGA | | | | | | |
| | RIA | | | | | | |
| | RPA | 0.09201 | 0.09308 | 0.09608 | 0.09803 | 0.09923 | 0.10225 |
| Uniform | Our Attack | 0.15464 | 0.16141 | 0.15916 | 0.15548 | 0.15589 | 0.15366 |
| | MGA | 0.00496 | 0.00100 | | | | |
| | RIA | | | | | | |
| | RPA | 0.05120 | 0.04511 | 0.04621 | 0.05351 | 0.05054 | 0.04901 |

**目标项数量 $k$ 对协议 OUE 邻近项频率增益的影响**
红色向上箭头表示正向变化，蓝色向下箭头表示负向变化。除了颜色外，箭头用于确认可读性。

### 4.3 重点击识别的结果

我们进一步探索了隐私预算 $\epsilon$、假用户比例 $\alpha$ 以及目标项数量 $k$ 的影响。

**隐私预算 $\epsilon$ 的影响。** 图 5 展示了参数 $\epsilon$ 对各个数据集中成功率的影响。具体而言，我们观察到隐私预算 $\epsilon$ 对四个攻击基本上没有影响。这是因为伪造的假值未受扰动。此外，我们的攻击和 MGA 的成功率可以达到 1，这压倒性地优于两个基准攻击 RPA 和 RIA。原因是我们的攻击专注于提高目标项识别的成功率，且未引入随机性。

**图 5. 隐私预算 $\epsilon$ 对 PEM 中我们的攻击、MGA、RIA 和 RPA 的目标项成功率的影响。**

此外，我们通过调查邻近项排名的提升来进一步评估所提出攻击的伪装性。表 5 展示了变化的隐私预算 $\epsilon$ 对邻近项排名的影响。我们发现，我们的攻击提升了多达 100 多，这代表了整个数据集的大约一半。而 RIA 仅实现了微不足道的提升甚至经历下降，MGA 基本没有提升，RPA 表现更差。这可归因于两个基准固有的随机性。此外，用户基数的扩大也可能导致排名下降。

**表 5. 数据集攻击 邻近项索引为 100**

| 数据集 | 攻击 | 数值 1 | 数值 2 | 数值 3 | 数值 4 | 数值 5 | 数值 6 |
| :--- | :--- | :--- | :--- | :--- | :--- | :--- | :--- |
| Fire | Our Attack | 117 | 116 | 135 | 183 | 118 | 117 |
| | MGA | 0 | -0 | -0 | -5 | 0 | -0 |
| | RIA | 5 | 0 | -34 | 0 | | |
| | RPA | 0 | -1 | 0 | -0 | - | |
| IPUMS | Our Attack | 113 | 109 | 91 | 75 | 102 | 121 |
| | MGA | 0 | -0 | -0 | -0 | - | 0 |
| | RIA | 5 | 21 | 12 | 0 | - | |
| | RPA | 0 | -0 | -0 | - | 0 | - |
| Compensation | Our Attack | 108 | 125 | 104 | 78 | 100 | 85 |
| | MGA | 0 | -0 | -0 | -0 | -0 | -26 |
| | RIA | 15 | 0 | -0 | - | 0 | -11 |
| | RPA | 0 | -0 | -0 | -0 | -0 | - |
| ZIPF | Our Attack | 105 | 70 | 109 | 81 | 63 | 81 |
| | MGA | 0 | -0 | -0 | -0 | -0 | - |
| | RIA | 7 | 0 | -0 | - | - | |
| | RPA | 0 | - | 0 | -8 | 9 | - |
| Uniform | Our Attack | 61 | 53 | 62 | 86 | 58 | 47 |
| | MGA | 0 | -0 | -0 | -0 | -11 | - |
| | RIA | 0 | -11 | 16 | 0 | - | |
| | RPA | 0 | -15 | 0 | -7 | 0 | - |

**隐私预算 $\epsilon$ 对协议 PEM 邻近项排名提升的影响**
红色向上箭头表示正向变化，蓝色向下箭头表示负向变化，连字符表示无变化。除了颜色外，符号用于确认可读性。

**假用户比例 $\alpha$ 的影响。** 图 6 描绘了参数 $\alpha$ 对各个数据集中成功率的影响。结果显示，随着 $\alpha$ 的增加，我们的攻击成功率呈现出上升趋势。这是因为随着假用户数量的增加，攻击者可以发送更多的构造数据。值得注意的是，即使仅有 5% 的假用户，我们也能将 10 个目标项提升到前 20 名重点击项中。然而，RPA 和 RIA 仍然无效。这可归因于随机性和用户基数的扩大。

**图 6. 假用户比例 $\alpha$ 对 PEM 中我们的攻击、MGA、RIA 和 RPA 的目标项成功率的影响。**

此外，我们通过调查邻近项排名的提升来评估所提出攻击的伪装性。表 6 展示了变化的假用户比例 $\alpha$ 对邻近项排名的影响。我们观察到，我们的攻击在邻近项排名提升方面的优越性是归因于随机性和用户数量的增加。随着 $\alpha$ 的增加，MGA、RIA 和 RPA 的结果下降。

**表 6. 数据集攻击 邻近项索引为 100**

| 数据集 | 攻击 | 数值 1 | 数值 2 | 数值 3 | 数值 4 | 数值 5 |
| :--- | :--- | :--- | :--- | :--- | :--- | :--- |
| Fire | Our Attack | 117 | 116 | 135 | 183 | 118 |
| | MGA | 6 | 6 | 2 | 6 | 0 |
| | RIA | 0 | - | 0 | - | - |
| | RPA | 0 | -1 | 0 | -0 | - |
| IPUMS | Our Attack | 100 | 100 | 99 | 101 | 100 |
| | MGA | 13 | 0 | -6 | 2 | 2 |
| | RIA | 3 | 10 | 9 | - | - |
| | RPA | 1 | 5 | 5 | - | - |
| Compensation | Our Attack | 121 | 121 | 120 | 118 | 120 |
| | MGA | 7 | 2 | 0 | - | - |
| | RIA | 0 | -16 | 25 | - | - |
| | RPA | 0 | -0 | -10 | 0 | - |
| ZIPF | Our Attack | 101 | 100 | 100 | 100 | 99 |
| | MGA | 15 | 6 | 0 | - | - |
| | RIA | 14 | 14 | 4 | 0 | - |
| | RPA | 0 | -5 | 0 | - | - |
| Uniform | Our Attack | 99 | 99 | 100 | 99 | 100 |
| | MGA | 0 | -0 | -7 | 0 | - |
| | RIA | 9 | 0 | -0 | -2 | - |
| | RPA | 1 | 0 | 0 | - | - |

**假用户比例 $\alpha$ 对协议 PEM 邻近项排名提升的影响**
红色向上箭头表示正向变化，蓝色向下箭头表示负向变化，连字符表示无变化。除了颜色外，符号用于确认可读性。

**目标项数量 $k$ 的影响。** 图 7 展示了参数 $k$ 对多个数据集中成功率的影响。我们发现，随着 $k$ 的增加，成功率有下降的趋势。这是因为当目标项数量 $k$ 增加时，攻击者使用的哈希函数很难弥补理论增益与实际增益之间的差异。具体而言，当目标项数量 $k$ 在 15 以内时，可以保证我们的攻击成功率为 1。然而，当 $k > 15$ 时，成功率下降。

**图 7. 目标项数量 $k$ 对 PEM 中我们的攻击、MGA、RIA 和 RPA 的目标项成功率的影响。**

此外，我们通过调查邻近项排名的提升来研究所提出攻击的伪装性。表 7 展示了变化的目标项数量 $k$ 对邻近项排名的影响。关于我们的攻击的优势可以得出与分析之上类似的结论。具体而言，当 $k=5$ 时，我们的攻击可以将邻近项的排名提升多达 90 以上，涵盖了数据集的几乎整个范围。

**表 7. 数据集攻击 邻近项索引为 100**

| 数据集 | 攻击 | 数值 1 | 数值 2 | 数值 3 | 数值 4 | 数值 5 | 数值 6 |
| :--- | :--- | :--- | :--- | :--- | :--- | :--- | :--- |
| Fire | Our Attack | 70 | 105 | 102 | 89 | 72 | 97 |
| | MGA | 0 | -0 | - | 8 | - | - |
| | RIA | 16 | 0 | -0 | -0 | -0 | -15 |
| | RPA | 0 | -0 | - | 0 | -0 | - |
| IPUMS | Our Attack | 92 | 57 | 97 | 110 | 77 | 88 |
| | MGA | 0 | -0 | -3 | - | - | - |
| | RIA | 9 | 10 | 0 | -0 | -0 | -0 |
| | RPA | 0 | -0 | -0 | -1 | 0 | - |
| Compensation | Our Attack | 86 | 89 | 87 | 102 | 108 | 77 |
| | MGA | 6 | 18 | 0 | - | - | - |
| | RIA | 3 | 0 | -0 | - | 0 | -0 |
| | RPA | 0 | -0 | - | 0 | -0 | -10 |
| ZIPF | Our Attack | 69 | 95 | 76 | 77 | 52 | 80 |
| | MGA | 0 | -0 | -0 | -0 | -0 | - |
| | RIA | 2 | 0 | -0 | -0 | - | 0 |
| | RPA | 0 | - | 0 | -1 | 0 | -0 |
| Uniform | Our Attack | 76 | 98 | 45 | 90 | 72 | 56 |
| | MGA | 0 | -0 | -0 | - | 2 | 0 |
| | RIA | 19 | 1 | 0 | - | 0 | - |
| | RPA | 0 | -0 | -15 | 11 | 0 | - |

**目标项数量 $k$ 对协议 PEM 邻近项排名提升的影响**
红色向上箭头表示正向变化，蓝色向下箭头表示负向变化，连字符表示无变化。除了颜色外，符号用于确认可读性。

### 4.4 均值 - 方差估计的结果

我们展示了均值 - 方差估计的经验结果，并调查了隐私预算 $\epsilon$ 和假用户比例 $\alpha$ 对所提出攻击的影响。

**隐私预算 $\epsilon$ 的影响。** 我们进一步探索了 $\epsilon$ 对我们攻击、OPA 和 IPA 的影响。图 8 展示了 $\epsilon$ 对不同数据集中攻击误差的影响。与 IPA 相比，我们的攻击表现更好。这是因为我们攻击的假值不受 LDP 混淆的影响。此外，随着 $\epsilon$ 的增加，攻击误差逐渐减小。这可归因于安全 - 隐私一致性 [16]。当 $\epsilon$ 增加时，由 LDP 协议产生的噪声扰动减小，数据真实性更高。这使得攻击者能够更精确地估计现实数据的统计特征，从而减少攻击误差。具体而言，图 8 显示，在估计均值时，我们的攻击将 IPA 的误差减少了约 50%。

**图 8. 隐私预算 $\epsilon$ 对两种攻击中估计均值和方差 PM 的攻击误差的影响。**

**假用户比例 $\alpha$ 的影响。** 图 9 展示了 $\alpha$ 对多个数据集中攻击误差的影响。对于均值和方差的攻击，我们的攻击优于 IPA，因为它添加了更多的噪声扰动。然而，由于我们的攻击具有伪装性，其表现不如 OPA。此外，我们观察到，随着 $\alpha$ 的增加，两种攻击的攻击误差均呈现出主要递减的趋势，这是因为攻击者控制的假用户数量增加，通常导致攻击者能够更精确地操纵统计估计。我们设置了较小的 $\alpha$ 值以实现用最少数量的假用户获得攻击性能。对于默认的 $\alpha$，我们观察到我们的攻击、OPA 和 IPA 针对目标均值和方差的准确性损失分别约为 0.1、0.2 和 0.3。

**图 9. 假用户比例 $\alpha$ 对两种攻击中估计均值和方差 PM 的攻击误差的影响。**

**相关性。** 此外，我们通过调查真实用户的扰动数据与构造数据之间的 PCC（皮尔逊相关系数）来评估所提出攻击的伪装性。图 10-12 显示了真实用户的扰动数据与构造数据之间 PCC 的热力图。最强的相关性将由最深色调的蓝色表示。最后一行“true”代表我们提取的真实用户的扰动数据，其余代表我们构造的数据。结果显示，与不考虑伪装的 OPA 相比，我们的攻击中真实数据和构造数据之间的相关性更显著。然而，尽管在扰动前添加了相关性，但 IPA 的 PCC 结果并不理想。

这归因于LDP协议引入的随机性。图10. 我们攻击中真实用户的扰动数据与伪造数据之间的PCC。图11. OPA中真实用户的扰动数据与伪造数据之间的PCC。图12. IPA中真实用户的扰动数据与伪造数据之间的PCC。其他参数对三种基本数据分析任务中目标和邻居项目的影响可以在附录A中看到。5 基于频率分析的防御方法我们设计了一种不依赖于特定攻击策略的基于频率分析的防御方法。在本节中，我们首先阐述所提出的防御方法，随后进行防御方法的性能评估。5.1 防御方法的细节频率域分离的直觉。良性用户和恶意用户通常在频率域中表现出不同的结构模式。真实用户生成的数据通常遵循一致的统计分布，因此在经过频率变换后共享稳定的低频结构。相比之下，投毒攻击引入的伪造数据通常包含旨在操纵聚合统计的人工扰动，这些扰动往往会在频率域中扭曲该结构。受FreqFed [35]等先前工作的启发，频率域分析可以揭示此类结构不一致性。通过关注保留真实数据主要结构的主导低频成分，同时抑制扭曲该结构的扰动，恶意数据更容易被识别。如图13所示，该防御方法以所提出的投毒攻击的伪造数据、真实用户的扰动数据、聚类的最小大小和低频比作为输入。它过滤掉伪造数据并获得数据分析结果。具体而言，它首先使用DCT-II（一种将数据转换为其频率成分的标准化DCT技术）将所提出的投毒攻击的伪造数据转换到频率域。然后，通过提取频率域的前部分获得低频成分。它将低频域调整为以准备使用HDBSCAN算法进行聚类的数据，此时每个样本具有一个特征。此后，它对重塑后的低频成分进行聚类，并基于标签过滤掉伪造数据。最后，该防御方法获得真实用户的数据。关于算法伪代码的更多细节如下。图13. 我们的基于频率分析的防御方法示意图。如算法1所示，它应用DCT将数据转换为频率成分，重点关注携带重要信息的低频元素（参见第1-5行）。然后它采用HDBSCAN聚类来识别并去除噪声，确保数据的完整性以实现可靠的分析（参见第6-15行）。5.2 防御方法的性能评估5.2.1 实验设置数据集。与第4节一致，我们也在三个真实数据集（Fire [22]、IPUMS [23]和Compensation [24]）以及两个合成数据集（ZIPF [19]和均匀分布）上评估所提出的防御方法。评估指标。对于频率估计，我们采用总体增益来评估攻击对目标项目的有效性。具体而言，较小的总体增益表示攻击对目标项目的影响较小，从而意味着防御方法更有效。对于均值-方差估计，我们使用精度增益，它量化估计精度的增量。具体而言，表示部署防御方法后与实施前均方误差之间的差异。正值表示防御方法在抵御攻击方面是有效的。默认参数设置。在默认设置中，我们保持与第4节相同的参数，即，，和。此外，我们在所提出的防御方法中将聚类的最小大小和低频比设置为。基线。我们将我们的防御方法与两种最新的防御方法进行比较，即LDPrecover [27]和LDPGUARD [26]。LDPrecover涉及修改输入域以恢复原始频率，而LDPGUARD作为一种反攻击，在两次LDP协议后计算投毒比率，从而减少目标项的分布。5.2.2 频率估计的防御结果。我们使用总体增益来评估防御方法的性能，较小的值意味着更有效的防御方法。的影响。图14展示了参数对我们防御方法和两种比较防御方法在多个数据集上总体增益的影响。结果表明，随着参数的增加，三种对策都是有效的。我们观察到我们的防御方法具有显著优势，即目标项目的频率增量被降低到。原因是DCT使得伪造数据的特征与真实用户数据在低频成分中更加不同。此外，聚类能够通过将低频成分分组来识别伪造数据。此外，我们发现我们的防御方法的性能不受增加的的影响。这是因为我们的防御方法通过识别局部密度异常来检测并过滤掉伪造数据，而不是依赖于由控制的噪声。图14. 隐私预算对我们的防御方法、LDPGuard和LDPRecover中目标项目总体增益的影响。与Diffstats的额外比较。为了进一步评估我们的防御方法，我们将其与近期代表性方法Diffstats在不同隐私预算下进行了额外比较。图15展示了在五个数据集 [36] 上，我们的防御方法、Diffstats、LDPGuard和LDPRecover的目标项目总体增益。我们观察到，我们的防御方法在大多数设置中实现了更小或具有竞争力的总体增益，而Diffstats在不同数据集和隐私预算下表现出更大的波动。特别是，Diffstats在少数数据集上甚至产生了负的总体增益。这表明，在消除攻击增益后，随机扰动和估计误差可能进一步导致目标项目的估计频率略低于基线水平，从而产生过度校正效应。尽管这种负值仍然对应于较小的残留攻击效果，但它们表明Diffstats在不同设置下的稳定性较差。相比之下，我们的防御方法在大多数情况下保持了更一致的趋势和更好的鲁棒性。图15. 对我们的防御方法、Diffstats、LDPGuard和LDPRecover中目标项目总体增益的影响。的影响。图A3展示了参数对不同数据集上我们防御方法和两种基线总体增益的影响。结果表明，我们的防御方法达到了最小的频率增量，这是因为我们的防御方法在处理噪声和伪造数据方面的能力。具体而言，我们的防御方法可以将均匀分布数据集上的总体增益降低到最大。原因是伪造数据的特征可以在频率域中被凸显，从而伪造数据可以通过聚类被有效识别。的影响。图B1展示了参数对两个数据集上我们防御方法和两种基线总体增益的影响。我们观察到我们的攻击的优势仍然明显，因为伪造数据的特征在频率域中突出，使得通过聚类可以有效识别。的影响。由于低频成分的选择也是所提出防御方法的重要组成部分，我们在范围内调整低频比。图B2展示了参数对各种数据集总体增益的影响。我们观察到，当我们的防御方法表现相对较好。此外，当和0.2时，我们的防御方法达到最佳性能。这是因为当在时，低频已经包含了足够的信息。5.2.3 均值-方差估计的防御结果。我们采用精度增益这一指标，它量化估计精度的提升。我们研究了参数对防御方法的影响。的影响。图16展示了参数对我们防御方法和基线在多个数据集上精度增益的影响。总体而言，随着参数的增加，值下降，这是因为安全性和隐私之间固有的权衡。此外，结果表明我们的防御方法在均值和方差估计方面显著优于LDPRecover。这是因为低频和聚类的结合增强了对数据扰动的鲁棒性，提高了对伪造数据的检测能力。图16. 隐私预算对我们防御方法和LDPRecover中均值和方差估计精度增益的影响。的影响。图B3展示了用户数量在两个不同合成数据集上对我们防御方法和基线精度增益的影响。我们发现我们攻击的性能优于基线，这是因为我们防御方法的有效性。此外，我们防御方法的性能不受用户数量变化的影响。这是因为即使发生变化，包含主要信息的低频成分仍然可以提供关于数据的稳定和代表性信息。总之，上述结果证明了防御方法在某些情况下的有效性，但未来需要新的防御方法，特别是针对重击手识别。其他参数对基本数据分析任务精度增益的影响可以在附录B中看到。5.3 其他防御方法Cao等人 [17] 针对单个目标项目提出了基于统计分析的检测和基于条件概率的检测。文献 [27] 设计了一种自适应防御策略，从投毒攻击中恢复聚合的确切频率，文献 [26] 提出了一种防御框架，专门针对MGA估计虚假用户，这两者都在第5.2节中与我们的防御方法进行了比较。Wu等人 [18] 研究了针对键值数据的交互式LDP协议投毒攻击的检测。然而，它不适用于非交互式LDP协议和数值数据。后续工作 [37] 采用多方计算来限制攻击者影响重击手结果的能力。同样，Song等人 [38] 提出了一种基于交互式框架的可验证LDP协议，通过使用Pedersen承诺来增强数据聚合的安全性。然而，这两项工作 [37, 38] 的通信开销可能很大，不适用于对大规模数据处理和实时性能要求较高的情况。文献 [16] 中的方法将聚类集成到采样数据中以减轻针对LDP的数据投毒攻击。然而，选择适当的采样率具有挑战性，因为如果采样率太低，可能会引入更多偏差。Tong等人 [39] 提出了针对LDP频繁项集挖掘协议攻击的三种防御策略，包括过滤和限制项目数量、向协议参数引入随机性以及使用密码技术。然而，这些方法对攻击的适应性有限，也可能影响协议的实用性。Zhan等人 [40] 研究了针对LDP排序估计的投毒攻击，通过战略性地分配虚假用户来操纵项目频率并改变排序结果。同一研究线上的相关研究还探讨了更广泛的LDP问题，如范围查询处理 [41] 和多维数据发布 [42]。这些工作为理解LDP系统的漏洞和效用提供了有用的背景。相比之下，我们的工作专注于伪装投毒攻击，并进一步提出了一种防御方法来检测模仿真实用户分布的恶意数据。最新的工作 [43, 44] 利用基本数学原理有效地减少了攻击增益。文献 [43] 提出了一种新颖的零样本攻击检测，利用数据中的分布差异来识别针对LDP的投毒攻击。此外，Zheng等人 [44] 将问题建模为零和Stackelberg博弈，使用对数似然比检验来识别和减轻恶意工作者的影响。然而，当虚假用户数量有限时，这些方法可能对数据分布缺乏敏感性。总体而言，为了缓解所提出的攻击，未来需要新的防御方法。6 相关工作LDP协议上的数据投毒攻击。最近的研究揭示了LDP协议对数据投毒攻击的重大漏洞，这些攻击可分为IPA和OPA。IPA。IPA不需要了解LDP协议的具体细节。相反，它专注于向LDP的随机化过程提供误导性的输入，从而可能导致聚合结果产生偏差。这种攻击策略凸显了LDP协议对数据投毒的固有漏洞，即使攻击者对底层隐私保护机制没有深入了解也是如此。

在研究[15]中，被攻陷的用户修改输入以符合协议的执行，旨在破坏频率估计和重击者识别的整体效率。文献[16]提出了一种数据操纵技术来扭曲均值和方差。然而，IPA并不依赖于LDP协议的具体实现，因此在执行过程中并没有利用LDP协议的特性。此外，由于LDP协议中随机扰动的影响，IPA的攻击误差通常大于OPA。相比之下，在本文中，我们设计了伪装式投毒攻击，充分利用了LDP协议的特征，包括对随机扰动机制和聚合方法的理解，在输出域中生成了构造数据，从而实现了对统计估计的精确控制。OPA。文献[17, 18]都研究了如何在LDP协议下通过数据投毒攻击来操纵频率估计的结果。他们将攻击建模为一个优化问题，以最大化与目标条目估计值（即在[17]中为类别数据，在[18]中为键值数据）的偏差。随后，Li等人[16]提出了一种细粒度攻击，针对LDP协议中的均值和方差估计任务。LDP中的后续操纵攻击[15]利用了系统对对抗性输入的脆弱性，攻击者可以通过控制一小部分参与用户来操纵LDP协议的输出。最新的研究[39]利用LDP协议中被破坏用户的响应来注入被投毒的数据，从而操纵频繁项集挖掘并降低输出的准确性。然而，现有的研究工作[15–18, 39]仅关注通过发起OPA来操纵LDP协议下数据统计分析的结果。在本文中，我们提出了一种针对LDP协议的伪装式数据投毒攻击，该攻击能够伪装攻击行为并最大化攻击收益，从而最小化被检测的风险。7 结论 在这项工作中，我们提出了一种针对三种最先进的LDP协议（OUE、PEM和PM）的伪装式数据投毒攻击，该攻击能够操纵三种流行的数据分析任务——频率估计、重击者识别和均值-方差估计的结果，并且还能够伪装攻击行为。我们通过理论和实验验证了该攻击的优越性能。此外，我们探索了一种防御方法来缓解所提出的攻击。大量的结果验证了我们的防御在某些场景下的有效性，同时也表明未来需要新的防御方法。