Proteus: Model Leakage-Induced Adversarial Attack in Federated Learning¶

会议: ECCV 2026
论文: ECCV 2026
代码: https://github.com/HKU-TASR/Proteus
领域: 安全
关键词: 联邦学习、对抗攻击、时间迁移性、模型泄露、特征漂移

一句话总结¶

针对联邦学习在训练轮次中必然向参与客户端明文广播中间全局模型的固有机制，本文揭示了早期泄露模型被用于构造持久对抗样本的严重安全隐患，并提出 Proteus 攻击框架，通过抑制参数敏感度和前瞻边际扩展显著跨越时间特征漂移，在仅 30% 训练进度泄露模型下即可使最终部署模型达到 85.40% 的攻击成功率。

研究背景与动机¶

深度神经网络对微小的输入对抗扰动高度敏感，这一脆弱性在计算机视觉领域尤其致命。然而十余年来，对抗攻击在真实物理世界的实际威胁始终存在争议，其核心瓶颈在于传统高成功率攻击必须已知受害者模型的精确参数；若采用替代模型进行黑盒迁移，其攻击成功率往往极低且依赖密集查询。隐私敏感视觉数据（如人脸表情、医疗影像）的普及催生了联邦学习（FL）范式——中心服务器在分布式客户端之间协同训练全局模型，且在每一轮通信中必须以明文形式将最新的中间全局模型参数广播给本轮抽样的客户端，以便其在私有数据上进行本地更新。

这一必要协议暴露出此前被学术界普遍忽略的攻击面：恶意参与者只要被随机选中参与某一早期训练轮次，就能合法截获一份在训中间模型快照。直觉上，联邦学习在后续数十至数百轮训练中模型参数会剧烈演变，早期中间模型似乎无法作为攻击最终部署模型的有效替代。然而实测表明，仅凭本地私有数据训练的替代模型其攻击成功率仅有 8.35%，而直接使用训练进度仅 30% 的泄露中间模型，其攻击成功率便已达 59.75%，证明对抗样本在训练时间轨迹上存在显著的时间迁移性（Temporal Transferability）。

导致传统对抗样本在后续训练中逐渐失效的核心矛盾，在于神经网络特征表征在后续参数优化中的持续演化——即时间特征漂移（Temporal Feature Drift）。常规 PGD 攻击在泄露模型上寻找的对抗扰动往往落在参数敏感度极高的尖锐极小值区域，随着后续全局聚合与局部更新，特征表征剧烈漂移，使对抗样本在最终模型上重新回退到决策边界的正确一侧。核心 idea：将泄露中间模型作为预测未来训练动态的时间锚点，通过随机变换集成抑制局部参数敏感度，并结合前瞻边际扩展探寻对后续训练漂移保持平滑与鲁棒的持久攻击方向。

方法详解¶

整体框架¶

Proteus 旨在仅依托单次泄露的中间模型检查点 \(\theta_S\)（训练进度 \(S \ll T\)），在无任何私有训练数据、无后续模型查询权限的严格设定下，构造出能击穿最终收敛部署模型 \(\theta_T\) 的对抗样本。根据一阶泰勒展开，样本在未来轮次的特征漂移上限由泄露检查点处的参数敏感度范数 \(\|\nabla_{\theta_S} h_{\theta_S}(x_{\text{adv}})\|_F\) 主导。Proteus 的核心目标是通过迭代搜索，引导扰动收敛到低参数敏感度且具备充足决策边际的安全区域。

算法在每次攻击迭代中执行三个递进阶段：首先通过输入变换集成平滑敏感梯度，发现主干持久方向；接着沿该方向施加前瞻位移并二次估算对抗边际梯度，拉开对抗安全裕度；最后将两路梯度归一化后融入动量累计，执行带投影的 \(L_\infty\) 上升更新。

%%{init: {'flowchart': {'rankSpacing': 24, 'nodeSpacing': 28, 'padding': 6, 'wrappingWidth': 400}}}%%
flowchart TD
    A["输入样本 x 与当前扰动 &delta;k"] --> B["持久方向探索<br/>随机变换集成抑制参数敏感度"]
    B --> C["对抗边际扩展<br/>沿符号步长外推并重估边际梯度"]
    C --> D["动量融合与投影上升<br/>双梯度均值归一化与历史动量平滑"]
    D -->|未达最大迭代次数| A
    D -->|完成迭代| E["输出对抗样本 x_adv<br/>持久穿透最终部署模型 &theta;T"]

关键设计¶

1. 持久方向探索：通过随机变换集成抑制参数敏感度

常规梯度下降生成的对抗扰动极易过拟合于当前中间检查点的脆弱局部特征，而这些特征在后续参数更新中会迅速消失。为抑制高参数敏感度带来的特征漂移，Proteus 构建了一组随机输入变换函数集合 \(\mathcal{T}\)（如随机缩放、高斯平滑与微小形变）。基于范数的三角不等式，对经过变换集成后的损失梯度进行平均估算：

\[\mathcal{G}(\delta; x) = \frac{1}{|\mathcal{T}|} \sum_{\tau \in \mathcal{T}} \nabla_{\delta} \mathcal{L}(F_{\theta_S}(\tau(x + \delta)); y)\]

在迭代步 \(k\) 中计算得到的主梯度 \(g_k^{\text{primary}} = \mathcal{G}(\delta_k; x)\) 中，与局部尖锐极小点绑定的敏感梯度分量在平均过程中相互抵消，从而保留下在几何空间和参数扰动下均能保持稳定的持久对抗特征。

2. 对抗边际扩展：前瞻外推构建特征漂移安全裕度

即便主梯度偏向相对平滑的参数区域，如果对抗样本紧贴泄露模型的决策边界，未来训练带来的轻微特征位移仍可能导致其越回合法分类区域。为此，Proteus 在每一步迭代中引入前瞻验证机制，沿主梯度的符号方向按漂移步长 \(\rho \cdot \alpha\) 对当前扰动进行局部外推：

\[\delta_k^+ = \Pi_{\epsilon} \left( \delta_k + \rho \cdot \alpha \cdot \text{sign}(g_k^{\text{primary}}) \right)\]

随后在外推坐标 \(\delta_k^+\) 处重新估算持久对抗梯度 \(g_k^{\text{margin}} = \mathcal{G}(\delta_k^+; x)\)。若当前坐标落在参数高敏感区，外推点处的梯度将与主梯度形成纠偏力，迫使对抗扰动深入更广阔且低敏感的对抗区域，为应对后续数百轮训练积累的特征漂移提供显式防御边际。

3. 动量融合与投影上升：双梯度归一化与抗震荡更新

为了兼顾当前局部最优与前瞻边际，Proteus 将主梯度与边际梯度线性融合为合成梯度 \(g_k = g_k^{\text{primary}} + g_k^{\text{margin}}\)。不同迭代间梯度幅值的剧烈波动容易破坏优化轨迹，算法按输入向量维度 \(d\) 的平均绝对值对合成梯度进行归一化，并注入衰减因子为 \(\mu\) 的动量累加器：

\[m_{k+1} = \mu \cdot m_k + \frac{g_k}{\frac{1}{d} \|g_k\|_1}\]

扰动最终通过有界步长 \(\alpha\) 沿动量符号方向推进，并受限于预设的 \(L_\infty\) 扰动预算 \(\epsilon\)：

\[\delta_{k+1} = \Pi_{\epsilon} \left( \delta_k + \alpha \cdot \text{sign}(m_{k+1}) \right)\]

这种动量滤波机制有效消除了多步探索中的高频震荡，确保扰动稳步收敛到在未来模型中依旧成立的鲁棒对抗流形上。

损失函数 / 训练策略¶

攻击过程采用标准的交叉熵损失函数 \(\mathcal{L}\)，优化目标为无目标错分（Untargeted Misclassification）。默认超参数设置为：最大扰动界限 \(\epsilon = 8/255\)，总迭代次数 \(K = 20\)，攻击单步步长 \(\alpha = 2/255\)，前瞻漂移步长系数 \(\rho = 2\)，动量衰减系数 \(\mu = 0.5\)；每个迭代步内采样 \(|\mathcal{T}| = 20\) 组随机变换。整个过程纯离线运行，无需访问任何客户端训练数据或与服务器交互。

实验关键数据¶

主实验¶

实验基于 100 个分布式客户端协同训练 ResNet-18 的标准联邦学习系统（每轮随机抽取 10 个客户端进行 5 个 local epoch，采用 FedAvg 聚合）。泄露点默认设定在训练进度仅 30% 处（即 RAF-DB 第 44/145 轮、CIFAR-10 第 55/183 轮、TinyImageNet 第 46/153 轮），评估生成的对抗样本在完全收敛的最终部署模型上的时间迁移攻击成功率（Transfer ASR %）：

数据集	指标	Proteus (本文)	泄露模型直接 PGD	最强迁移基线	提升幅度
RAF-DB (人脸表情，默认)	Transfer ASR (%)	85.40	59.75	59.75 (FGSM)	+25.65%
CIFAR-10 (通用图像)	Transfer ASR (%)	90.00	~68.00	~71.00 (OPS)	+19.00%
TinyImageNet (200类复杂视觉)	Transfer ASR (%)	79.61	~55.00	64.72 (MuMoDIG)	+14.89%

在不同主干网络架构下的通用性验证（RAF-DB，30% 泄露进度）：

骨干架构	指标	Proteus (本文)	次优基线	提升幅度
ResNet-18	Transfer ASR (%)	85.40	59.75 (FGSM)	+25.65%
MobileNetV3	Transfer ASR (%)	77.38	57.33 (OPS)	+20.05%
EfficientNet	Transfer ASR (%)	82.99	67.44 (FGSM)	+15.55%

消融实验¶

在 RAF-DB 数据集、30% 泄露进度下对 Proteus 各阶段模块进行逐项消融验证：

配置	Transfer ASR (%)	说明
完整 Proteus (Full model)	85.40	包含持久方向探索、边际扩展与动量融合
去除 Phase 1 (w/o 变换集成)	75.82	降幅高达 9.58%，表明抑制参数敏感度是抵抗特征漂移的最核心基石
去除 Phase 2 (w/o 边际扩展)	82.23	降幅 3.17%，缺乏前瞻验证导致靠近边界的对抗样本在后续轮次失效
去除 Phase 3 (w/o 动量归一化)	83.17	降幅 2.23%，表明动量滤波和幅度归一化对稳定多步搜索起辅助增益作用

关键发现¶

早期泄露已具致命危险：以往普遍认为只有接近收敛的检查点才有威胁，但实验表明即使在第 44 轮（距收敛还剩 101 轮）泄露，Proteus 即可达成 85.40% 成功率；随着迭代进行，对抗样本导致最终模型的预测错分类别与泄露模型的高度重合比例从第 1 轮的 8.96% 飙升至第 20 轮的 66.67%。
防御机制难以两全：在部署端评测五类代表性防御后发现，对抗净化方法（DiffPure、ScoreOpt、ADBM）会因服务器缺少真实域内样本导致模型良性准确率崩溃（从 71.58% 暴跌至 14.60%~22.27%）；差分隐私（DP）虽能保持 67.87% 的良性准确率，但 Proteus 仍保有 59.64% 的 ASR，远超传统攻击。
近实时生成效率：在单卡 RTX 4090 上，Proteus 平均每张图像仅需 47.78 ms，满足工业级边缘设备或近实时（~50 ms）对抗生成要求。

亮点与洞察¶

重新审视联邦学习基础威胁假设：打破了学术界“参数隔离即安全”或“未收敛中间模型价值有限”的惯性认知，首次定量揭示了合法参与者利用协议广播泄露模型实施时间迁移攻击的真实风险。
参数敏感度与时间特征漂移的理论映射：巧妙利用泰勒展开将多轮训练引起的特征漂移上界同检查点局域梯度敏感度绑定，给对抗时间迁移提供了扎实的解析视角。
通用的黑盒迁移攻击启发：通过多变换集成抑制高阶参数敏感度、结合前瞻位移拉开几何裕度的思想，同样可无缝推广至持续学习、模型微调等具有时序动态更新特性的场景。

局限与展望¶

作者指出的局限性：缺乏低开销且不损毁良性性能的针对性防御方案；当前临时建议（如提早早停、在后期只允许受信客户端加入）只属于权宜之计，破坏了跨设备联邦学习开放参与的初衷。
本文发现的潜在局限：实验基于同步 FedAvg/FedSGD 范式，未深入探索异步联邦学习或引入激进自适应优化器（如 FedAdam、FedAdagrad）时极其剧烈的非单调参数跳变对持久方向的影响。
改进方向：可进一步探索结合低秩正交投影，主动诱导对抗扰动避开主流梯度更新子空间，从而进一步提升跨异构数据分布与极端非独立同分布（Non-IID）下的时间稳健性。

评分¶

新颖性: ⭐⭐⭐⭐⭐ 首次系统性定义并攻破联邦学习中的模型泄露时间迁移对抗漏洞，思路极具启发性。
实验充分度: ⭐⭐⭐⭐⭐ 涵盖 3 类代表数据集、3 种网络架构、多种 Non-IID 划分及 5 种前沿防御与消融，论据扎实。
写作质量: ⭐⭐⭐⭐⭐ 动机阐述自然流畅，图文配合紧凑，数学推导与实验洞察自洽清晰。
价值: ⭐⭐⭐⭐⭐ 为联邦学习工业部署和多方协同视觉系统的安全性评估敲响了警钟，推动针对性防御研究。