Aegis: Generative Gradient Masking for Privacy-Preserving Medical Federated Learning¶
会议: NeurIPS2026（作者清单标注 accepted）
arXiv: 2609.38339
领域: 医学图像
关键词: 医学联邦学习、梯度隐私、生成式防御、合成数据、隐私效用权衡
一句话总结¶
Aegis 在客户端每个本地 epoch 后加入任务相关合成图像的梯度更新，以增加线性泄漏中的样本混合；在三种 MedMNIST 模态上将所测重建率降至 9.38%–11.63%，但这不是零泄漏或差分隐私保证。
研究背景与动机¶
医院之间共享原始胸片、CT 或病理图像往往受到治理与授权限制，联邦学习因而让数据留在机构内部、仅汇总模型更新。然而，更新并不是无信息的摘要：服务器可能从中推断训练图像。安全聚合保护的是单个客户端更新在传输和汇总中的可见性，并不自动解决恶意服务器操控广播模型后、从聚合结果中产生的额外泄漏。本文以主动服务器威胁为出发点，而不是把“数据没有离开医院”当成隐私证明。
已有防御主要改动更新或保护通信。差分隐私通过受校准的随机机制限制信息泄漏，但需要明确隐私核算，并可能降低任务效用；剪枝、Soteria 和自适应噪声方法也会改变学习信号。Aegis 选择另一条路径：保留真实数据上的正常训练，额外提供与任务有关的合成数据更新，使服务器看到的信号更难对应到单个患者图像。医学任务中的困难恰好在于，合成样本既要足够多、足够多样以提供混合，又不能因分布失配把分类器训练偏。
本文把有限泄漏容量作为防御动机：在所讨论的线性泄漏机制中，多个样本贡献到同一泄漏 bin 时，个体信息更难分离。这里的 bin 是攻击分析中的贡献分组，不是客户端新增的网络模块；“样本数超过 bin 数”最多直接说明碰撞存在，并不说明所有真实样本都被保护。核心 idea：在每个本地 epoch 的真实训练之后，加入一个本地缓存、任务相关的大逻辑批次合成梯度，用结构化学习信号提供经验性隐私保护，而非用无条件安全承诺替代评估。
方法详解¶
整体框架¶
Aegis 的输入是服务器广播的模型、客户端私有图像与本地可见标签，以及一个客户端可使用的条件图像生成器。客户端先离线建立合成防御缓存；随后每轮执行正常本地训练，在每个本地 epoch 结束时对缓存计算一次大逻辑批次梯度并更新参数，最后发送累计参数差。输出仍是联邦协议接受的模型更新，不上传合成缓存，也不要求服务器增加新的聚合步骤。
防御者信任自己的执行环境与生成器使用流程，但不信任服务器。服务器可控制广播模型及参数，拥有辅助分布知识，并在训练早期尝试从更新获得患者图像；客户端无法可靠判断模型是否包含泄漏结构。本文实验直接检验的是 Robbing-the-Fed、LOKI、Scale-MIA 三种线性泄漏评估，不应扩展成对所有可能服务器行为、成员推断或客户端投毒的统一保护。
下图只展示客户端防御训练流。生成器在这里用于合成图像，而不是在诊断推理时调用；诊断推理仅使用训练后的分类器。真实标签与合成条件提供训练监督，通信仍只包含累计更新。
%%{init: {'flowchart': {'rankSpacing': 24, 'nodeSpacing': 28, 'padding': 6, 'wrappingWidth': 400}}}%%
flowchart TD
A["本地图像与标签<br/>可信生成器"] --> B["任务相关合成缓存"]
B --> C["逐 epoch 大批次掩蔽"]
R["广播模型与真实标签"] -->|每个 epoch 的真实训练| C
C --> D["协议兼容累计更新"]
D --> U["服务器聚合<br/>仅接收参数更新"]
U -.->|训练完成后| P["诊断推理<br/>分类器处理新图像"]图中三项防御设计依次是任务相关合成缓存、逐 epoch 大批次掩蔽、协议兼容累计更新。服务器聚合和最终诊断推理只是上下游过程，不属于本文新增防御模块。缓存可以跨轮复用，但掩蔽梯度必须随着当前模型重新计算；复用图像不等于复用旧梯度。
关键设计¶
1. 任务相关合成缓存：让额外梯度既覆盖相关信号又尽量不破坏分类训练
客户端根据本地标签或文本条件生成候选图像，将尺寸、裁剪和通道布局对齐到任务，再按同分布预算接受样本。默认生成器为 Stable Diffusion 2.0，配合 OpenCLIP ViT-H/14；附录 F.1 说明默认公开 checkpoint 未做数据集专门微调，其他生成器可在获准的客户端训练划分上适配。防御不靠把真实图像替换成合成图像，而是把合成图像作为额外梯度的来源，所以真实数据仍完整参与正常训练。
任务相关性有两个作用。首先，分布接近的样本更可能贡献到与真实数据相关的泄漏分组，使混合具有针对性；其次，合成标签与图像匹配时，额外更新仍有机会促进原任务，而不是把分类器推向无关方向。不过，语义相似、特征距离较小与泄漏 bin 覆盖充分并不是同一件事，不能把生成质量好直接等同于防御可靠。
原文以私有与合成数据的期望平方距离预算描述接受标准：
这里 \(D_i\) 是私有数据、\(D_i'\) 是合成缓存，\(H\) 是允许的差异预算。该式是原文约束的表达，不是两个任意大小数据集可以直接相减的完整实现定义。正文提到配对样本，附录 A.2 则举例使用冻结特征提取器上的特征空间 MSE 和小型验证划分；没有给出确定的配对规则、特征提取器、各模态的 \(H\) 数值或完整距离估计流程。因此，预算表达提供的是原则，不能据此声称过滤器已经可无歧义复现。
算法在拒绝率较高时允许用经过处理的私有子集微调生成器。这扩大了信任边界：生成器、微调过程和缓存存储都必须可信；“合成图像未上传”也不能证明微调没有记忆患者信息。若生成器复制私有样本，其梯度仍进入共享更新，可能重新引入泄漏。论文没有给出针对生成器记忆、成员推断或这种间接泄漏的专项隐私核算。
2. 逐 epoch 大批次掩蔽：以额外任务梯度增加更新中的混合贡献
默认真实小批次为 \(B=64\)，合成防御缓存为 \(M_i=2048\)，所测泄漏层容量为 \(k=1024\)。设计意图是让真实与合成贡献的数量超过该容量；合成逻辑批次是常规小批次的 32 倍。客户端不是把 2048 张样本都塞进每一个真实小批次，而是在一个 epoch 内先走完真实小批次，再计算一次整个合成缓存的梯度。
在内存有限时，论文建议将合成缓存拆成微批次，累积成一个逻辑批次梯度再更新参数。要得到大批次均值梯度，微批次权重必须按样本数正确归一化，累积期间参数应保持不变；逐微批次更新参数不是同一个操作。其等价性还依赖损失可按样本分解，存在批次相关运算或未控制随机性时不能直接宣称完全相同。
原文将 \(B+M_i>k\) 描述为结构性保护依据，但这不是“每个 bin 都混合”的充分条件。鸽巢原理只能保证至少一个 bin 出现碰撞，不能排除某些 bin 中只有真实样本，也不能保证合成样本覆盖每个真实样本的分组。分布匹配、分组占用情况和梯度权重都会影响保护效果；论文实际报告的非零重建率正说明这一边界。
因此，本设计更准确的解释是：增加任务相关贡献，使特定线性泄漏评估中的样本分离更困难。它没有给出差分隐私参数、不可区分性证明或面向所有攻击的上界。服务器改变泄漏容量、跨轮利用重复缓存相关性，或使用未评估的推断机制时，仍需新的防御评估，不能由默认批次大小推断安全。
3. 协议兼容累计更新：把防御放在客户端训练而不是改变聚合接口
算法 1 的实际顺序是“多个真实小批次参数更新 → 一次合成参数更新”，重复 \(E\) 个本地 epoch 后，发送最终参数相对轮初全局参数的差值。默认 \(E=3\)，所以每个参与客户端每轮有三次合成逻辑批次前向与反向计算，而不是每轮只增加一次。服务器仍按 FedAvg 接收和聚合参数差；启用安全聚合时，这个参数差进入既有协议。
保留通信接口不等于没有改变学习过程。真实梯度没有被直接剪枝或加随机噪声，但合成参数更新会改变下一 epoch 的起点，后续真实梯度也随之变化。因而“保留全部真实数据学习”可以作为流程描述，不能读成“最终更新与无防御训练完全一样，仅在上传瞬间加一个独立遮罩”。
正文同时使用两种数学描述：一处把真实与合成梯度按相同学习率相加，另一处及附录 G 则使用样本数决定的加权有效梯度。后者写为：
这是原文分析用的有效方向，不是算法 1 顺序更新的逐步恒等式。默认参数给出 \(\lambda=32/33\)；若两类梯度均由平均损失计算，相同学习率相加与按该权重混合显然不同。而且真实 epoch 可包含多个小批次，两类梯度在不同参数点求值；附录 B 实验用 Adam，算法写的是 SGD 型更新，优化器状态进一步影响等价性。论文没有充分交代归一化、重标定与实际实现如何统一这些描述。
从防御部署角度，兼容性意味着无需新增消息类型，可以与安全聚合叠加；它并不替代安全聚合，也不覆盖传输、客户端环境或生成器供应链的所有风险。论文评估主要在首轮聚合结果上进行，不能仅因协议不变就推断多轮隐私组合行为。
损失函数 / 训练策略¶
Aegis 使用与诊断分类任务相同的训练损失计算真实梯度和合成梯度，没有另设攻击损失。合成条件来自本地可见标签，图像与条件共同形成额外训练监督；缓存离线建立并跨轮复用，当模态改变时可以重建。论文未把它定义为推理时防御，也没有要求临床输入在推理阶段经过生成器。
实验模拟 100 个不重叠数据客户端，每轮随机选取 10%，原始非 IID 配置限制每个客户端至多五类。本地训练采用 Adam，学习率 \(10^{-3}\)，每轮三个 epoch、真实小批次 64。默认分类骨干包含三层卷积和一个 512 单元全连接层；这个分类器宽度不要与评估中的 \(k=1024\) 泄漏层容量混淆。
附录 G 在光滑、强凸、梯度方差及范数有界、均衡客户端权重和均匀采样等假设下，声称合成差异预算只增加界中的常数，保留 \(\mathcal{O}(1/T)\) 收敛率。这不是深度 CNN 或 Transformer 的收敛定理，更不是隐私定理；实验的固定学习率 Adam 也不同于定理使用的递减学习率。
推导本身还有待澄清之处：A.1 直接将两项误差之和的平方范数拆成两个期望项，未明确处理交叉项；参数方向的光滑性又被用于约束数据差异造成的梯度变化，没有另列关于数据方向的正则性假设。附录还把平方配对距离为零解释成同分布，两者一般并不等价。笔记因此只报告作者的理论主张与假设，不将其提升为已核验完整证明，也不自行补出缺失常数。
实验关键数据¶
主实验¶
重建率 RR 是被评估图像中 PSNR 大于 18 dB 的比例；PSNR 和 SSIM 越低，表示按这些图像相似度指标衡量的重建越差。它们不是患者身份泄漏或临床敏感细节泄漏的完整判据。下表合并正文表 2 的 Robbing-the-Fed 隐私结果与附录表 A.4 的最终任务准确率，默认 \(M_i=2048\)；PSNR、SSIM 为全体重建的平均值。
| 数据集 | 防御 | ACC (%) | RR (%) | PSNR (dB) | SSIM |
|---|---|---|---|---|---|
| ChestMNIST | 无防御 | 55.8 | 89.06 | 62.40 | 0.94 |
| ChestMNIST | Aegis | 55.5 | 9.50 | 18.70 | 0.46 |
| OrganAMNIST | 无防御 | 58.6 | 82.81 | 50.60 | 0.89 |
| OrganAMNIST | Aegis | 58.8 | 11.63 | 20.10 | 0.51 |
| PathMNIST | 无防御 | 57.3 | 78.13 | 45.20 | 0.86 |
| PathMNIST | Aegis | 57.2 | 9.38 | 17.30 | 0.38 |
三个模态的准确率相对无防御分别变化 −0.3、+0.2、−0.1 个百分点，但并不意味着临床诊断能力已被验证。存活重建尤其重要：表 2 中 Aegis 的成功子集 SSIM 仍分别为 0.91、0.88、0.84，成功子集 PSNR 为 29.80、31.40、27.90 dB。因此，平均质量下降与“所有患者图像都不可识别”是两种不同结论。
消融实验¶
附录表 A.5 在同一 Robbing-the-Fed 配置下扫描合成批次，\(B=64\)、\(E=3\)、\(k=1024\)。下表保留三个模态的准确率与 RR，展示隐私改善并非只在超过容量的某个离散阈值才出现。
| 数据集 | 合成批次 \(M_i\) | ACC (%) | RR (%) |
|---|---|---|---|
| ChestMNIST | 512 | 56.0 | 49.95 |
| ChestMNIST | 1024 | 55.9 | 27.03 |
| ChestMNIST | 1536 | 55.7 | 16.24 |
| ChestMNIST | 2048 | 55.5 | 9.50 |
| OrganAMNIST | 512 | 58.8 | 47.82 |
| OrganAMNIST | 1024 | 59.0 | 27.31 |
| OrganAMNIST | 1536 | 58.9 | 17.66 |
| OrganAMNIST | 2048 | 58.8 | 11.63 |
| PathMNIST | 512 | 57.5 | 44.34 |
| PathMNIST | 1024 | 57.6 | 24.53 |
| PathMNIST | 1536 | 57.4 | 15.21 |
| PathMNIST | 2048 | 57.2 | 9.38 |
正文表 1 报告的是单工作站训练墙钟时间，MNIST 为 100 轮、CIFAR-10 为 150 轮，两行预算不同，不能横向比较任务难度。
| 数据集 | 无防御 (s) | Aegis (s) | GC (s) | GD (s) | Soteria (s) |
|---|---|---|---|---|---|
| MNIST | 290.5 | 1890.1 | 334.5 | 4622.4 | 19816.2 |
| CIFAR-10 | 433.1 | 2339.3 | 512.1 | 8356.8 | 32482.0 |
Aegis 比 GD、Soteria 快，但相对无防御约为 6.51 倍、5.40 倍训练时间，不能笼统称为低开销。附录 B 报告一个通过过滤的候选约需 5 秒，2048 个约为 10240 秒，即约 2.84 小时的客户端一次生成成本；这是按原文速度线性估算，不是实测总初始化时间。表 1 没有明确该成本是否计入，且只能代表 RTX 3080 工作站而非医院端异构设备。
关键发现¶
- 合成批次增大时，三个模态的 RR 持续下降，任务准确率变化较小；即使 \(64+1024>1024\)，RR 仍为 24.53%–27.31%，否定了将容量不等式直接当成完全保护的读法。
- CIFAR-10 附录表 A.3 中 RR 从 87.50% 降至 12.50%，但 Aegis 成功子集 SSIM 为 0.99；正文图 4 对三种攻击给出下降趋势，缓存不含可可靠读取的全部曲线数值，不能据此编出精确三攻击排行榜。
- 附录 F 还考察生成器、非 IID 划分与骨干变化，但骨干比较共享同一泄漏前端，不能证明抵抗所有架构特有泄漏。表格缺少方差与置信区间，微小效用差异不宜当成显著优势。
亮点与洞察¶
- 用任务相关合成梯度替代纯随机扰动，是把防御信号与学习目标相连的设计。其实际价值应由保护效果、分布偏移和成本共同衡量，而不是只看是否保留了真实数据。
- 大逻辑批次与微批次累积分离了内存占用和贡献规模。这个系统设计可以复用，但要明确梯度归一化及批次相关运算条件。
局限与展望¶
- 保护是针对所测机制的经验性改善，不是 DP，也不是零 RR；仍需报告成功子集、临床敏感属性泄漏及跨轮评估。
- 生成器可信性、私有适配记忆与缓存复用风险缺少专项验证。过滤预算及真实/合成更新的具体归一化也需要补齐，才可开展严格复现。
- MedMNIST 低分辨率分类结果不等于真实医院部署证据；高分辨率 CT 体积和全切片病理的生成质量、算力与诊断指标均未得到验证。
- 理论只覆盖理想化凸设置，且上述推导环节需澄清；应独立检查实际 Adam 顺序训练及长期效用，不以收敛率替代安全证明。
- 缓存存在抽取损坏：部分阈值写成 PSNR>>18，而正文和附录 B 明确为 PSNR>18；表 A.2 只有说明、没有可读数值，图像型曲线也不能从文本恢复。超高 PSNR 按原表保留，未自行纠正。
相关工作与启发¶
- 与 DP、Outpost、GC、Soteria 相比：Aegis 额外加入任务梯度，而非仅噪声或剪枝；本组参数下的优势不代表在同等形式化隐私预算下优于 DP。
- 与安全聚合相比：安全聚合限制单客户端更新的可见性，Aegis 改变客户端更新内容；两者可叠加，保护对象与保证类型不同。
- 与 Eloul et al. 相比：附录 E 的同标签批次与 MSE 基线保持效用，但三模态 RR 仍为 85.94%、79.69%、75.00%；本文用额外合成大批次提供更强的所测经验性保护。
评分¶
- 新颖性: 4/5 — 将合成数据用于客户端泄漏混合具有针对性，但容量论证被表述得过强。
- 实验充分度: 3/5 — 覆盖多模态和多种敏感性，缺少完整统计、多轮隐私及生成器泄漏审计。
- 写作质量: 3/5 — 流程清楚，但梯度混合、顺序参数更新与理论衔接存在未澄清之处。
- 价值: 4/5 — 是有用的防御研究方向，不能作为临床部署的独立隐私保证。