Byzantine Outside, Curious Inside: Reconstructing Data Through Malicious Updates
North Carolina State University（北卡罗来纳州立大学）；Zhejiang University（浙江大学）
本文提出联邦学习中的恶意好奇客户端威胁模型，利用拜占庭敌手优势结合梯度反转与恶意更新策略实施数据重构攻击，发现现有FL防御机制可能失效甚至放大10-15%的隐私泄露程度。
2025-06-13 cs.CR cs.LG
Robust and Actively Secure Serverless Collaborative Learning
Northwestern University（西北大学）；CISPA（CISPA亥姆霍兹信息安全中心）；Google（谷歌）；University of Toronto and Vector Institute（多伦多大学与向量研究所）；University of Wisconsin-Madison（威斯康星大学麦迪逊分校）
提出一种对恶意服务器安全且对恶意客户端鲁棒的P2P无服务器协作学习通用框架，可将任意鲁棒聚合算法转换至双方皆可恶意的环境，并在百万参数规模下验证了其计算高效性。
2023-10-25 cs.CR cs.LG
Securing Private Federated Learning in a Malicious Setting: A Scalable TEE-Based Approach with Client Auditing
LY Corporation（LY公司）
针对现有DP-FTRL假设半诚实服务器的问题，本文提出基于临时TEE模块的服务器扩展作为可信计算基，实现恶意安全DP-FTRL，并通过客户端审计证明，在保持可扩展性的同时提供隐私保证。
2025-09-11 cs.CR cs.LG
FedGT: Identification of Malicious Clients in Federated Learning with Secure Aggregation
Technical University of Munich（慕尼黑工业大学）；AI Sweden（瑞典AI公司）；Chalmers University of Technology（查尔姆斯理工大学）
本研究提出FedGT框架，基于群测试思想利用重叠客户端分组与解码操作识别安全聚合联邦学习中的恶意客户端，在隐私与安全间取得平衡，实验验证其在多数据集投毒攻击下的识别效果与模型效用均优于现有隐私鲁棒聚合方法。
2024-07-10 cs.CR cs.IT cs.LG
Towards Efficient and Certified Recovery from Poisoning Attacks in Federated Learning
Nanyang Technological University（南洋理工大学）
本文提出Crab方法，通过选择性历史信息存储和自适应模型回滚，在保证恢复准确性的同时降低联邦学习投毒攻击后的恢复时间和内存开销，并给出理论误差界。
2024-01-19 cs.CR cs.LG
Building Regular Registers with Rational Malicious Servers and Anonymous Clients -- Extended Version
本文解决了在同步分布式系统中模拟常规寄存器的问题，其中调用${\sf read}()$和${\sf write}()$操作的客户端是匿名的，而维护寄存器状态的服务器进程可能被理性对手（即，服务器可以表现为\emph{rational malicious Byzantine}进程）。我们首先将我们的问题建模为客户端和理性恶意服务器之间的贝叶斯博弈，其中均衡取决于恶意服务器的决策（行为正确且不被客户端检测到vs向客户端返回错误的寄存器值，并有被检测到的风险，然后被计算排除）。我们证明了这样的平衡存在，最后我们设计了一个协议，实现了定期注册，迫使理性的恶意服务器的行为正确。
2017-04-18 cs.CR cs.DC
TrustFed: A Reliable Federated Learning Framework with Malicious-Attack Resistance
Xihua University（西华大学）；University of Electronic Science and Technology of China（电子科技大学）
针对联邦学习中恶意客户端篡改数据或模型的问题，提出HiAudit-FL分层审计框架，结合POMDP、主动序贯假设检验、扩散模型与深度强化学习实现低开销、高准确的恶意用户识别。
2023-12-06 cs.CR cs.LG
FL-PLAS: Federated Learning with Partial Layer Aggregation for Backdoor Defense Against High-Ratio Malicious Clients
Beijing Electronic Science and Technology Institute（北京电子科学技术研究所）；University of Louisiana at Lafayette（路易斯安那大学拉弗雷特分校）
针对高比例恶意客户端后门攻击，本文提出FL-PLAS，仅聚合特征提取器并保留本地分类器，在90%恶意用户下无需辅助数据集即可保持高主任务准确率和低后门准确率。
2025-05-17 cs.CR cs.LG
FedRecover: Recovering from Poisoning Attacks in Federated Learning using Historical Information
Duke University（杜克大学）；University of Science and Technology of China（中国科学技术大学）
联邦学习容易受到中毒攻击，其中恶意客户端通过向服务器发送恶意模型更新来中毒全局模型。现有的防御措施主要集中在通过健壮的联邦学习方法防止少量恶意客户端毒害全局模型，并在存在大量恶意客户端时检测恶意客户端。然而，如何在检测到恶意客户端后从中毒攻击中恢复全局模型仍然是一个开放的挑战。一种简单的解决方案是删除检测到的恶意客户端，并从头开始训练新的全局模型，这会导致资源受限的客户端（如智能手机和物联网设备）无法承受的巨大成本。在这项工作中，我们提出了FedRecover，它可以从中毒攻击中恢复一个准确的全局模型，为客户端提供较小的成本。我们的关键思想是服务器估计客户端的模型更新，而不是要求客户端在恢复过程中计算和传达它们。特别地，当训练中毒的全局模型时，服务器存储全局模型和客户端在每一轮中的模型更新。在恢复过程中，服务器使用其存储的历史信息来估计客户端在每一轮中的模型更新。此外，我们进一步优化FedRecover，以使用预热，定期校正，异常修复和最终调整策略来恢复更准确的全局模型，其中服务器要求客户端计算并传达其精确的模型更新。从理论上讲，我们证明了在某些假设下，FedRecover恢复的全局模型与从头开始训练恢复的模型接近或相同。从经验上讲，我们对四个数据集、三种联邦学习方法以及无针对性和有针对性的中毒攻击（例如，后门攻击）表明FedRecover既准确又高效。
2022-10-20 cs.AI cs.CR cs.LG
FedBayes: A Zero-Trust Federated Learning Aggregation to Defend Against Adversarial Attacks
Deloitte & Touche LLP（德勤咨询有限责任公司）
针对联邦学习中恶意客户端通过数据投毒破坏全局模型的问题，本文提出零信任聚合方法 FedBayes，利用贝叶斯统计评估客户端权重，从而抵御对抗攻击并保护联邦性能。
2023-12-04 cs.CR cs.LG
Fake or Compromised? Making Sense of Malicious Clients in Federated Learning
University of Massachusetts Amherst（马萨诸塞大学阿默斯特分校）；Adobe Research（奥多比研究院）
针对联邦学习投毒攻击安全领域因攻击者模型假设不一产生的认知混乱，该研究提出混合攻击者模型串联现有模型，梳理攻击与防御的统一框架，明确FL系统设计需考虑的威胁谱系与未来研究方向。
2024-03-10 cs.CR cs.LG
Robust Quantity-Aware Aggregation for Federated Learning
University of Science and Technology of China（中国科学技术大学）；Microsoft Research Asia（微软亚洲研究院）
本文提出联邦学习鲁棒数量感知聚合算法FedRA，通过联合考虑模型更新与数据数量过滤恶意客户端，并动态估计恶意客户端数量，有效防御数量增强攻击。
2023-07-26 cs.AI cs.CR cs.LG
Tracing Back the Malicious Clients in Poisoning Attacks to Federated Learning
Duke University（杜克大学）；University of Louisville（路易斯维尔大学）；University of California, Los Angeles（加州大学洛杉矶分校）
针对联邦学习投毒攻击，提出首个投毒取证方法FLForensics，在训练防御失效后追溯恶意客户端，理论保证区分良恶，实验验证五个基准数据集上的有效性。
2025-10-14 cs.CR cs.CV
JavaSith: A Client-Side Framework for Analyzing Potentially Malicious Extensions in Browsers, VS Code, and NPM Packages
JavaSith 是一个客户端框架，结合运行时沙箱、静态分析和本地大语言模型，用于分析浏览器、VS Code 和 NPM 包中的潜在恶意扩展，并通过案例研究证明其能捕获逃避传统检测的隐蔽恶意行为。
2025-05-27 cs.CR
MUDGUARD: Taming Malicious Majorities in Federated Learning using Privacy-Preserving Byzantine-Robust Clustering
Delft University of Technology（代尔夫特理工大学）；Shanghai Jiao Tong University（上海交通大学）；Radboud University（拉德堡德大学）；IMDEA Networks Institute（IMDEA网络研究所）
提出MUDGUARD系统，通过隐私保护的拜占庭鲁棒聚类（基于DBSCAN和模型分割）在恶意多数场景下实现联邦学习的安全聚合，兼顾鲁棒性与更新机密性。
2023-11-14 cs.AI cs.CR cs.LG
Robust Federated Learning for Malicious Clients using Loss Trend Deviation Detection
本文提出FL-LTD，通过监控损失趋势动态检测并缓解恶意客户端，提升联邦学习的鲁棒性和安全性。
2026-01-28 cs.CR
SecureFed: A Two-Phase Framework for Detecting Malicious Clients in Federated Learning
SecureFed提出两阶段联邦学习框架，通过降维异常检测和学习区域动态权重路由，在不降低性能的前提下有效防御恶意客户端投毒攻击。
2025-06-19 cs.CR
ABC-FL: Anomalous and Benign client Classification in Federated Learning
Sungkyunkwan University（成均馆大学）
联邦学习是一种分布式机器学习框架，设计用于数据隐私保护，即，本地数据在整个训练和测试过程中保持私有。联邦学习越来越受欢迎，因为它允许人们在保护隐私的同时使用机器学习技术。然而，它继承了深度学习技术中提出的漏洞和不确定性。例如，联邦学习特别容易受到数据投毒攻击，由于其分布式特性和无法访问原始数据，这些攻击可能会降低其性能和完整性。此外，由于非独立和/或相同分布（非IID）数据，正确识别恶意客户端非常困难。真实世界的数据可能是复杂和多样的，使得它们在没有对原始数据的直接存取的情况下很难与恶意数据区分开来。先前的研究集中在检测恶意客户端，而仅将具有IID数据的客户端视为良性。在这项研究中，我们提出了一种方法，从良性客户端检测和分类异常客户端时，良性的非IID数据。我们提出的方法利用特征降维，动态聚类和基于余弦相似性的裁剪。实验结果表明，该方法不仅可以对恶意客户端进行分类，而且可以从整个过程中消除恶意客户端的负面影响。我们的研究结果可以用于未来的研究，以有效地消除异常客户端时，建立一个模型与不同的数据。
2022-12-01 cs.AI cs.CR cs.DC
VFEFL: Privacy-Preserving Federated Learning against Malicious Clients via Verifiable Functional Encryption
本文提出基于可验证函数加密的隐私保护联邦学习框架VFEFL，通过新颖的跨密文去中心化可验证函数加密方案实现恶意客户端检测与高精度模型训练，无需双服务器非协作假设或可信第三方。
2026-04-13 cs.AI cs.CR
FLCert: Provably Secure Federated Learning against Poisoning Attacks
Meta Platforms（Meta平台公司）；University of Science and Technology of China（中国科学技术大学）；University of Illinois Urbana-Champaign（伊利诺伊大学厄巴纳-香槟分校）；Duke University（杜克大学）
由于其分布式性质，联邦学习容易受到中毒攻击，其中恶意客户端通过操纵其本地训练数据和/或发送到云服务器的本地模型更新来中毒训练过程，使得中毒的全局模型错误分类许多不加区分的测试输入或攻击者选择的输入。现有的防御主要利用拜占庭健壮的联邦学习方法或检测恶意客户端。但是，这些防御措施不具有针对中毒攻击的可证明的安全保证，并且可能容易受到更高级的攻击。在这项工作中，我们的目标是弥合差距，提出FLCert，一个集成的联邦学习框架，这是可证明安全的中毒攻击与有限数量的恶意客户端。我们的核心思想是将客户端分成组，使用任何现有的联邦学习方法为每组客户端学习一个全局模型，并在全局模型中进行多数投票以分类测试输入。具体来说，我们考虑了两种方法来对客户端进行分组，并相应地提出了FLCert的两种变体，即，FLCert-P在每个组中随机抽样客户端，FLCert-D确定性地将客户端划分到不相交的组。我们在多个数据集上进行的大量实验表明，我们的FLCert为测试输入预测的标签可证明不受有限数量的恶意客户端的影响，无论他们使用什么中毒攻击。
2022-10-04 cs.AI cs.CR cs.LG
FLock: Defending Malicious Behaviors in Federated Learning with Blockchain
University of Oxford（牛津大学）；Imperial College London（帝国理工学院）；McGill University（麦吉尔大学）
联邦学习（FL）是一种很有前途的方法，允许多个数据所有者（客户端）协作训练机器学习模型，而不会损害数据隐私。然而，现有的FL解决方案通常依赖于集中式聚合器来进行模型权重聚合，同时假设客户端是诚实的。即使数据隐私仍然可以保留，单点故障和来自恶意客户端的数据投毒攻击的问题仍然没有得到解决。为了应对这一挑战，我们建议使用分布式账本技术（DLT）来实现Flock，这是一个建立在区块链上的安全可靠的分散式联邦学习系统。为了保证模型质量，我们设计了一种新型的点对点（P2P）审查和奖励/斜线机制，以检测和阻止恶意客户端，由链上智能合约提供支持。此外，奖励/削减机制还可以激励参与者诚实地上传和审查Flock系统中的模型参数。因此，Flock以完全P2P的方式提高了FL系统的性能和鲁棒性。
2022-11-05 cs.AI cs.CR cs.GT
Towards Bidirectional Protection in Federated Learning
University of California, Berkeley（加州大学伯克利分校）；Hong Kong University of Science and Technology（香港科技大学）
先前在增强联邦学习（FL）安全性方面的努力分为两类。在频谱的一端，一些工作使用安全聚合技术来隐藏单个客户端的更新，并且仅向恶意服务器显示聚合的全局更新，该恶意服务器试图从客户端的更新推断客户端的隐私。另一方面，一些工作使用拜占庭健壮的FL协议来抑制恶意客户端更新的影响。提出了一种联邦学习协议F2 ED-LEARNING，该协议首次提供了双向防御机制，能够同时对抗恶意集中式服务器和拜占庭恶意客户端。为了抵御拜占庭恶意客户端，F2 ED-LEARNING通过采用和校准一个经过充分研究的鲁棒均值估计器FilterL 2来提供无量纲估计误差。F2 ED-LEARNING还利用安全聚合来保护客户端免受恶意服务器的攻击。F2 ED-LEARNING的一个关键挑战是解决FilterL 2和安全聚合方案之间的不兼容性。具体地说，FilterL 2必须检查来自客户端的各个更新，而安全聚合则对恶意服务器隐藏这些更新。为此，我们提出了一种实用且高效的解决方案，将客户端拆分为分片，其中F2 ED-LEARNING安全地聚合每个分片的更新，并在来自不同分片的更新上启动FilterL 2。评估表明，F2 ED-LEARNING始终达到最佳或接近最佳的性能，并在五种常见的攻击下优于五种安全FL协议。
2021-05-30 cs.AI cs.CR cs.DC
G$^2$uardFL: Safeguarding Federated Learning Against Backdoor Attacks through Attributed Client Graph Clustering
National University of Defense Technology（国防科技大学）；Zhejiang Lab（之江实验室）；Zhejiang University（浙江大学）；Data 61；Chongqing University（重庆大学）
本文提出 G$^2$uardFL，将恶意客户端识别建模为属性图聚类问题，并结合自适应差异放大机制消除后门，在25%恶意客户端设置下显著优于现有防御。
2023-12-08 cs.CR cs.LG
FedGuard: A Diverse-Byzantine-Robust Mechanism for Federated Learning with Major Malicious Clients
针对联邦学习易受拜占庭攻击、现有防御适用场景有限的问题，提出利用成员推理敏感性、通过服务器指定小批量数据识别投毒模型的FedGuard机制，在高恶意客户端占比、高非IID场景下防御效果优于现有方案。
2025-08-01 cs.CR cs.DC
Nosy Layers, Noisy Fixes: Tackling DRAs in Federated Learning Systems using Explainable AI
University of New South Wales（新南威尔士大学）；CSIRO’s Data61（澳大利亚联邦科学与工业研究组织（CSIRO）的数据61部门）
针对联邦学习易受数据重建攻击的问题，提出结合可解释AI的DRArmor防御机制，定向检测并处理恶意层，在多数据集实验中有效降低泄露率且兼顾模型性能。
2025-05-16 cs.CR cs.LG
Shielding Federated Learning: Robust Aggregation with Adaptive Client Selection
本文提出MAB-RFL方法，通过将客户端选择建模为扩展多臂老虎机问题，自适应选择诚实客户端并识别Sybil与非Sybil恶意更新，有效抵御拜占庭攻击，在多种攻击场景下优于现有防御。
2023-08-07 cs.CR cs.DC
URVFL: Undetectable Data Reconstruction Attack on Vertical Federated Learning
The Hong Kong University of Science and Technology（香港科技大学）；Southeast University（东南大学）；Wuhan University（武汉大学）；Hangzhou Dianzi University（杭州电子科技大学）
针对 VFL 中数据窃取易被梯度检测发现的问题，本文提出 URVFL，利用带辅助分类器的判别器和标签信息生成拟真恶意梯度，实现更优且隐蔽的数据重构攻击。
2024-12-06 cs.CR cs.LG
Hear No Evil: Detecting Gradient Leakage by Malicious Servers in Federated Learning
University of Toronto（多伦多大学）
本文从防御者视角首次全面分析了联邦学习中恶意服务器引发的梯度泄露攻击，揭示其隐蔽性与有效性存在核心权衡，并提出一种轻量级客户端检测机制以标记可疑更新。
2026-11-02 cs.AI cs.CR cs.DC
Server-side verification of client behavior in cryptographic protocols
客户端-服务器协议和应用程序的许多漏洞都涉及修改客户端，使其以未篡改客户端不会的方式运行，例如制作恶意数据包。在本文中，我们证明了实际验证的加密协议客户端的消息传递行为是一致的客户端程序，它被认为是运行。此外，我们在不以任何方式修改客户端的情况下实现了这一点，并且不知道驱动其行为的所有客户端输入。我们用于验证客户端消息的工具链同时探索客户端中的多个候选执行路径，我们展示的创新对于加密协议客户端特别有用，并且对于其他类型的客户端应用程序也更普遍有用。此外，我们的工具链包括一种新颖的方法，可以在多个通道中象征性地执行客户端软件，该方法推迟了昂贵的功能，直到可以推断和具体化它们的输入。我们演示了OpenSSL上的客户端验证，以表明，例如，Heartbleed漏洞可以在没有Heartbleed特定过滤的情况下在第一个恶意数据包的几秒钟内检测到，并且合法客户端的验证可以跟上，例如，Gmail工作负载。
2016-03-13 cs.CR
Shielding Collaborative Learning: Mitigating Poisoning Attacks through Client-Side Detection
Key Laboratory of Aerospace Information Security and Trusted Computing, Ministry of Education, the School of Cyber Science and Engineering, Wuhan University（武汉大学网络空间安全学院、教育部航空航天信息安全与可信计算重点实验室）；Hubei Engineering Research Center on Big Data Security, School of Cyber Science and Engineering, Huazhong University of Science and Technology（华中科技大学网络空间安全学院、湖北省大数据安全工程研究中心）；School of Computer Science, Wuhan University（武汉大学计算机学院）；State Key Laboratory of Mathematical Engineering and Advanced Computing（数学工程与先进计算国家重点实验室）；VMware, Inc.（VMware公司）
协作学习允许多个客户端训练联合模型，而无需彼此共享数据。每个客户端在本地执行训练，然后将模型更新提交给中央服务器进行聚合。由于服务器对生成更新的过程没有可见性，因此协作学习容易受到中毒攻击，其中恶意客户端可以生成中毒更新以向联合模型引入后门功能。然而，用于检测中毒更新的现有解决方案无法防御最近提出的攻击，特别是在非IID设置中。在本文中，我们提出了一种新的防御计划，以检测IID和非IID设置中的异常更新。我们的关键思想是实现客户端交叉验证，其中每个更新都是在其他客户端的本地数据上进行评估的。服务器在进行聚合时，会根据评估结果调整更新的权重。为适应非IID环境下数据分布不均衡的特点，设计了动态客户端分配机制，将检测任务分配给最合适的客户端。在检测过程中，我们还保护客户端级别的隐私，以防止恶意客户端窃取其他客户端的训练数据，通过将差分隐私与我们的设计，而不会降低检测性能。我们在两个真实数据集上的实验评估表明，我们的方案对两种典型的中毒攻击具有显著的鲁棒性。
2020-03-10 cs.CR cs.LG
EnCAgg: Enhanced Clustering Aggregation for Robust Federated Learning against Dynamic Model Poisoning
School of Cyberspace Security, Beijing University of Posts and Telecommunications（信息安全部门，北京邮电大学）；School of Computer Science and Technology, Huazhong University of Science and Technology（计算机科学与技术学院，华中科技大学）；Department of Electronic Engineering, Tsinghua University（电子工程系，清华大学）
本文提出了一种新的鲁棒聚合方法，通过利用少量已知的良性客户端作为参考，准确识别和过滤恶意梯度，同时保留尽可能多的良性梯度，即使恶意客户端的数量未知且变化。方法包括密度基低维梯度聚类、增强聚类低维梯度生成模型和低维梯度重新聚类。
2026-05-21 cs.CR cs.LG
DISBELIEVE: Distance Between Client Models is Very Essential for Effective Local Model Poisoning Attacks
Technical University of Munich（慕尼黑工业大学）；University of Central Florida（中佛罗里达大学）
本文提出 DISBELIEVE 本地模型投毒攻击，通过缩小恶意与良性客户端参数或梯度距离来规避鲁棒聚合，并在医学图像及 CIFAR-10 上验证其显著降低全局模型性能。
2023-08-14 cs.CR cs.CV cs.DC
Mitigating Malicious Attacks in Federated Learning via Confidence-aware Defense
Queen Mary University of London（伦敦玛丽女王大学）；University of Oxford（牛津大学）；Huazhong University of Science and Technology（华中科技大学）；Shandong University of Technology（山东理工大学）
针对联邦学习易受恶意投毒攻击、现有防御方法适配性不足的问题，提出置信度感知防御框架CAD，以本地模型置信度为判断依据，可有效抵御各类投毒攻击，提升系统鲁棒性与模型性能。
2024-08-16 cs.CR cs.CV cs.DC
Safe-FedLLM: Delving into the Safety of Federated Large Language Models
Hainan University（海南大学）；Tsinghua University（清华大学）；Shanghai Jiao Tong University（上海交通大学）
本文提出Safe-FedLLM，一种基于探针的防御框架，通过三级防御（步骤级、客户端级和阴影级）利用轻量级分类器区分恶意与良性LoRA更新，以增强联邦大语言模型对恶意客户端的鲁棒性。
2026-05-30 cs.AI cs.CR
MUD-PQFed: Towards Malicious User Detection in Privacy-Preserving Quantized Federated Learning
联邦学习（FL）是一种分布式机器学习范例，已被用于减轻客户的隐私问题。尽管它们很有吸引力，但有各种推理攻击可以利用共享明文模型更新来嵌入客户私人信息的痕迹，从而导致严重的隐私问题。为了缓解这个隐私问题，密码技术，如安全多方计算和同态加密已被用于隐私保护FL。然而，隐私保护FL中的这些安全问题是很难阐明和探索不足。这项工作是第一次尝试阐明执行模型腐败攻击的隐私保护FL轻量级秘密共享的基础上的琐碎。我们考虑在这种情况下，模型更新被量化以减少通信开销，对手可以简单地提供合法范围之外的本地参数来破坏模型。然后，我们提出了MUD-PQFed协议，它可以精确地检测恶意客户端进行攻击，并执行公平的惩罚。通过去除检测到的恶意客户端的贡献，全局模型效用被保留为与没有攻击的基线全局模型相当。大量的实验验证了保持基线准确性和以细粒度方式检测恶意客户端的有效性
2022-07-19 cs.CR
A New Implementation of Federated Learning for Privacy and Security Enhancement
Utah State University（犹他州立大学）；University of Wisconsin-Whitewater（威斯康星大学怀特沃特分校）；University of Nebraska–Lincoln（内布拉斯加大学林肯分校）
受个人数据隐私日益受到关注以及本地客户数据量快速增长的推动，联邦学习（FL）已成为一种新的机器学习环境。FL系统由中央参数服务器和多个本地客户端组成。它将数据保存在本地客户端，并通过共享本地学习的模型参数来学习集中式模型。无需共享本地数据，隐私可以得到很好的保护。然而，由于共享的是模型而不是原始数据，因此系统可能会受到恶意客户端发起的中毒模型攻击。此外，由于服务器上没有可用的本地客户端数据，因此识别恶意客户端具有挑战性。此外，仍然可以通过使用上传的模型来估计客户端的本地数据来执行成员推断攻击，从而导致隐私泄露。在这项工作中，我们首先提出了一个基于模型更新的联邦平均算法，以抵御拜占庭攻击，如加性噪声攻击和符号翻转攻击。提出了个体客户端模型初始化方法，通过隐藏个体本地机器学习模型，进一步隐私保护免受成员推断攻击。当结合这两种方案时，可以有效地增强隐私和安全性。实验证明，所提出的方案收敛于非IID数据分布时，没有攻击。在Byzantine攻击下，该方案的性能优于经典的基于模型的FedAvg算法.
2022-08-03 cs.CR cs.LG
DEFEND: Poisoned Model Detection and Malicious Client Exclusion Mechanism for Secure Federated Learning-based Road Condition Classification
Networked Systems Security Group KTH Royal Institute of Technology Stockholm Sweden（网络系统安全组 瑞典皇家理工学院）
DEFEND通过中毒模型检测和恶意客户端排除机制，有效防御针对联邦学习的道路状况分类的标签翻转攻击，提升模型鲁棒性。
2025-12-05 cs.AI cs.CR
SIMC 2.0: Improved Secure ML Inference Against Malicious Clients
在本文中，我们研究了针对恶意客户端和半可信服务器的安全ML推理问题，使得客户端只学习推理输出，而服务器什么也不知道。这个问题首先由Lehmkuhl \textit{et al.}用一种解决方案（MUSE，Usenix Security'21）来阐述，其性能随后由Rehran等人大大改进。的工作（SIMC，USENIX Security'22）。然而，这些努力在走向实用性方面仍然存在着不小的差距，全面降低开销和安全推理加速的挑战。我们提出了SIMC 2.0，它符合SIMC的底层结构，但显着优化模型的线性和非线性层。具体而言，（1）设计了一种新的矩阵与向量同态并行计算的编码方法。它是通过洞察SIMC中密码原语之间的互补性而定制的。因此，它可以最小化在计算过程中引起的旋转操作的数量，这与其他同态操作相比在计算上非常昂贵，加法、乘法）。(2)我们减小了乱码电路（GC）（用于计算非线性激活函数，例如，ReLU）在SIMC中约占三分之二。然后，我们设计了一个替代的轻量级协议来执行原来分配给昂贵的GC的任务。实验结果表明，与SIMC相比，SIMC 2.0在线性层计算方面实现了最高达$17.4\times $的显著加速，在不同数据维度下实现非线性层的计算和通信开销至少减少了$1.3\times$.与此同时，SIMC 2.0在不同的最先进的ML模型上展示了$2.3\sim 4.3\times$对SI…
2022-10-27 cs.CR
Towards Fair, Robust and Efficient Client Contribution Evaluation in Federated Learning
University of Memphis（孟菲斯大学）
本文提出FRECA方法，利用FedTruth框架估计全局模型真实更新，平衡客户端贡献并过滤恶意影响，实现对联邦学习客户端贡献的公平、稳健且高效评估。
2024-02-06 cs.AI cs.CR cs.DC
Byzantine-robust Federated Learning through Collaborative Malicious Gradient Filtering
Tsinghua University（清华大学）；City University of Hong Kong（香港城市大学）；George Washington University（乔治华盛顿大学）
针对联邦学习中拜占庭客户端的模型投毒攻击易规避传统统计防御的问题，提出基于梯度逐元素符号的SignGuard方法，通过多过滤器协同过滤恶意梯度，提升联邦学习的拜占庭鲁棒性。
2023-04-29 cs.CR cs.DC cs.LG
CELEST: Federated Learning for Globally Coordinated Threat Detection
Northeastern University（东北大学）；University of Virginia（弗吉尼亚大学）
近年来，网络威胁格局发生了巨大变化，每天都有新的威胁变种出现，大规模的协调活动变得更加普遍。在这项研究中，我们提出了CELEST（协作学习可扩展的威胁检测，一个联邦机器学习框架，用于通过HTTP进行全球威胁检测，HTTP是恶意软件传播和通信最常用的协议之一。CELEST利用联邦学习，在多个本地保存数据的客户端之间协作训练全球模型，从而提供更高的隐私和机密性保证。通过与联邦学习技术集成的新型主动学习组件，我们的系统不断发现和学习新的、不断发展的和全球协调的网络威胁的行为。我们表明，CELEST是能够暴露的攻击，在很大程度上是不可见的个人组织。例如，在一个具有挑战性的攻击场景中，与本地模型相比，全局模型实现了精确召回AUC的三倍增长。我们还设计了一个中毒检测和缓解方法，DTrust，专门设计用于联邦学习在协作威胁检测领域。DTrust成功地检测中毒客户使用参与客户的反馈进行调查，并将他们从培训过程中删除。我们部署CELEST在两个大学的网络，并表明它能够检测到恶意HTTP通信的高精度和低误报率。此外，在部署过程中，CELEST在一天内检测到一组先前未知的42个恶意URL和20个恶意域名，并被VirusTotal确认为恶意。
2023-03-17 cs.CR cs.LG
Anomaly Detection via Federated Learning
Deloitte & Touche LLP（德勤华永会计师事务所（特殊普通合伙））；Persistent Systems Limited（Persistent系统有限公司）
机器学习通过结合分类器和自动编码器来破译正常和异常行为，帮助推进异常检测领域。此外，联邦学习提供了一种使用多个客户端数据训练全局模型的方法，而无需客户端直接共享其数据。本文提出了一种新的异常检测器，通过联邦学习来检测客户端服务器上的恶意网络活动。在我们的实验中，我们在联邦学习框架中使用带有分类器的自动编码器来确定网络活动是良性的还是恶意的。通过使用我们新的最小-最大标量和采样技术，称为FedSam，我们确定联邦学习允许全局模型从每个客户端的数据中学习，反过来，为每个客户端提供一种方法来提高其入侵检测系统对网络攻击的防御能力。
2022-10-12 cs.AI cs.CR cs.LG
RepuNet: A Reputation System for Mitigating Malicious Clients in DFL
University of Murcia（穆尔西亚大学）
本文提出去中心化声誉系统RepuNet，通过模型相似度等指标动态评估节点行为并调整其在聚合中的影响力，有效检测和缓解DFL中的模型投毒等恶意行为。
2025-06-24 cs.AI cs.CR cs.DC
FLTG: Byzantine-Robust Federated Learning via Angle-Based Defense and Non-IID-Aware Weighting
Hunan University of Technology and Business（湖南工程大学）；Xiangjiang Laboratory（湘江实验室）；Shenzhen Institute for Advanced Study（深圳先进研究 institute）；University of Electronic Science and Technology of China（电子科技大学）
针对联邦学习中拜占庭攻击鲁棒性不足及非独立同分布数据敏感问题，提出融合角度防御与动态参考加权的FLTG算法，在高恶意占比与极端数据偏差下均优于现有最优方法。
2025-05-19 cs.AI cs.CR
FedMUA: Exploring the Vulnerabilities of Federated Learning to Malicious Unlearning Attacks
本文提出FedMUA恶意遗忘攻击，通过识别影响样本并生成恶意遗忘请求，误导联邦学习全局模型，实现80%攻击成功率，并设计防御机制。
2025-01-21 cs.CR
FedIDM: Achieving Fast and Stable Convergence in Byzantine Federated Learning through Iterative Distribution Matching
FedIDM通过迭代分布匹配生成可信数据并过滤异常客户端，解决联邦学习中拜占庭鲁棒性与模型效用之间的平衡问题，实现快速稳定收敛。
2026-04-16 cs.CR cs.LG
Certified Federated Adversarial Training
IBM Research Europe（IBM欧洲研究院）；Imperial College London（伦敦帝国学院）
在联邦学习（FL）中，已经开发了鲁棒的聚合方案来防止恶意客户端。许多健壮的聚合方案依赖于一定数量的良性客户端存在于工作者的仲裁中。当客户端可以随意加入或根据空闲系统状态以及连接电源和WiFi等因素加入时，这可能很难保证。我们解决了当法定人数的工人可能是完全恶意的时候，保护FL系统进行对抗性训练的情况。我们对一个攻击者进行建模，攻击者毒化模型，将一个弱点插入到对抗性训练中，这样模型就显示出明显的对抗性鲁棒性，而攻击者可以利用插入的弱点绕过对抗性训练，并迫使模型对对抗性示例进行错误分类。我们使用抽象解释技术来检测这种隐形攻击，并阻止损坏的模型更新。我们表明，这种防御可以保持对抗性的鲁棒性，即使对自适应攻击。
2021-12-20 cs.CR cs.LG
When Clients Are Orchestrated: Strategic Gradient Manipulation to Defeat Federated Learning Servers with Efficient Defense
Washington State University（华盛顿州立大学）
本文提出Fed-ADR攻击框架，揭示动态自适应客户端协作可绕过联邦学习防御，并设计检测与恢复机制，在几轮内恢复准确率至90%以上，计算开销降低至少20倍。
2026-09-24 cs.AI cs.CR
FedSV: Byzantine-Robust Federated Learning via Shapley Value
Carnegie Mellon University（卡内基梅隆大学）
针对联邦学习中的恶意客户端攻击，提出基于Shapley值的FedSV防御方法，通过分组估计客户端贡献增强鲁棒性，并在MNIST数据集上验证了有效性。
2025-02-24 cs.CR cs.GT cs.LG
Robust Federated Learning Mitigates Client-side Training Data Distribution Inference Attacks
University of Science and Technology of China（中国科学技术大学）；Duke University（杜克大学）
针对联邦学习中恶意客户端推理并重建受害者训练数据分布的威胁，本文提出拜占庭鲁棒聚合规则 InferGuard，通过逐坐标中位数识别异常模型更新，并在五个数据集和十种基线对比中验证其优于现有防御。
2024-04-04 cs.CR cs.DC cs.LG
Unleashing the Tiger: Inference Attacks on Split Learning
EPFL（洛桑联邦理工学院）；George Mason University（乔治梅森大学）；Institute of Applied Computing, CNR（意大利国家研究委员会应用计算研究所）
我们研究了分裂学习的安全性--一种新颖的协作机器学习框架，它通过最小的资源消耗来实现峰值性能。在本文中，我们暴露的协议的漏洞，并证明其固有的不安全性，通过引入一般的攻击策略，针对客户端的私人训练集的重建。更突出的是，我们发现恶意服务器可以主动劫持分布式模型的学习过程，并将其带入不安全状态，从而对客户端数据进行推理攻击。我们实现了不同的攻击适应，并在各种数据集以及现实的威胁场景中进行测试。我们证明，我们的攻击是能够克服最近提出的防御技术，旨在提高分裂学习协议的安全性。最后，我们还说明了协议的不安全性对恶意客户端扩展以前设计的攻击联邦学习。为了使我们的结果可重复，我们在https://github.com/pasquini-dario/SplitNN_FSHA上提供了我们的代码。
2021-11-04 cs.CR cs.LG
SONNI: Secure Oblivious Neural Network Inference
本文揭示了隐私保护MLaaS协议中易受Silver Platter模型窃取攻击的弱点，并提出一种新颖的结果检查协议，在抵御恶意串谋的同时保护数据与模型隐私。
2025-04-26 cs.CR
AFLGuard: Byzantine-robust Asynchronous Federated Learning
The Ohio State University（俄亥俄州立大学）；Duke University（杜克大学）；Air Force Research Laboratory（空军研究实验室）
联邦学习（FL）是一种新兴的机器学习范例，其中客户端在云服务器的帮助下联合学习模型。FL的一个基本挑战是客户端通常是异构的，例如，它们具有不同的计算能力，因此客户端可以以基本上不同的延迟向服务器发送模型更新。Asynchronous FL旨在通过使服务器能够在任何客户端的模型更新到达它时更新模型而无需等待其他客户端的模型更新来解决这个挑战。然而，与同步FL一样，异步FL也容易受到中毒攻击，其中恶意客户端通过中毒其本地数据和/或发送到服务器的模型更新来操纵模型。Byzantine-robust FL旨在防御中毒攻击。特别是，拜占庭健壮FL可以学习准确的模型，即使一些客户端是恶意的，并具有拜占庭行为。然而，大多数现有的研究拜占庭强大的FL集中在同步FL，离开异步FL在很大程度上尚未探索。在这项工作中，我们通过提出AFLGuard，拜占庭强大的异步FL方法来弥合这一差距。我们表明，无论是理论上还是经验上，AFLGuard对各种现有的和自适应的中毒攻击（无针对性和有针对性的）是强大的。此外，AFLGuard优于现有的拜占庭鲁棒异步FL方法。
2022-12-13 cs.CR cs.DC cs.LG
Protecting Federated Learning from Extreme Model Poisoning Attacks via Multidimensional Time Series Anomaly Detection
Department of Computer, Control and Management Engineering, Sapienza University of Rome（计算机、控制与管理工程系，罗马萨皮恩扎大学）；National Research Council in Pisa（比萨国家研究理事会）；Department of Statistics, Ludwig-Maximilians-University of Munich（统计学系，慕尼黑路德维希-马克西米利安大学）；Department of Computer Science, Sapienza University of Rome（计算机科学系，罗马萨皮恩扎大学）
FLANDERS通过多维时间序列异常检测方法，有效防御联邦学习中的大规模模型污染攻击，提升系统鲁棒性。
2024-12-02 cs.AI cs.CR cs.LG
