🤖 machine learning

No More Guessing: a Verifiable Gradient Inversion Attack in Federated Learning

Dit paper introduceert VGIA, een verifieerbare aanval op federatief leren die de privacy van tabulardata bedreigt door reconstructies van trainingsrecords met een wiskundig certificaat van juistheid te valideren, waardoor exacte herstel mogelijk is in scenario's waar bestaande methoden falen.

Oorspronkelijke auteurs: Francesco Diana, Chuan Xu, André Nusser, Giovanni Neglia

Gepubliceerd 2026-04-17

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Francesco Diana, Chuan Xu, André Nusser, Giovanni Neglia

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat Federated Learning (Federatief Leren) een grote, veilige vergaderzaal is waar honderden mensen (de "clients") samenwerken om een slimme computer te trainen, zonder hun geheime documenten uit hun eigen koffers te halen. Ze sturen alleen hun samenvattingen (de "gradiënten") naar de centrale leider (de "server"). De regel is: "Je mag je eigen data niet delen, alleen je conclusies."

Maar wat als die samenvattingen eigenlijk te veel vertellen?

Dit artikel introduceert een nieuwe manier om die geheimen te onthullen, genaamd VGIA (Verifiable Gradient Inversion Attack). Laten we het uitleggen met een paar creatieve vergelijkingen.

1. Het Probleem: De "Grote Soep"

Stel je voor dat elke deelnemer een recept voor een soep heeft. Ze sturen de server een potje met de gemiddelde smaak van hun soep.

Het oude probleem: Als de server een potje met soep krijgt, kan hij proberen te raden welke ingrediënten erin zaten. Maar als er 100 mensen tegelijk hun soep hebben gemengd, is het een enorme soep.
De oude aanpak: Eerdere hackers probeerden te raden door te gissen. "Misschien is er een beetje wortel in?" Ze keken naar de smaak en probeerden het recept te reconstrueren.
- Maar hier zit de klem: Bij foto's of tekst kun je kijken of het resultaat eruitziet als een hond of een zin. Maar bij tabulaire data (zoals cijfers over inkomen, huizenprijzen of gezondheid) is dat lastig. Als de hacker een getal reconstrueert als "54.2", hoe weet hij of dat het echte inkomen was van meneer Jansen of een foutje? Hij moet blijven gissen.

2. De Oplossing: VGIA (De "Magische Scherf")

De auteurs van dit paper zeggen: "Stop met gissen. We gaan het bewijzen."

Hun methode, VGIA, werkt als een slimme laser-scherm die door de soep snijdt.

De Geometrische Vergelijking:
Stel je voor dat je een grote bak met ballen hebt (de data). Je wilt weten waar elke bal precies zit.
- De oude methode (CTP) was als het nemen van een mes en de bak in heel dunne plakjes snijden, tot je dacht: "Ah, hier zit maar één bal." Maar je wist niet zeker of je niet twee ballen die heel dicht bij elkaar zaten, per ongeluk in één plakje had laten vallen. Je moest blijven snijden tot je het niet meer zeker wist.
- VGIA is slimmer. Het gebruikt wiskunde als een detective. Het snijdt de bak in plakjes en zegt dan: "Wacht even, ik heb een wiskundig bewijs dat in dit specifieke plakje exact één bal zit."

3. Hoe werkt het? (De "Scheidingstest")

De hacker (de server) is niet passief; hij is een boze meester die de regels van het spel manipuleert.

De Valstrik: De server verandert de instellingen van het model zo, dat hij een onzichtbare muur (een "hyperplane") in de ruimte van de data kan plaatsen.
De Test: Hij vraagt: "Zitten er ballen links of rechts van deze muur?"
Het Certificaat: Als de server ziet dat een stukje ruimte precies één bal bevat, doet hij een wiskundige berekening (een "algebraïsche test"). Dit is als het controleren van een paspoort. Als de test slaagt, zegt de computer: "Ik heb het bewijs. Dit is 100% het echte getal van meneer Jansen."

Er is geen twijfel meer. Geen "misschien", geen "het lijkt erop". Het is een verifieerbaar certificaat.

4. Waarom is dit belangrijk?

Voor tabulaire data: Dit is het eerste keer dat iemand kan bewijzen dat hij een specifiek persoon's inkomen of ziektegeschiedenis heeft gestolen uit een federatief leerproces, zonder dat hij daarvoor een "gok" hoeft te doen.
Efficiëntie: De oude methoden moesten soms 20 keer "snijden" om zeker te zijn. VGIA doet het in 10 keer, omdat het stopt zodra het bewijs heeft. Het is sneller en kost minder energie.
De les: Het laat zien dat "privacy door verzwijging" (data niet delen) niet genoeg is. Zelfs als je alleen je "samenvatting" deelt, kan een slimme hacker met de juiste gereedschappen je volledige dossier reconstrueren.

Samenvatting in één zin

Stel je voor dat je denkt dat je veilig bent omdat je alleen je handtekening op een briefje hebt gezet in plaats van je paspoort te tonen; dit artikel toont aan dat een slimme hacker met een nieuwe soort "magnifier" (VGIA) niet alleen je handtekening kan nabootsen, maar ook 100% zeker kan bewijzen dat het jouw paspoort is, zonder ooit je eigen document te hebben gezien.

De boodschap: In de wereld van Federated Learning is "gokken" over privacy niet meer nodig. We hebben nu een methode die privacyrisico's bewijst, en dat maakt de dreiging voor onze privacy (vooral bij cijfermatige data) veel reëler dan we dachten.

1. Het Probleem: Privacyrisico's in Federated Learning

Federated Learning (FL) is een raamwerk waarbij modellen worden getraind zonder dat ruwe data van clients naar een centrale server wordt verzonden. In plaats daarvan worden lokale updates (gradiënten) gedeeld. Hoewel dit privacybeloften doet, hebben recente studies aangetoond dat Gradiënt Inversie Aanvallen (GIA) privé-informatie kunnen reconstrueren uit deze gedeelde gradiënten.

De kernuitdaging die dit artikel adresseert, is het verificatieprobleem:

Bestaande aanvallen (zowel optimalisatie- als analytische methoden) kunnen vaak geen zekerheid geven of een gereconstrueerde sample daadwerkelijk overeenkomt met de oorspronkelijke data.
Bij beeld- of tekstdata kunnen aanvallers soms visueel of semantisch beoordelen of een reconstructie plausibel is.
Bij tabulaire data (numerieke records, veel gebruikt in financiële of medische FL-toepassingen) ontbreekt deze semantische validatie. Een aanval kan een "ruisachtige" of onjuiste reconstructie produceren die eruitziet als een geldig record, maar feitelijk fout is. Zonder een intrinsieke manier om succes te certificeren, is het moeilijk om de daadwerkelijke privacyrisico's te kwantificeren.

2. Methodologie: VGIA (Verifiable Gradient Inversion Attack)

De auteurs introduceren VGIA, een nieuwe analytische aanval die een expliciet certificaat van correctheid biedt voor gereconstrueerde samples. De methode werkt binnen het malicious server threat model, waarbij de server modelparameters actief manipuleert om datalekken te forceren.

De aanpak bestaat uit drie hoofdstappen:

A. Geometrische Isolatie via ReLU-lekkage

De aanval maakt gebruik van de eigenschappen van ReLU-activeringen in volledig verbonden lagen.

Een neuron met gewichten $W$ en bias $b$ definieert een hyperplane in de inputruimte.
Door de bias $b$ te variëren (terwijl de gewichten constant blijven), verschuift deze hyperplane en verdeelt hij de batch van samples in "actieve" en "inactieve" zones.
De server vraagt meerdere hyperplanes op door verschillende neuronen te manipuleren met dezelfde gewichten maar verschillende biases.

B. Algebraïsche Subruimte-Verificatie (De Kerninnovatie)

In tegenstelling tot eerdere methoden (zoals CTP van Diana et al., 2025) die blijven zoeken tot een vooraf bepaald kleine afstand ( $\epsilon$ ) wordt bereikt, introduceert VGIA een algebraïsche verificatiestap:

De server berekent "slice vectors" ( $s_k$ ), die lineaire combinaties zijn van de samples tussen twee opeenvolgende hyperplanes.
Als een slice leeg is, is de vector nul.
Propositie 4.1: Als een slice niet-leeg is, kan de server bepalen of deze exact één sample bevat door te kijken naar de lineaire afhankelijkheid (de rang van de subruimte) tussen de slice-vector van de huidige ronde en de slice-vectors van de volgende ronde (waarbij extra hyperplanes worden toegevoegd).
- Als de dimensie van de subruimte niet toeneemt wanneer nieuwe hyperplanes worden toegevoegd, is bewezen dat de slice precies één sample bevat.
- Dit elimineert de noodzaak voor heuristieken of het kennen van de minimale afstand tussen samples ( $\epsilon_w$ ).

C. Analytische Reconstructie

Zodra een slice is geverifieerd als bevattende één enkel sample:

De inputfeatures ( $x_k$ ) worden exact hersteld door de slice-vector te delen door een schalingsfactor die wordt afgeleid uit de bias-gradiënten.
De targetwaarde ( $y_k$ ) wordt vervolgens hersteld via een lichte optimalisatiestap (univariate optimalisatie) om de fout tussen de berekende en de werkelijke gradiënt te minimaliseren.

3. Belangrijkste Bijdragen

VGIA: Een nieuwe analytische gradiëntinversie-aanval die een expliciet certificaat van correctheid biedt. De aanval weet met zekerheid wanneer een reconstructie juist is, zonder afhankelijk te zijn van ground-truth data of menselijke inspectie.
Exacte Herstelbaarheid: Voor het eerst wordt bewezen dat zowel continue inputfeatures als continue targetwaarden (in regressie) exact kunnen worden hersteld in een FL-context, zelfs bij grote batchgroottes.
Efficiëntie: De methode is adaptief. In plaats van de hele ruimte te bisecteren tot een willekeurige $\epsilon$ , stopt de zoektocht zodra isolatie is bewezen. Dit leidt tot snellere reconstructies met minder communicatierondes.
Toepasbaarheid: De aanval werkt effectief op tabulaire data (waar eerdere methoden faalden of niet verifieerbaar waren) en is ook getest op beelddata (CIFAR-10).

4. Experimentele Resultaten

De auteurs hebben VGIA getest op vier benchmarks: drie tabulaire datasets (ACS Income, King County Housing, HARUS) en één beelddataset (CIFAR-10).

Vergelijking met CTP (State-of-the-Art):
- Snelheid: VGIA herstelt alle samples in ACS Income (2048 records) binnen 11 rondes, terwijl de beste CTP-configuratie (met perfecte kennis van $\epsilon$ ) 20 rondes nodig heeft.
- Verificatie: CTP kan pas na 20 rondes garanderen dat alle samples correct zijn (als $\epsilon$ goed is gekozen). VGIA kan dit al na 12 rondes certificeren.
- Fouten: Bij een suboptimale keuze van $\epsilon$ (wat in de praktijk vaak gebeurt), faalt CTP vaak of produceert het veel "spurious reconstructions" (foute samples die er goed uitzien). VGIA produceert geen valse positieven; als het een sample reconstrueert, is het correct.
Robuustheid: De aanval werkt zelfs bij grote batchgroottes en in regressie-scenario's, waar eerdere analytische methoden vaak faalden vanwege de beperking dat de batchgrootte kleiner moet zijn dan de inputdimensie.

5. Betekenis en Impact

Privacy Audit: VGIA biedt een strikte, wiskundige basis voor het auditen van privacyrisico's in Federated Learning. Het weerlegt het idee dat tabulaire data veiliger is dan beeld- of tekstdata; het probleem was eerder het ontbreken van een verifieerbare aanval.
Waarschuwing: Het artikel benadrukt dat de huidige veronderstelling dat "data op de client blijft privacy garandeert" fundamenteel onjuist is, zelfs zonder toegang tot externe datasets.
Toekomst: Hoewel de aanval nu werkt op volledig verbonden netwerken, wijzen de auteurs op de noodzaak om deze methoden uit te breiden naar complexere architecturen (zoals Transformers) en om effectieve verdedigingsmechanismen te ontwikkelen die specifiek gericht zijn op het voorkomen van deze type analytische lekken.

Conclusie:
"No More Guessing" toont aan dat aanvallers niet langer hoeven te gokken of hun reconstructies correct zijn. Met VGIA kunnen ze wiskundig bewijzen dat een specifiek privé-record is gestolen, wat de urgentie van robuuste privacybescherming in Federated Learning, vooral voor tabulaire data, verder onderstreept.