💻 computer science

FinP: Fairness-in-Privacy in Federated Learning by Addressing Disparities in Privacy Risk

本文介绍了 FinP，一种用于联邦学习的新型框架，它通过结合服务端自适应聚合与客户端正则化，在显著降低针对源推理攻击（Source Inference Attacks）的隐私风险差异的同时，保持全局模型的效用，从而实现了隐私公平性。

原作者： Tianyu Zhao, Mahmoud Srewa, Salma Elmalaki

发布于 2026-06-19

📖 1 分钟阅读☕ 轻松阅读

原作者： Tianyu Zhao, Mahmoud Srewa, Salma Elmalaki

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，一群邻居正试图通过分享各自后院的小块信息，来共同构建一张超级智能的社区地图。这就是联邦学习（Federated Learning, FL）。大家并不需要把数据都送到一个中央办公室（这样风险很高），而是把数据留在家里，只向“社区领袖”（服务器）发送更新信息，由其进行汇总。

问题在于：并不是每个人的后院都长得一样。有些邻居拥有非常独特的园艺（离群值/异常值），而大多数人则拥有标准的草坪。在目前的系统中，社区领袖会不小心过度强调那些独特的园艺。这使得这些独特园艺的所有者很容易成为想要窥探他们是谁以及种了什么的间谍的目标。这就是不公平的隐私（Unfair Privacy）：拥有独特数据的人承担了最高的风险，而其他人则相对安全。

本文介绍了一种名为 FinP（公平隐私，Fairness-in-Privacy）的新系统，旨在确保没有任何一个邻居需要独自承担隐私风险的重担。

以下是 FinP 的工作原理，我们使用简单的类比来解释：

问题所在：“独特园艺”效应

在一个普通的社区里，如果一个人拥有一种别人都没有的稀有异域花卉，并且分享了它的照片，大家都能猜到：“噢，那一定是史密斯夫人的花园！”
在联邦学习中，如果一个用户拥有独特的数据（例如一个患有罕见疾病的人或一种非常特殊的步态），AI 模型会“记住”这种独特的模式。间谍（服务器）可以通过观察模型并断言：“这部分地图肯定来自于那个特定的人。”这被称为源推理攻击（Source Inference Attack）。

解决方案：FinP 的两手防御

FinP 就像一个聪明的社区管理员，它使用两种策略来保护那些拥有独特园艺的人，同时又不破坏地图的质量。

1. 客户端修复：“教邻居如何融入大众”

问题： 那些拥有独特园艺的人太努力地展示他们特定的花朵了。用 AI 的术语来说，他们的本地模型正在“过拟合”（过于完美地记忆细节）。
对策： FinP 给这些独特的拥有者一个温柔的提醒。它告诉他们：“不要太专注于你那朵特定的、稀有的花；试着去学习花朵的一般形状。”
运作方式： 系统会衡量一个邻居的数据有多“独特”（使用一种叫做 Hessian 的数学工具，它就像是一张描述学习路径如何陡峭和尖锐的地图）。如果一个邻居的特征过于尖锐和独特，系统就会增加一个“正则化”惩罚。这迫使他们平滑化自己的学习过程，使他们的特征看起来更像平均水平。这就像是告诉那位独特的园丁，把围栏漆成标准颜色，这样就不会那么显眼了。

2. 服务端修复：“加权投票”

问题： 即使独特的园丁们尝试融入大众，社区领袖仍可能在构建最终地图时，给予他们的独特更新过高的权重。
对策： 社区领袖改变了计票方式。
运作方式： 领袖会观察传来的更新信息。如果某个更新看起来过于独特或具有风险（比如一朵巨大的、异域风情的花），领袖会说：“好吧，我们会听取你的意见，但我们不会让你的声音像其他人那样响亮。”他们会动态降低那些最脆弱的客户端的权重。这确保了最终的地图不会过度偏向于那些独特的离群值，从而保护了他们免受身份识别。

结果：一个更公平的社区

该论文在真实场景中测试了这个系统，例如人体活动识别（Human Activity Recognition）和图像识别（CIFAR-10 和 FEMNIST）。

公平性： FinP 成功缩小了“最脆弱者”与“最不脆弱者”之间的差距。它使隐私风险的分布变得更加均匀。论文声称，它将这些差异减少了高达 57%。
效用（有用性）： 通常情况下，当我们增加隐私保护时，地图会变得模糊或准确度下降。FinP 设法让地图几乎保持了原有的清晰度。准确率仅下降了极小的、几乎可以忽略不计的幅度（约 1.75%）。
对比： 论文还测试了“差分隐私”（Differential Privacy，一种常见的通过添加随机噪声——就像收音机里的静电声——来保护数据的方法）。他们发现，虽然噪声增加了隐私性，但往往会让地图变得很差，且无法解决不公平的问题，它只是让所有人的数据都变得同样嘈杂。相比之下，FinP 通过解决根源问题（即独特的记忆行为）而非仅仅添加静态噪声来发挥作用。

总结

FinP 是一个确保在集体学习项目中，拥有独特数据的人不会被单独标记并暴露的系统。它通过教导他们进行泛化学习，并确保团队领袖不会赋予他们的独特数据过大的权力来实现这一目标。其结果是一个隐私得到公平分配，且最终产物依然高度实用的系统。

技术摘要：FinP：通过解决隐私风险差异实现联邦学习中的公平隐私保护

1. 问题陈述

联邦学习（FL）减轻了大规模数据集中的风险，但未能确保所有参与客户端都能获得公平的隐私保护。在以人为中心的联邦学习环境中，统计异质性（非独立同分布数据，non-IID）导致了隐私风险的不平等分布。具体而言，拥有独特或离群数据分布的客户端（例如，在人体活动识别中具有特定身体残疾的个体）容易出现局部过拟合并导致过拟合。这种过拟合会导致其局部模型记住独特的训练点，从而使其在**源推理攻击（Source Inference Attacks, SIA）**面前显得特别脆弱。

与旨在确定某条记录是否被用于训练的成员推理攻击（MIA）不同，SIA 能够识别出生成该记录的具体客户端。这通过将敏感数据与现实世界的上下文（如设备或位置）相联系，破坏了匿名性。现有的隐私防御措施（如差分隐私 DP）通常注入统一的噪声，这在无法解决每客户端暴露程度差异的情况下降低了全局效用；在某些情况下，它们甚至会加剧不公平性，因为它们在惩罚代表性良好的客户端的同时，未能有效掩盖偏斜客户端的独特更新。本文指出一个关键差距：缺乏一个能够形式化并强制执行**公平隐私（fairness-in-privacy）**的框架，即确保没有任何单一群体承担不成比例的隐私脆弱性负担。

2. 方法论：FinP 框架

FinP 是一个旨在通过解决隐私差异的症状（不平等的风险聚合）和根源（局部过拟合）来实现公平隐私保护的创新框架。它采用了一个涉及服务端和客户端干预的闭环、双管齐下的防御策略。

2.1 威胁模型

该框架在“诚实但好奇（honest-but-curious）”的服务端假设下运行。服务端忠实地执行联邦学习协议，但试图从模型更新和曲率指标中推断敏感的客户端信息。主要威胁是一个两阶段攻击：

成员推理攻击 (MIA)： 确定目标数据点 $x$ 是否属于全局训练集。
源推理攻击 (SIA)： 如果确认 $x$ 是训练集的一部分，则识别出生成它的特定客户端 $C_i$ 。

2.2 客户端干预：协作式过拟合削减

为了解决脆弱性的根源（局部过拟合），FinP 引入了一种反馈驱动的正则化机制：

相对过拟合估计： 客户端使用局部模型的最高 Hessian 特征值 ( $\lambda_{max}$ ) 和 Hessian 迹 ( $H_T$ ) 来局部估计其过拟合程度。这些指标表征了损失函数的平滑度（sharpness）；更陡峭的景观意味着严重的过拟合。
相对排名 ( $\rho_k$ )： 服务端聚合这些标量指标，为每个客户端计算一个相对过拟合排名 ( $\rho_k$ )，代表该客户端相对于整个联邦的脆弱程度。该排名作为针对性反馈传回客户端。
自适应正则化： 在收到 $\rho_k$ 后，客户端通过添加一个受 Lipschitz 常数（由 Jacobian 谱范数近似）约束的正则项来修改其局部损失函数。修改后的损失函数为：
$L^*_k = L_k + \beta \cdot \rho_k \cdot ||J_k||$
此处， $\beta$ 是任务相关的参数。具有较高相对过拟合排名 ( $\rho_k$ ) 的客户端会被施加更强的正则化，迫使其学习更具泛化能力的表示，从而降低其对 SIA 的易感性。

2.3 服务端干预：自适应聚合

为了解决差异的症状，服务端动态调整客户端更新的聚合权重：

风险量化： 服务端使用客户端的相对过拟合排名 ( $\rho_k$ ) 作为隐私风险的代理指标。
自适应轻量级聚合 (ALA)： 服务端计算与风险排名成反比的聚合权重 ( $\alpha_k$ )：
$\alpha_k = \frac{1 - \rho_k}{\sum_{i=1}^K (1 - \rho_i)}$
该机制降低了高脆弱性客户端对全局模型的影响，防止其记忆的离群表示不成比例地塑造全局参数。
替代基准： 本文还评估了一种基于 PCA 的风险量化策略，但强调 ALA 是更适合实际部署的计算高效且可扩展的解决方案。

3. 核心贡献

本文概述了四个主要贡献：

形式化定义： 针对现实世界的人类中心机器学习系统，引入了公平隐私 (FinP) 的形式化定义，重点关注隐私风险的公平分配。
操作化： 在联邦学习中实现了 FinP 的测量，特别是量化了对源推理攻击 (SIA) 的脆弱性。
新颖框架： 提出了一个结合自适应服务端聚合和基于 Hessian 客户端正则化的双管齐下技术框架，以优化 FinP。
实证验证： 在真实世界 (HAR) 和标准数据集 (FEMNIST, CIFAR-10) 上进行了全面评估，证明了在极小损失全局效用的情况下，显著提升了隐私公平性。

4. 实验结果

框架在三个数据集上进行了评估：人体活动识别 (HAR)、CIFAR-10 和 FEMNIST，并将 FinP 与标准的 FedAvg、先进的异质性防御 (FedAlign) 以及差分隐私 (DP-SGD) 进行了对比。

4.1 隐私公平性改进

HAR 数据集： FinP 将 SIA 准确率的变异系数 (CoV) 从 0.94（基准）降至 0.89，使公平指数 (FI) 提升了 5.56%。它将等机会差异 (EOD) 降低了 5.45%，表明对手的成功率在各客户端之间更加均匀。
CIFAR-10 数据集： 与 FedAlign 相比，FinP 在预测损失的公平指数 (FI(Loss)) 上实现了 43.1% 的提升。它将 EOD 降低了 57.14%，在数学上保证了对手的真阳性率更加统一。
绝对隐私： 在 CIFAR-10 上，FinP 将平均 SIA 准确率从约 30.86% (FedAvg) 降至 10.07%，有效地将攻击成功率降低到了随机猜测 (1/10) 的水平。

4.2 效用与效率

模型效用： 与典型的隐私-效用权衡相反，FinP 维持甚至略微提升了全局模型效用。在 CIFAR-10 上，FinP 达到了 78.46% 的测试准确率，略高于 FedAvg 的 77.62%。在 HAR 上，性能下降极小（约 1.75%）。
效率： 该框架仅需略微增加收敛所需的通信轮数（例如，在 HAR 中为 10 轮对比基准的 9 轮）。
与 DP 的比较： 研究发现，差分隐私 (DP-SGD) 会大幅降低效用（例如，在 HAR 上准确率下降 34.7%），同时未能改善经验隐私公平性，往往反而恶化了公平指数。

4.3 消融研究

组件协同作用： 全闭环系统（服务端 + 客户端）产生了最高的公平性增益。仅靠服务端聚合只能解决症状，但不足以实现结构性公平；仅靠客户端正则化虽然减少了过拟合，但缺乏平衡风险分布的全局协调。
计算实用性： 自适应轻量级聚合 (ALA) 策略实现了与计算昂贵的 PCA 基准方案相同的公平性提升，但其计算时间仅为后者的 17%。

5. 重要性与主张

本文声称 FinP 通过将脆弱性差异降低高达 57.14%，同时将全局模型效用保持在标准联邦基准的 ±1.75% 范围内，建立了公平的隐私保护。

作者认为 FinP 的重要性在于：

它将关注点从平均隐私保证转向了公平的风险分布，解决了“零信任”现实中泄露不可避免的问题。
它证明了强大的公平隐私保证不必以牺牲模型效用为代价；事实上，通过惩罚局部记忆，该框架可以提高泛化能力和全局准确率。
3.它提供了一个可扩展、实用的解决方案（通过 ALA），避免了传统方法的计算瓶颈，使其适用于资源受限的现实世界联邦学习部署。
它为政策制定者和系统设计者提供了切实的指标（如 EOD 和 FI），用以强制执行公平保护并培养公众对 AI 系统的信任。

文章总结道，如果不明确解决风险分配不平等的问题，联邦学习可能会强化其试图规避的社会不平等，而 FinP 提供了一种防止这种数字不平等的结构化机制。