🤖 AI

Coward: Collision-based OOD Watermarking for Practical Proactive Federated Backdoor Detection

本文介绍了Coward，一种新颖的主动联邦后门检测方法，该方法利用多后门碰撞效应注入精心设计的数字水印，有效克服了现有因非独立同分布数据分布和分布外偏差而导致的局限性。

原作者： Wenjie Li, Siying Gu, Yiming Li, Shuxin Li, Zhili Chen, Tianwei Zhang, Shu-Tao Xia

发布于 2026-05-07

📖 1 分钟阅读☕ 轻松阅读

原作者： Wenjie Li, Siying Gu, Yiming Li, Shuxin Li, Zhili Chen, Tianwei Zhang, Shu-Tao Xia

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，一群邻居试图在不向彼此展示私人照片的情况下，共同绘制一张巨大的社区地图。这就是联邦学习（FL）。每个人都将照片保留在自己的手机上，仅将学到的“经验”发送给中央服务器，服务器将这些经验整合起来，为所有人绘制出更完善的地图。

问题出在哪里？少数“坏邻居”（恶意客户端）可能会试图偷偷植入一个秘密诡计。他们希望这张地图对其他人来说运作完美，但如果你向它展示一张贴有微小、不可见贴纸的猫的照片，地图却突然大喊：“那是狗！”这被称为后门攻击。

捕捉坏邻居的旧方法

该论文指出，以往捕捉这些坏邻居的方法存在两个主要缺陷：

“异常值”方法（被动式）：这种方法假设坏邻居与好邻居相比会显得格格不入。这就像在一群穿西装的人中，保安试图找出戴着小丑鼻子的人。
- 缺陷：在现实生活中，邻居们的照片差异很大（有些人只有猫的照片，有些人只有狗的照片）。这种天然差异使得好邻居看起来也显得“怪异”，导致保安误将无辜者踢出。
“陷阱”方法（主动式，例如 BackdoorIndicator）：这种方法试图更加聪明。服务器会在地图中利用异常、随机的图片（分布外数据，OOD）植入一个“陷阱”。其思路是：“如果某个邻居记住了这个奇怪的陷阱，那他们很可能就是坏的。”
- 缺陷：深度学习模型对它们不理解的事物会表现出奇怪的自信。即使是好邻居，也可能仅仅靠运气就猜对了奇怪陷阱的正确答案，心想：“哦，这看起来像只狗！”这导致服务器错误地指控无辜的邻居。

新方案：“懦夫”（Coward）

作者提出了一种名为Coward的新方法。这个名字略带玩笑意味：之所以叫“懦夫”，是因为它依赖于坏家伙过于激进，从而自己绊倒自己。

以下是其工作原理，使用一个简单的类比：

1. 设置：植入“水印”

服务器不再植入随机的陷阱，而是在地图上植入一个非常具体的水印。

想象服务器拿着一堆随机、奇怪的图片（例如带有蓝色滤镜的猫）。
它教导地图：“如果你看到一只蓝色滤镜猫，你必须回答'8'。”
关键在于，服务器还教导地图：“如果你看到一只带有红色贴纸的蓝色滤镜猫，你必须回答'1'。”

2. 碰撞（“啊哈！”时刻）

论文发现了一种有趣的现象，称为多后门碰撞效应。

如果坏邻居试图安装他们自己的秘密诡计（后门），声称“蓝色滤镜猫 = 0"，这就与服务器声称“蓝色滤镜猫 = 1"的诡计发生了冲突。
由于坏邻居的诡计在与服务器的诡计对抗，坏邻居的诡计会被抹除或削弱。这就像两个人试图向相反方向推一扇沉重的门；门要么不动，要么其中一个人被推了出去。
那些没有试图安装秘密诡计的好邻居，只是温和地学习服务器的规则。他们完美地记住了“蓝色滤镜猫 = 1"这条规则。

3. 检测：谁忘记了规则？

在邻居们更新地图后，服务器会进行检查：

好邻居：“嘿，带有红色贴纸的蓝色滤镜猫说什么？”
- 回答：“它说1！”（他们保留了服务器的规则。） -> 安全。
坏邻居：“嘿，带有红色贴纸的蓝色滤镜猫说什么？”
- 回答：“它说0！”（他们试图覆盖这条规则，但在此过程中，他们把服务器的规则破坏得如此严重，以至于信号微弱或消失。） -> 被抓获。

为什么“懦夫”更好？

该论文声称，这种方法解决了两个大问题：

它忽略了邻居的“怪异”之处：因为它检查的是他们是否保留了一条特定规则，而不是寻找“怪异”的更新，所以它不会因邻居拥有不同类型的照片而感到困惑。
它克服了“自信”问题：旧的“陷阱”方法之所以失败，是因为模型对随机事物的猜测过于自信。“懦夫”的运作方式不同：
- 如果一个模型对随机奇怪图片表现得过于自信（这是旧问题的迹象），在这种情况下，它实际上反而有助于“懦夫”。
- 坏邻居必须破坏服务器的特定规则来隐藏他们自己的规则。这种“碰撞”非常强烈，以至于即使模型对随机事物很自信，也无法掩盖它破坏了服务器特定规则的事实。

结果

作者在标准图像数据集（如 CIFAR-10 和 EMNIST）上测试了这种方法。他们发现：

Coward 几乎能抓获所有坏邻居（高真阳性率）。
Coward 极少误踢好邻居（极低的假阳性率），即使邻居们的数据差异很大。
即使坏邻居试图适应并猜测服务器的诡计，他们在过程中也会毁掉自己的攻击。

简而言之，Coward 是一种巧妙的说法：“我要教你一条特定的规则。如果你试图破坏它以隐藏你的秘密，你会失败得如此彻底，以至于我会知道你是坏人。如果你是好邻居，你只需学会这条规则并保持安全。”

技术摘要：Coward——基于碰撞的 OOD 水印技术用于实用的主动联邦学习后门检测

1. 问题陈述

联邦学习（FL）实现了隐私保护的协同训练，但也引入了严重的后门攻击漏洞，即恶意客户端注入触发器以操纵全局模型。现有的防御机制面临两个关键的实践局限性：

被动检测的局限性（非独立同分布发散）： 传统的被动方法通过检测模型参数或梯度中的异常值来识别恶意客户端。然而，这些方法极易受到联邦学习中固有的非独立同分布（non-i.i.d.）数据分布和随机客户端参与的影响。这些因素导致良性本地模型表现出高方差，往往模仿恶意更新的统计特征，从而导致高误报率或漏检。
主动检测的局限性（OOD 预测偏差）： 最近的主动方法（如BackdoorIndicator）试图通过注入分布外（OOD）模式来干预训练。它们依赖于“共存效应”，即恶意模型比良性模型更好地保留这些模式。然而，这些方法因深度神经网络（DNN）固有的 OOD 预测偏差而受到削弱。DNN 倾向于以高置信度将 OOD 样本分类为任意类别。这种偏差导致良性客户端表现出异常高的 OOD 模式保留率，从而引发频繁的误判（假阳性），使得当前的主动方法不可靠。

2. 方法论：Coward

作者提出了Coward（基于碰撞的 OOD 水印用于鲁棒的联邦后门检测），这是一种受多后门碰撞效应发现启发的主动检测框架。

2.1 核心洞察：碰撞效应

虽然现有工作观察到针对相同标签的后门可以共存，但作者发现，连续植入的针对不同标签的后门会显著相互干扰并抑制对方。这种“碰撞效应”构成了新检测范式的基础。

2.2 检测范式：反转逻辑

Coward 反转了现有主动方法的逻辑：

现有方法（共存）： 注入模式的高保留率 = 恶意。
Coward（碰撞）： 注入水印的高保留率 = 良性。低保留率（擦除）= 恶意。

在这种反转范式中，由良性客户端中 OOD 偏差引起的高置信度预测（此前导致假阳性的原因）变得有益，因为它们表明了水印的保留。

2.3 技术实现

该方法分为三个阶段运行：

水印注入（服务器端）：
- 服务器在 OOD 数据（例如，针对 CIFAR-10 任务的 EMNIST）上构建受控的双映射。
- 受控基础映射（ $\pi_1$ ）： 建立从 OOD 标签到任务标签的固定、一对一映射，以稳定 OOD 空间并减少歧义。这与BackdoorIndicator中使用的随机映射形成对比。
- 目标水印映射（ $\pi_2$ ）： 将特定子集的 OOD 样本分配触发器模式，并映射到固定的目标类别（ $y_m$ ）。
- 全局模型在此 OOD 数据上进行微调，并加入正则化项，以在嵌入水印的同时保持原始任务性能。
水印交互（客户端侧）：
- 客户端在其私有数据上进行本地训练。
- 良性客户端： 仅针对任务损失进行优化。由于非独立同分布数据，它们可能会轻微遗忘 OOD 水印，但通常保留触发器到目标的映射。
- 恶意客户端： 同时针对任务及其特定的后门目标进行优化。由于其后门目标与水印目标不同，碰撞效应发生：恶意后门在本地训练期间主动抑制或擦除服务器注入的水印。
水印检测（服务器端）：
- 服务器使用带水印的 OOD 数据集评估本地模型。
- 它测量特定触发器到目标映射的准确率。
- 决策规则： 水印准确率低于阈值 $\beta$ 的客户端被标记为恶意（表明水印因碰撞而被抑制）。准确率高的客户端被视为良性。

3. 主要贡献

局限性的识别： 本文严谨地分析并证明了非独立同分布数据异质性如何破坏被动检测，以及 OOD 预测偏差如何从根本上限制当前的主动检测方法。
多后门碰撞的发现： 作者识别并表征了针对不同标签的不同后门相互干扰、抑制先前植入效应的现象。
Coward 框架： 一种利用这种碰撞效应创建反转检测范式的新主动检测方法。该设计自然地抵消了 OOD 偏差，因为高置信度的良性预测（先前工作中的误差来源）现在正确地指示了良性行为。
鲁棒性： 该方法引入了一种低干扰的训练干预，内在限制了 OOD 偏差的强度，与最先进基线相比显著减少了误判。

4. 实验结果

在基准数据集（CIFAR-10、CIFAR-100、EMNIST）的各种设置下进行了广泛的实验：

非独立同分布韧性： Coward 在不同程度的数据异质性（ $\alpha = 0.3$ 至 $0.9$）下，始终实现了 95% 以上的真阳性率（TPR）和 10.5% 以下的假阳性率（FPR）。相比之下，被动方法（如 MultiKrum、Flame）在严重异质性下，TPR 显著下降（通常低于 10%）。
高级攻击： 该方法在面对隐蔽攻击（如 Neurotoxin、Chameleon）和各种触发器类型（可见、不可见、语义）时保持了高性能，而被动方法则遭受了显著的性能下降。
多攻击者场景： 即使高达 70% 的客户端是恶意的，Coward 仍然有效，而在该场景下基于异常值的被动方法完全失效。
OOD 偏差缓解： 与BackdoorIndicator相比，Coward 显著降低了 OOD 偏差水平及由此产生的假阳性率，即使在使用多样化或合成 OOD 数据集时也是如此。
自适应攻击： 该方法对试图猜测水印目标的自适应攻击者表现出韧性。此类尝试通常会导致“局部碰撞矛盾”，削弱攻击者自身的后门，从而无法绕过检测。

5. 意义与主张

本文主张，Coward代表了联邦学习中迈向实用化主动后门检测的重要一步。通过将检测基础从“模式保留”（易受 OOD 偏差影响）转变为“模式碰撞”，该方法：

解决了 OOD 偏差挑战： 它将 DNN 在 OOD 数据上固有的高置信度偏差从一种负担转化为良性行为的可靠信号。
克服了非独立同分布敏感性： 它将检测与参数空间异常值解耦，使其对困扰被动方法的数据异质性具有鲁棒性。
提供了新范式： 它确立了联邦学习安全的新方向，利用多个后门之间的干扰，而不是依赖它们的共存。

作者得出结论，Coward 有效地缓解了 OOD 偏差挑战，在保持全局模型主要功能完整性的同时，实现了最先进的性能。