🤖 machine learning

Robust Federated Inference

本文通过形式化该问题、分析基于平均的聚合器的局限性，并提出一种结合对抗训练与测试时鲁棒聚合的新型基于 DeepSet 的框架，以显著超越现有方法的精度，从而解决联邦推理面临的关键脆弱性攻击问题。

原作者： Akash Dhasade, Sadegh Farhadkhani, Rachid Guerraoui, Nirupam Gupta, Maxime Jacovella, Anne-Marie Kermarrec, Rafael Pinot

发布于 2026-04-15

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Akash Dhasade, Sadegh Farhadkhani, Rachid Guerraoui, Nirupam Gupta, Maxime Jacovella, Anne-Marie Kermarrec, Rafael Pinot

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文主要解决了一个关于**“如何安全地听取多方意见”**的问题。

想象一下，你是一位校长（服务器），手里有一群学生（客户端/模型）。这些学生各自在本地学习，拥有自己的知识（私有数据），但他们的知识水平参差不齐，甚至可能混进了几个捣蛋鬼（恶意攻击者）。

现在，你有一个问题要问大家，希望得到一个最准确的答案。这就是**“联邦推理”（Federated Inference）**：校长不收集学生的作业（数据），而是直接问他们答案，然后把大家的答案汇总起来。

这篇论文的核心就是：当捣蛋鬼故意乱写答案时，校长该如何聪明地汇总，才能不被带偏？

以下是用通俗语言和大白话对论文内容的拆解：

1. 现状：大家以前是怎么做的？（简单平均 vs. 被带偏）

以前的做法（简单平均）：
校长把 10 个学生的答案加起来除以 10。
- 问题： 如果有 3 个捣蛋鬼故意写“答案是 999"，而好学生都写“答案是 1"，平均一下可能变成"300"，完全错了。
以前的改进（鲁棒平均）：
校长很聪明，知道去掉最高分和最低分（比如去掉 3 个捣蛋鬼的极端答案），再算平均。这就像**“去尾平均法”**。
- 问题： 论文发现，即使去掉了捣蛋鬼，如果好学生们的答案本身有点“分歧”（比如有的觉得是 1，有的觉得是 2），或者捣蛋鬼很狡猾，把答案改得离正确答案很近但又不一样，简单的“去尾平均”还是可能选错答案。这就好比虽然去掉了最离谱的分数，但剩下的分数里，正确答案和错误答案太接近，校长还是容易看走眼。

2. 核心发现：为什么简单的“去尾”不够用？

论文作者做了一个数学分析，发现校长犯错主要看三个因素：

捣蛋鬼的比例： 坏学生越多，越难办。
好学生之间的分歧： 如果好学生们自己都吵得不可开交（答案差异大），校长很难判断谁对。
正确答案的“底气”： 如果正确答案比其他答案强很多（比如正确答案概率 90%，其他都只有 5%），那就不容易错；如果正确答案只比第二名多一点点（比如 40% vs 39%），那就很容易因为一点点干扰而选错。

结论： 仅仅把捣蛋鬼踢出去（去尾平均）是不够的，因为好学生们的答案本身可能就很模糊，或者捣蛋鬼玩的是“微调”战术。

3. 创新方案：DeepSet + 对抗训练（给校长装个“超级大脑”）

为了解决这个问题，作者提出了一套**“组合拳”，就像给校长装了一个AI 辅助系统**：

第一步：给校长装个“超级大脑”（DeepSet 模型）

校长不再只是简单的加减乘除，而是用了一个神经网络（DeepSet）。

比喻： 这个大脑非常聪明，它不在乎学生回答的顺序（不管先问谁后问谁，结果一样）。它能从复杂的回答模式中学习规律。
难点： 怎么训练这个大脑？如果每次训练时，捣蛋鬼是谁都不固定（今天可能是张三，明天可能是李四），那训练量太大了，根本算不过来。
妙招： 作者发现，只要随机抽取一小部分捣蛋鬼组合来训练，大脑就能学会识别“捣蛋鬼的特征”，而不需要穷举所有可能性。这就像**“以不变应万变”**。

第二步：双重保险（对抗训练 + 推理时的去尾）

作者把两个技术结合在了一起：

对抗训练（Adversarial Training）： 在训练校长的大脑时，故意制造各种“捣蛋鬼”来攻击它，让它学会在混乱中保持清醒。这就好比**“在模拟战中练级”**。
推理时的去尾（Robust Averaging）： 当真正考试（推理）时，校长的大脑在输出最终答案前，先过一道“去尾平均”的滤网，把最离谱的异常值再过滤一次。

比喻： 这就像是一个**“经过特种部队特训的裁判”（对抗训练），在吹哨前，还会“先剔除几个明显作弊的选手”**（去尾平均）。

4. 效果如何？（大获全胜）

作者在各种考试（数据集：CIFAR-10, CIFAR-100, AG-News）上测试了这套方法：

对手： 传统的“去尾平均”、简单的“中位数投票”、以及之前其他的防御方法。
攻击者： 各种高智商的捣蛋鬼（包括一种新发明的“最强反向攻击 SIA"）。
结果： 作者的这套“超级大脑 + 双重保险”组合，在所有测试中都表现最好。
- 在极端困难的情况下，准确率比第二名高出 4.7% 到 22.2%。
- 这就像在满是干扰的嘈杂房间里，只有这位校长能听清正确答案，其他人都在乱猜。

5. 总结：这篇论文到底说了什么？

简单来说，这篇论文告诉我们：
在多方协作（联邦学习/推理）的场景下，简单的“少数服从多数”或“去掉极端值”已经不够用了。面对狡猾的干扰，我们需要：

更聪明的聚合器（用神经网络代替简单的数学平均）。
更严格的训练（在训练中模拟各种攻击，让模型变强）。
双重防御（训练时练级，使用时再过滤）。

一句话比喻：
以前我们以为把捣乱的人踢出去，剩下的好人平均一下就能得高分；现在作者告诉我们，好人也可能意见不一，捣乱的人也很狡猾。所以，我们需要一个经过“魔鬼训练”的超级裁判，它既能理解好人的复杂意见，又能一眼识破捣乱者的伪装，从而在混乱中做出最准确的判断。

技术摘要：鲁棒的联邦推理

问题定义

本文解决了联邦推理（Federated Inference）中鲁棒性的关键缺口。联邦推理是一种范式，其中中央服务器聚合多个客户端持有的模型（例如，通过一次性联邦学习、边缘集成或联邦集成）的预测，而无需访问本地数据或模型权重。虽然现有文献关注此类集成的准确性，但很大程度上忽视了它们对拜占庭故障和中毒输出的脆弱性。

作者将鲁棒联邦推理问题形式化如下：

设置：一个包含 $n$ 个客户端的系统，每个客户端拥有一个局部概率值分类器 $h_i$ ，将输入映射到概率单纯形 $\Delta_K$ 。
威胁模型：多达 $f < n/2$ 个客户端（身份隐藏）可能在推理时返回任意损坏的概率向量。
目标：设计一种聚合方案 $\psi$ ，以最小化鲁棒联邦推理风险（ $R_{adv}$ ），定义为在所有大小为 $f$ 的损坏模式下的最坏情况预测误差，同时保持在全局数据分布上的准确性。

本文区分了两种类型的聚合器：

线性（基于平均）：服务器在取 argmax 之前，计算客户端概率的鲁棒平均值（例如，坐标截断均值 - CWTM）。
非线性（学习式）：服务器使用训练好的神经网络聚合器来组合客户端概率，这在未损坏的设置中显示出优越的性能，但缺乏鲁棒性保证。

方法论

1. 基于平均的聚合器分析

作者首先将鲁棒平均方案（如 CWTM）作为基线进行分析。他们证明，虽然鲁棒平均确保了输出在 $\ell_2$ 范数上接近诚实概率的平均值，但由于 argmax 算子的非连续性，这种接近性并不能保证正确的分类。

理论洞察：他们推导出了一个鲁棒性证书，表明聚合器的误差取决于三个因素：
1. 损坏比例（ $f/n$ ）。
2. 诚实客户端输出之间的差异（ $\sigma_x$ ）。
3. 前两个预测类别之间的间隔（margin）。
结论：即使聚合在统计意义上是鲁棒的，当间隔较小或客户端模型高度不同时，鲁棒平均也是不足的。

2. 将鲁棒推理作为对抗性机器学习问题

对于非线性聚合器，作者将该问题表述为概率向量空间上的对抗学习问题。

挑战：标准对抗训练在计算上是不可行的，因为可能的对抗子集（从 $n$ 个客户端中选择 $f$ 个恶意客户端）的集合具有高基数（ $\binom{n}{f} \times f!$ ）。
解决方案（DeepSet）：作者提出使用DeepSet架构（Zaheer 等人，2017），该架构具有置换不变性。这一特性允许将搜索空间从置换减少到组合（ $\binom{n}{f}$ ），从而使问题更易于处理。
近似：作者没有枚举所有对抗子集，而是在训练期间采样少量 $N$ 个随机对抗配置（ $N \ll \binom{n}{f}$ ），并对选定对抗者的概率应用多步快速梯度符号法（FGSM）进行扰动。

3. DeepSet-TM 组合

为了进一步增强鲁棒性，作者在推理时引入了一种新颖的对抗训练与鲁棒平均的组合：

架构：一个 DeepSet 模型，其中输入概率首先由鲁棒平均算子（CWTM）处理，然后输入到神经网络聚合器中。
训练策略：模型在原始概率（无 CWTM）上进行对抗训练，以学习鲁棒特征。
推理策略：在测试时，在 DeepSet 推理之前将鲁棒平均（CWTM）应用于客户端输入。这将训练成本与推理时的鲁棒性机制解耦，防止训练过程变得极其昂贵。

主要贡献

形式化：首次对拜占庭损坏下的联邦推理问题进行了正式定义和鲁棒性分析。
理论界限：推导了线性（平均）和非线性（DeepSet）聚合器的形式化鲁棒性证书，将误差率与损坏比例、模型差异和预测间隔联系起来。
算法创新：提出了DeepSet-TM，一种结合置换不变神经网络、对抗训练和推理时鲁棒平均的方法。该方法解决了针对任意对抗子集进行训练的计算不可行性问题。
新攻击：引入了最强逆向攻击（SIA），这是一种利用次高概率类别来翻转聚合决策的新型白盒和黑盒攻击，用于严格评估防御措施。

实验结果

作者在CIFAR-10、CIFAR-100和AG-News上评估了他们的方法，使用了不同的模型家族（ResNet-8、ViT-B/32、DistilBERT）和不同程度的数据异构性（ $\alpha \in \{0.3, 0.5, 0.8\}$ ）。

性能：DeepSet-TM 始终优于现有的鲁棒聚合基线（CWTM、CWMed、几何中位数）和最先进的防御方法（COPUR、流形投影）。
改进：该方法在各种基准和攻击类型中，最坏情况下的准确率提高了4.7% 至 22.2%。
对强攻击的鲁棒性：在提出的 SIA 和 PGD-cw 攻击下，基线方法的准确率通常下降 35–40 个百分点，而 DeepSet-TM 将下降幅度限制在 20–30 个百分点。在 AG-News 上，DeepSet-TM 在 PGD-cw 攻击下保持了 83.2% 的准确率，而基线方法仅为约 53%。
可扩展性：该方法随着客户端数量（ $n=10, 17, 25$ ）和对抗者数量（ $f=3, 4, 5$ ）的增加而有效扩展，在系统增长时保持优越的性能。
效率：虽然对抗训练产生了一次性成本（约 1.5 小时），但推理延迟保持较低（每批次约 0.3 毫秒），使其适用于跨孤岛（cross-silo）设置。

意义与主张

本文主张，鲁棒联邦推理是一个独特且关键的问题，不能简单地通过应用现有的拜占庭鲁棒训练技术或净化方法（如 COPUR）来解决，这些方法在概率空间或强攻击下往往失效。

这项工作的意义在于：

弥合差距：它提供了第一个全面的框架，用于保护联邦推理，这是一种利用专有模型（包括大语言模型）而无需集中数据的日益增长的范式。
新颖组合：通过将对抗性机器学习文献中的对抗训练与鲁棒统计/拜占庭机器学习文献中的鲁棒平均相结合，作者证明了这两个领域可以协同结合，以实现最先进的鲁棒性。
实用性：提出的DeepSet-TM提供了一种实用的解决方案，在针对复杂攻击的高鲁棒性与可接受的计算开销之间取得了平衡，特别适用于客户端静态但推理请求动态的跨孤岛场景。

作者得出结论，他们的方法为联邦推理设定了新的最先进水平，有效地防止了技术优势在恶意行为者存在的情况下变成重大漏洞。