💻 computer science

ProtoGuard-SL: Prototype Consistency Based Backdoor Defense for Vertical Split Learning

本文提出了 ProtoGuard-SL，一种基于原型一致性的服务器端防御机制，通过利用嵌入空间中的类条件表示稳定性并结合分布无关的共形过滤策略，有效检测并剔除垂直联邦学习中的投毒后门攻击，从而在多个数据集和攻击场景下实现了最先进的防御性能。

原作者： Yuhan Shui, Ruobin Jin, Zhihao Dou, Zhiqiang Gao

发布于 2026-04-07

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Yuhan Shui, Ruobin Jin, Zhihao Dou, Zhiqiang Gao

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文介绍了一种名为 ProtoGuard-SL 的新方法，专门用来保护一种叫做“垂直分割学习”的协作模式，防止坏人偷偷在里面“下毒”。

为了让你更容易理解，我们可以把整个过程想象成一群厨师（客户端）和一位主厨（服务器）合作做一道大菜的故事。

1. 背景：大家分工合作，但互不信任

想象一下，我们要做一道复杂的“健康预测菜”（比如预测病人会不会生病）。

厨师们（客户端）：每家医院手里只有一部分食材（数据）。A 医院有病人的照片，B 医院有化验单，C 医院有病史。他们不能把原始食材（隐私数据）直接给主厨，因为涉及隐私。
主厨（服务器）：拥有最终的食谱（标签，比如谁病了谁没病），但他看不到具体的食材。
合作方式：厨师们先把各自的食材加工成“半成品汤底”（中间嵌入向量），发给主厨。主厨把这些汤底混合，尝一尝，再告诉厨师们怎么调整味道。这样，大家就能合作做菜，却不用交换原始食材。

2. 问题：坏厨师的“隐形毒药”

最近发现，这种模式有个大漏洞。如果其中有一个坏厨师（恶意客户端），他可以在端给主厨的“汤底”里偷偷加一种**“隐形毒药”（后门攻击）**。

毒药的特点：这种毒药非常隐蔽。平时喝汤（正常数据）尝不出来，味道和正常汤底几乎一模一样。
触发机制：但是，一旦主厨在汤里看到特定的“暗号”（比如汤里飘着一片特定的香菜叶，即触发器），主厨就会立刻把这道菜判定为“毒药”（比如把健康人误判为绝症，或者把绝症误判为健康），完全听坏厨师的指挥。
难点：因为毒药混在正常的汤里，传统的检查方法（比如闻闻有没有怪味、看看汤色对不对）根本发现不了，因为坏厨师很聪明，把毒药伪装得和正常汤底几乎一样。

3. 解决方案：ProtoGuard-SL（原型卫士）

这篇论文提出的 ProtoGuard-SL 就像是一位拥有“超级味觉”和“记忆库”的质检员。它的核心思想是：“物以类聚，人以群分”。

核心逻辑：

建立“标准味道库”（构建原型）：
主厨手里有所有菜品的最终结果（标签）。他知道“红烧肉”应该是什么味道，“清蒸鱼”应该是什么味道。
他先把所有正常的“红烧肉汤底”尝一遍，算出一个**“标准红烧肉味道”（这就是原型**）。这个标准味道是大多数正常汤底共同拥有的“灵魂”。
改变“尝味方式”（一致性转换）：
以前，质检员是直接看汤底长什么样（原始空间），毒药伪装得好，很难分辨。
现在，ProtoGuard-SL 换了一种方式：它不看汤底本身，而是看**“这碗汤和‘标准红烧肉味道’有多像，和‘标准清蒸鱼味道’又有多像”**。
- 好汤底：如果是红烧肉，它和“标准红烧肉”会非常亲密（相似度很高），和“清蒸鱼”会离得很远。这种关系很稳定。
- 毒药汤底：坏厨师为了加毒药，强行扭曲了汤的味道。虽然它看起来像红烧肉，但它和“标准红烧肉”的内在关系乱了，或者它和“清蒸鱼”的关系变得很奇怪。
抓出“异类”（过滤策略）：
质检员发现，有一碗汤虽然标着“红烧肉”，但它和“标准红烧肉”的关系非常疏远，或者它和所有其他红烧肉的关系都格格不入。
这时候，质检员不需要知道毒药具体是什么，只要发现它**“不合群”**（偏离了同类人的正常社交圈），就直接把它扔出去！

4. 为什么这个方法厉害？

不用猜毒药长什么样：传统的防御像是在找“长得像坏人的坏人”，而 ProtoGuard-SL 是找“行为不像好人的坏人”。只要毒药破坏了同类之间的“团结”，就能被揪出来。
不伤及无辜：因为它只剔除那些“格格不入”的汤，正常的汤因为和标准味道很合拍，所以能安全通过，不会误伤。
适应性强：不管坏厨师怎么变着花样下毒（不同的攻击方式），只要他破坏了“同类相聚”的规律，这个方法就管用。

5. 实验结果

作者在三个不同的“厨房”（数据集：CIFAR-10, SVHN, Bank Marketing）里做了测试。

没防御时：坏厨师几乎 100% 成功下毒，主厨完全被控制。
用旧方法：虽然能挡住一点，但经常把正常的汤也扔了，导致菜的味道变差（准确率下降）。
用 ProtoGuard-SL：成功把毒药拦截率降到了极低（几乎 0% 成功），同时主厨做出来的菜依然美味（准确率保持很高）。

总结

简单来说，ProtoGuard-SL 就是利用**“物以类聚”**的原理，通过检查每个数据是否“合群”来揪出混在里面的坏分子。它不需要知道毒药具体是什么，只要发现有人破坏了大家正常的“社交圈子”，就把它踢出去，从而保护了整个协作系统的安全。

以下是关于论文 ProtoGuard-SL: Prototype Consistency Based Backdoor Defense for Vertical Split Learning 的详细技术总结：

1. 研究背景与问题 (Problem)

垂直分割学习 (Vertical Split Learning, SL) 是一种在数据隐私和监管限制日益严格的背景下，允许不同持有互补特征的机构在不共享原始数据的情况下进行协作模型训练的范式。然而，这种架构在客户端与服务器之间的中间嵌入 (Intermediate Embeddings) 交互接口处暴露了新的攻击面。

核心威胁：攻击者通过控制恶意客户端，在训练过程中注入隐蔽的触发器（Triggers），实施后门攻击 (Backdoor Attacks)。这些攻击直接在表示空间（Embedding Space）操作，使得被污染的样本在原始嵌入空间中与良性样本高度重叠，难以通过传统的几何异常检测方法识别。
现有防御的局限性：现有的防御方法（如差分隐私、模型剪枝、VFLIP 等）在面对自适应的后门攻击时，往往鲁棒性不足，或者在降低攻击成功率（ASR）的同时严重损害了模型的主任务准确率（MA），存在明显的效用 - 安全权衡（Utility-Security Trade-off）。

2. 核心洞察与方法论 (Methodology)

作者提出了一种名为 ProtoGuard-SL 的服务器端防御机制。其核心洞察是：良性样本在嵌入空间中具有“类条件表示一致性”（Class-conditional Representation Consistency），即同一类别的良性样本在语义上表现出稳定的对齐结构，而后门攻击不可避免地会破坏这种结构。

ProtoGuard-SL 采用了一个两阶段框架：

第一阶段：基于原型的表示一致性构建 (Prototype-based Consistency Representation)

构建鲁棒类原型 (Class Prototype Construction)：
- 利用服务器端天然拥有的真实标签，为每个类别 $c$ 构建一个鲁棒的原型 $p_c$ 。
- 使用坐标中位数 (Coordinate-wise Median) 而非均值来计算原型，以抵抗少量被污染样本对原型位置的偏移影响。
- 公式： $p_c = \text{Median}(\{E_k \mid y_k = c\})$ 。
一致性变换 (Consistency Transformation)：
- 不再直接分析原始嵌入，而是将每个嵌入 $E_k$ 映射到一个关系空间。
- 计算嵌入与所有类原型的余弦相似度，生成一致性向量 $v_k$ 。
- 公式： $v_k = [\cos(E_k, p_1), \cos(E_k, p_2), \dots, \cos(E_k, p_{|C|})]$ 。
- 效果：良性样本的一致性向量表现出稳定的类内模式，而被污染的样本由于语义扰动，其相似度分布会出现异常，从而在关系空间中与良性样本实现清晰分离（如图 1 所示）。

第二阶段：类条件无分布共形过滤 (Class-conditional, Distribution-free Conformal Filtering)

计算偏差得分 (Consistency Deviation Score)：
- 对于每个类别，计算该类别样本一致性向量的中位数作为参考模式 $\mu_c$ 。
- 计算每个样本的偏差得分 $s_k = \|v_k - \mu_{y_k}\|_2$ 。得分越大，表示该样本越偏离其类别的典型一致性模式，越可能是被污染的。
共形过滤 (Conformal Filtering)：
- 采用共形预测 (Conformal Prediction) 思想，基于样本在同类中的相对排名来判断是否剔除，不假设任何参数分布。
- 计算共形 p 值： $p_k = \frac{|\{s \in S_c : s \ge s_k\}| + 1}{|S_c| + 1}$ 。
- 如果 $p_k > \alpha$ （预设显著性水平），则判定为良性样本保留；否则视为异常样本剔除。

3. 主要贡献 (Key Contributions)

理论发现：首次明确指出了垂直分割学习中良性嵌入的“类条件表示一致性”这一基本属性，并揭示了后门攻击如何破坏这种结构。
方法创新：提出了一种基于原型的一致性表示 (Prototype-consistency Representation) 方法，将嵌入映射到关系空间，显著增强了良性样本与污染样本的可分性。
鲁棒机制：设计了一种类条件、无分布 (Distribution-free) 的过滤机制，能够在不假设嵌入分布形式的情况下有效识别并移除异常样本，同时保护良性样本和整体模型性能。

4. 实验结果 (Results)

作者在 CIFAR-10、SVHN 和 Bank Marketing 三个数据集上，针对 VILLAIN、SplitNN 和 BadVFL 三种不同的后门攻击场景进行了广泛实验。

性能对比：
- 攻击成功率 (ASR)：ProtoGuard-SL 将 ASR 显著降低至 0.03 - 0.08 的极低水平（相比之下，无防御时 ASR 高达 0.9 以上，其他防御方法如 VFLIP 虽能降低 ASR 但往往导致 MA 大幅下降）。
- 主任务准确率 (MA)：在大幅降低 ASR 的同时，ProtoGuard-SL 保持了甚至略微提升了主任务准确率（例如在 CIFAR-10 上 MA 达到 0.83-0.85），优于所有基线方法（DP, MP, ANP, VFLIP）。
消融实验：
- 移除“一致性表示”模块会导致 ASR 急剧上升，证明该变换是核心。
- 移除“全类关系”或“类条件建模”也会显著降低防御效果，表明各模块互补。
鲁棒性分析：
- 不同架构：在 ResNet-18 和 VGG-19 作为底层模型时，该方法均表现优异。
- 客户端数量：随着参与客户端数量增加（从 2 到 8），ProtoGuard-SL 仍能保持高 MA 和低 ASR，显示出良好的可扩展性，而基线方法性能随客户端增多而下降。
- 参数敏感性：显著性水平 $\alpha$ 设为 0.5 时，在安全性和效用之间取得了最佳平衡。

5. 意义与价值 (Significance)

填补空白：针对垂直分割学习这一特定场景，解决了现有防御难以应对隐蔽性极强的嵌入层后门攻击的问题。
无需假设分布：提出的共形过滤策略不依赖对嵌入分布的假设，使其在面对不同数据模态（图像、文本/表格）和不同攻击策略时具有更强的泛化能力。
隐私与安全兼顾：作为服务器端防御，该方法无需修改客户端模型或引入额外的隐私泄露风险，在保障数据隐私的前提下实现了高效的安全防御。
实际应用潜力：在医疗（多医院协作）、金融（银行营销）等垂直领域具有极高的应用价值，为构建安全可信的联邦/分割学习系统提供了新的技术路径。

总结：ProtoGuard-SL 通过利用嵌入空间中的语义一致性结构，成功地将难以区分的后门样本转化为可分离的异常点，实现了在垂直分割学习中对后门攻击的高效、鲁棒且低损耗的防御。