跳转至

绕过 Krum：联邦学习中的感知选择性后门攻击

文章背景与核心概要

在联邦学习（Federated Learning, FL）中，确保模型免受恶意客户端的干扰是一项核心挑战。传统的拜占庭鲁棒聚合方法（如 Krum 及其变体）通常依赖于几何假设，即良性客户端的更新会形成一个紧凑的集群，从而能够识别并剔除异常更新。然而，随着攻击技术的演进，这种防御机制正面临被自适应攻击者主动利用的风险。

本文介绍了一种名为 Krum-Proxy 的新型感知选择性后门攻击方法，专门用于破解联邦学习中的拜占庭鲁棒聚合规则。研究表明，攻击者不再使用简单的缩放手段，而是通过优化恶意更新，使其能够伪装并潜入良性分布的“密集核心”中。该方法通过两阶段优化过程——利用最近邻代理、随机参考建模和锚点引导对齐，确保恶意更新在聚合阶段被优先选中。同时，研究人员还引入了投影机制，将更新控制在合理的范数和方差范围内，从而实现高度隐蔽性。实验结果证实，Krum-Proxy 在保持清晰模型准确率的同时，实现了极高的攻击成功率。

摘要 (Summary)

This paper introduces Krum-Proxy, a novel, selection-aware backdoor attack designed to circumvent Byzantine-robust aggregation methods in Federated Learning (FL). While methods like Krum and Multi-Krum rely on the geometric assumption that benign updates form a compact cluster, the authors demonstrate that adaptive adversaries can exploit these properties.

Instead of using naive scaling, Krum-Proxy optimizes malicious updates to infiltrate the "dense core" of the benign distribution. The attack employs a two-stage optimization process—utilizing nearest-neighbor proxies, stochastic reference modeling, and anchor-guided alignment—to ensure the malicious updates are favored during the aggregation process. The researchers also implement a projection mechanism to maintain stealth by keeping updates within realistic norm and variance bounds. Experimental results confirm that Krum-Proxy achieves high attack success rates while maintaining clean model accuracy.

本文介绍了 Krum-Proxy，这是一种新颖的、具备选择感知能力的后门攻击，旨在绕过联邦学习（FL）中的拜占庭鲁棒聚合方法。尽管 Krum 和 Multi-Krum 等方法依赖于良性更新形成紧凑集群的几何假设，但作者证明自适应攻击者可以利用这些属性。

Krum-Proxy 没有采用朴素的缩放方法，而是优化恶意更新以渗入良性分布的“密集核心”。该攻击采用两阶段优化过程——利用最近邻代理、随机参考建模和锚点引导对齐——以确保在聚合过程中优先选择恶意更新。研究人员还实现了一种投影机制，通过将更新保持在现实的范数和方差范围内来维持隐蔽性。实验结果证实，Krum-Proxy 在保持干净模型准确率的同时，实现了极高的攻击成功率。

核心贡献 (Key Contributions)

  • Selection-Aware Strategy: Moves beyond simple perturbation to actively optimize updates for selection by distance-based aggregation rules.
  • Two-Stage Optimization: Decouples task-specific attack objectives from geometry-aware refinement to ensure the backdoor is both effective and stealthy.
  • Stealth Mechanisms: Incorporates projection constraints to ensure adversarial updates remain indistinguishable from benign updates in terms of norm and variance.
  • Empirical Validation: Demonstrates significant vulnerabilities in existing distance-based robust aggregation methods across standard FL benchmarks.
  • 感知选择策略： 超越了简单的扰动，主动优化更新，以适应基于距离的聚合规则的选择机制。
  • 两阶段优化： 将特定任务的攻击目标与几何感知的精炼过程解耦，确保后门既有效又隐蔽。
  • 隐蔽机制： 引入投影约束，确保对抗性更新在范数和方差方面与良性更新无法区分。
  • 实证验证： 证明了现有基于距离的鲁棒聚合方法在标准联邦学习基准测试中存在显著漏洞。

访问与资源 (Access & Resources)

提交历史 (Submission History)

  • [v1] Thu, 6 Aug 2026 23:07:15 UTC
  • [v1] 2026年8月6日 星期四 23:07:15 UTC