刘涛, 苘大鹏, 许晨, 吕继光, 冯驻, 曾凡一, 周雪, 杨武
录用日期: 2025-06-05
传统的干净标签后门攻击通常无法在触发器和目标类之间建立有效的强连接,导致攻击成功率较低,大量实验经验表明这种失效现象在联邦学习中更加严重。攻击失败的主要原因在于触发器的随机选择使其缺少和目标类的直接联系。为此面向联邦学习设计一种可学习触发器后门攻击,充分利用中心服务器下发的任务信息和共享模型训练与目标类强相关的触发器,将该训练过程形式化为双目标优化问题并求解。在约束条件下找到最佳扰动尽可能模糊图像的原始特征,从而最大化模型对触发器的学习能力;然后对这些模糊图像添加规定范围内允许的触发器作为输入进行训练,最小化其图像分类损失并利用小批量投影梯度下降的优化方法快速生成最优触发器。用该触发器激活的后门攻击在联邦学习中仍能保证出色的攻击性能。三个数据集上的实验结果表明提出的方法在联邦学习中攻击成功率远高于现有的各类干净标签后门攻击,尤其在CIFAR-10上其攻击成功率相较基线方法有82%以上的提升。所提出的攻击方法对联邦学习的安全性提出了新的挑战。