理解纵向联邦学习中的后门漏洞：研究与实际之间的差距

# 理解纵向联邦学习中的后门漏洞：研究与实际之间的差距 来源：https://arxiv.org/html/2608.12962 林嘉伦单俊杰张俊源杨舒雅周嘉豪单位：香港大学计算与数据科学学院，中国香港特别行政区 ###### 摘要 纵向联邦学习（VFL）使得拥有共享实体互补特征的组织能够协作训练模型。在该场景中，发起方可以保留学习任务的信息，而其他贡献方在不暴露本地数据集的情况下参与，形成一种与日益增长的隐私需求相匹配的非对称信息结构。然而，这种非对称性是一把双刃剑。在各种威胁中，后门攻击尤为令人担忧，因为VFL不仅使恶意贡献方能够在训练期间毒化模型，还允许他们在推理时激活后门以操纵预测结果。尽管已有工作报道了近乎完美的攻击成功率和有效的防御方法，我们发现大多数发现在现实条件下不成立，暴露了研究与实际之间的根本差距。在本文中，我们对VFL中的后门漏洞进行了一项系统的、面向实际的研究，揭示了方法论设计和评估实践两个层面的差距。我们表明，现有方法忽视了关键的实际约束，因此依赖于不切实际的先验知识。此外，由于文献中评估实践设计不当，这些局限性一直未被发现。为弥合这一差距，我们重新定义了现实约束下的威胁模型，提出了实用的后门工作流，并引入了BVBench——一个以背门为中心的基准测试，支持公平、实用和全面的评估，并预置了最先进的基线方法。BVBench有力证明了当前对VFL后门风险的理解是脆弱的，并为引导研究走向发现实际漏洞和开发更有意义的防御方法奠定了基础。 ## I引言 跨组织协作是释放现代机器学习（ML）全部潜力的关键，而ML依赖于丰富且富有表现力的数据来实现高预测性能。在实践中，不同领域的组织通常对同一组实体拥有互补特征，例如金融机构的信用记录[45 (https://arxiv.org/html/2608.12962#bib.bib22)]和医疗保健提供商的健康状况[30 (https://arxiv.org/html/2608.12962#bib.bib17),15 (https://arxiv.org/html/2608.12962#bib.bib23)]。整合这些分布式特征可以增强数据的表现力并提高预测性能。然而，尽管这些协作创造了数十亿美元的机会，但由于数据隐私法规[9 (https://arxiv.org/html/2608.12962#bib.bib19),3 (https://arxiv.org/html/2608.12962#bib.bib20)]禁止跨组织边界共享原始数据，此类协作仍然困难重重。纵向联邦学习（VFL）[30 (https://arxiv.org/html/2608.12962#bib.bib17),20 (https://arxiv.org/html/2608.12962#bib.bib21),43 (https://arxiv.org/html/2608.12962#bib.bib15),16 (https://arxiv.org/html/2608.12962#bib.bib36)]已成为解决这一挑战的一种有前景的方案。如图1 (https://arxiv.org/html/2608.12962#S1.F1)所示，一家保险公司（“主动”方）可以与可穿戴设备提供商和医疗中心（“被动”方）合作。当潜在客户申请保险时，主动方请求被动方识别匹配的记录，通过本地私有特征提取器处理这些记录，并返回生成的嵌入表示。 参见图注图1：VFL使主动方（例如保险公司）能够与被动方（例如可穿戴设备提供商和医疗中心）合作，利用共享实体的互补特征来改进ML任务，如承保风险评估，而无需共享原始数据。然而，VFL中固有的信息不对称可能被利用：恶意参与者（例如可穿戴设备提供商）可能在训练期间植入后门，并在推理时操纵模型预测。这些嵌入表示不具有人类可解释性，由主动方聚合，并由分类器用于预测承保风险。这样，预测可以利用敏感信息（如健康状况和活动数据），而无需暴露原始数据。这一能力通过跨方联合训练模型同时保持数据本地性并创造信息不对称来实现：主动方知道ML任务但不知道原始数据，而被动方知道其本地数据但不知道任务本身。虽然这种不对称性使跨组织学习变得实用，但也引入了独特的安全风险。后门攻击[40 (https://arxiv.org/html/2608.12962#bib.bib13),2 (https://arxiv.org/html/2608.12962#bib.bib1),18 (https://arxiv.org/html/2608.12962#bib.bib8)]是VFL中特别令人担忧的威胁。在这种攻击中，对手操纵训练过程，在触发器模式与目标预测之间植入隐藏关联。在推理时，触发器的存在导致模型产生对手选择的输出，而其他情况下行为正常。VFL为此类攻击提供了独特且有利的环境：被动方既参与训练（此时可植入后门），也参与推理（此时可激活后门）。例如，在图1 (https://arxiv.org/html/2608.12962#S1.F1)中，恶意的可穿戴设备提供商可以在训练期间植入后门，然后在推理时将触发器模式注入嵌入表示，从而覆盖分类器的决策（例如，批准本来不符合条件的保险申请）。此类场景引发了对VFL系统安全的严重担忧，并推动了越来越多关于攻击和防御机制的研究。然而，这些研究是否真正反映了VFL后门在实际部署中的行为？在本文中，我们认为当前对VFL中后门漏洞的理解是脆弱的。尽管研究进展迅速，但现有发现在多大程度上能够推广到实际仍不清楚。这一差距有重要后果：当系统看似鲁棒时，从业者可能低估风险；或者过度信任在现实条件下失败的防御方法。通过对现有工作进行系统化整理，我们发现了VFL后门漏洞的研究方式与VFL系统实际运行方式之间的脱节。我们将这一差距归因于两个维度的错位：（i）方法论设计 和（ii）评估设计。 方法论设计。现有攻击和防御往往依赖于关于威胁模型的不切实际假设，进而导致问题建模的偏差。例如，许多攻击假设能获得看似可获取的ML任务知识（如类别语义），尽管主动方没有义务共享此类信息。在实践中，恶意的被动方不太可能知道其参与贡献的任务，包括类别数量，更不用说类别的含义了。如图2 (https://arxiv.org/html/2608.12962#S1.F2)（橙色）所示，放宽这一假设会显著降低最先进攻击的成功率。这一发现表明，先前的工作可能无法推广到实际部署，并高估了攻击的有效性，凸显了将未来研究建立在更现实假设基础上的必要性。 图2：先前工作中报告的高攻击成功率（红色）可能具有误导性。现有方法通常依赖于在实践中不太可能成立的假设（橙色），或在不切实际的实验设置下进行评估（蓝色）。 评估设计。VFL后门漏洞的评估是零散的。现有研究依赖于不切实际的数据集、不一致的实验设置以及无法捕捉关键属性的有限指标。更重要的是，攻击和防御性能对这些选择高度敏感。如图2 (https://arxiv.org/html/2608.12962#S1.F2)（蓝色）所示，据报道能达到近乎完美成功率的攻击，在现实VFL数据集上只能达到无意义的有效性水平，而这一效应由于缺乏标准化基准和可复现实现此前被忽视。总体而言，当前评估无法为实际安全风险提供可靠或客观的理解。随着学术界和工业界对VFL的兴趣持续增长，缺乏面向实际的框架可能会滋生误解并阻碍进展。为弥合这一差距，我们做出以下贡献： - •知识系统化。我们对后门攻击和防御进行了结构化分析，揭示了其局限性，重新定义了植根于现实假设的威胁模型，并识别了一种实用的后门工作流。 - •评估框架。我们开发了BVBench，一个以VFL后端为中心的基准测试，包含现实数据集、全面指标和标准化评估方案，以支持公平和可复现的评估。 - •实证研究。我们在BVBench下评估现有方法，并表明它们实用性有限且对评估选择高度敏感。 我们的工作惠及多个利益相关者。对于研究人员，它阐明了现实的威胁模型，并突出了实用后门工作流下的开放挑战。对于从业者，它提供了对风险的新理解，并提供了严格评估的工具和指南。我们的工件位于此处 (https://github.com/HKU-TASR/BVBench)。 ## II背景 ### II-A纵向联邦学习 尽管VFL支持多种模型族，基于神经网络的VFL[21 (https://arxiv.org/html/2608.12962#bib.bib41),41 (https://arxiv.org/html/2608.12962#bib.bib35),28 (https://arxiv.org/html/2608.12962#bib.bib26),34 (https://arxiv.org/html/2608.12962#bib.bib42),33 (https://arxiv.org/html/2608.12962#bib.bib43),1 (https://arxiv.org/html/2608.12962#bib.bib44),44 (https://arxiv.org/html/2608.12962#bib.bib16)]由于强大的表征能力一直是近期研究的主要焦点。因此我们关注这一场景。图3 (https://arxiv.org/html/2608.12962#S2.F3)展示了一个包含一个主动方和N个被动方的系统，各被动方持有共享实体的互补特征。VFL包括三个阶段： 参见图注图3：信息不对称是VFL的基础。在前向传播（绿色）中，被动方仅将嵌入表示发送给主动方，主动方聚合这些嵌入以产生预测。在后向传播（红色）中，主动方返回相对于每个方嵌入的梯度。因此，主动方可以访问任务和标签，但无法访问原始数据；而被动方保留原始数据，但对任务或标签不可见。 阶段1：协商。主动方定义ML任务，并为现有实体收集标签以用于训练和评估。由于它可能缺乏足够的特征，甚至完全没有任何特征，主动方招募被动方贡献互补数据。各方协商激励措施，并就系统设计选择（如模型架构和优化策略）以及训练和推理的参与方式达成一致。 阶段2：训练。训练以跨方的隐私保护实体对齐开始，例如私有集合交集（PSI）[24 (https://arxiv.org/html/2608.12962#bib.bib34),42 (https://arxiv.org/html/2608.12962#bib.bib38),38 (https://arxiv.org/html/2608.12962#bib.bib37)]。在每次迭代中，主动方选择一个样本ID的小批量并分发给被动方（为简洁起见，我们使用批大小1）。 - •*前向传播*：如图3 (https://arxiv.org/html/2608.12962#S2.F3)（绿色路径）所示，每个被动方\(i\)检索其本地数据\(\bm{x}_{i}\)，并将其输入其底部模型\(\mathcal{F}^{B}_{i}\)以产生嵌入\(\bm{\mathcal{E}}_{i}\)，然后发送给主动方。主动方将这些嵌入\(\bm{\mathcal{E}}_{1}\oplus\cdots\oplus\bm{\mathcal{E}}_{N}\)拼接，并应用顶部模型\(\mathcal{F}^{T}\)作为分类器生成预测\(\hat{y}\)。 - •*后向传播*：如图3 (https://arxiv.org/html/2608.12962#S2.F3)（红色路径）所示，主动方使用预测标签\(\hat{y}\)和真实标签\(y\)计算损失，并通过梯度下降更新顶部模型\(\mathcal{F}^{T}\)。根据链式法则，它随后计算相对于每个\(\bm{\mathcal{E}}_{i}\)的梯度并将其发送给对应的被动方\(i\)，该被动方继续反向传播以更新其底部模型\(\mathcal{F}^{B}_{i}\)。总体而言，所有模型（\(\mathcal{F}^{T},\mathcal{F}^{B}_{1},...,\mathcal{F}^{B}_{N}\)）被联合优化以提高预测精度。此过程持续到收敛或达到预定义的轮数。 阶段3：推理。在VFL中，所有方在推理期间都必须参与。收到查询后，主动方广播样本ID，请求被动方提供嵌入，并执行上述前向传播。 ### II-B后门漏洞 攻击。后门攻击通过在训练期间植入隐藏触发器来操纵模型行为，使得在推理时诱导目标预测。这通过将触发器模式注入训练样本子集来实现，使模型将触发器与目标输出关联起来。后门攻击旨在保持干净输入上的效用，在触发器存在时诱导目标输出，并在训练时操纵和推理时注入期间难以被检测。虽然后门攻击已在集中式学习和横向联邦学习（HFL）[13 (https://arxiv.org/html/2608.12962#bib.bib27),7 (https://arxiv.org/html/2608.12962#bib.bib28)]中得到了广泛研究（其中客户端持有共享特征的互不相交样本），VFL引入了独特的机遇和挑战。 - •*机遇*：VFL要求被动方参与训练和推理，并通过嵌入进行通信，这为对手\(i\)创造了两个优势。（i）触发器可以直接在嵌入空间（即\(\bm{\mathcal{E}}_{i}\)）中制作和注入，而不是在输入空间（即\(\bm{x}_{i}\)）中。这避免了输入空间的约束（如有效图像像素范围）。（ii）恶意被动方对顶部模型输入的一部分具有持续控制，无需额外机制来注入触发器。 - •*挑战*：被动方无法观察真实标签[10 (https://arxiv.org/html/2608.12962#bib.bib5),12 (https://arxiv.org/html/2608.12962#bib.bib6)]。这使得建立触发器与目标输出之间的关联变得复杂，而在非VFL设置中，这通常是通过将触发器一致地注入目标类别的训练样本并让模型学习这一捷径来实现的。此外，对手只能访问整个模型的一小部分（即其自身的底部模型\(\mathcal{F}^{B}_{i}\)），这使得控制攻击有效性和隐蔽性更加困难。 防御。后门防御旨在保持模型效用的同时，防止触发器诱导的错误行为。在VFL中，防御由主动方负责，它协调整个过程。