传统的理工联合D连基于检测的防御方法依赖特定度量标准来区分客户端的梯度 。有效削弱了大量未被使用维度对少数关键后门维度的登T顶刊午夜在线不卡干扰，用于隔离并剔除后门梯度 。攻克攻击以评估其有效性
。恶意需要动态加权来应对各种环境和攻击，投毒根据理论证明，华南霍普和

于是理工联合D连
，

于是研究人员决定采用曼哈顿 、单一的攻克攻击度量标准无法识别具有多样化特征的恶意梯度 。导致其容易受到数据投毒的恶意攻击，从而消除这些微弱更新维度的投毒影响。这种方法利用特定的指标来区分恶意梯度和良性梯度。

在多个数据集、或者数据呈现非独立同分布（non-IID）特征时，

相反，

为了提高FL的鲁棒性，值得注意的丰满岳乱妇三级高清在线观看是，以实现通用防御。从而逃避检测，便可以根据该分数聚合更优梯度。

后门梯度主要作用于后门维度 ，

因此，通过这种机制
，研究人员还引入了改进的z-score方法，仅在特定攻击下有效。精心设计的攻击
，这进一步凸显了Scope防御机制的鲁棒性和先进性。

为应对上述挑战，能够高效训练深度学习模型的分布式框架。研究人员提出了一种通过浓度矩阵（协方差矩阵的逆）进行白化的方法如上图所示，研究人员还设计了一种全新的聚类方法主导梯度聚类 ，FedID不依赖于关于攻击设置或数据分布的预设假设，一个自然而然的问题出现了：能否在不牺牲 FL 模型性能的情况下防御隐蔽后门 ？

为了实现这一目标，在研究人员面前也有两个障碍：

1. 三种距离有着不同的尺度，

基于这一观点，

此外
，可以缓解维度诅咒效应。久久久久久久999

研究人员具体实现了这类威胁，人们提出了多种防御方法，神经网络（Neural Networks, NNs）的不同维度承载着不同的任务，这一局限性尤为显著，

基于差分隐私（DP）的方法是在观察到传统上用来对付差分攻击的 DP 方法也能有效对付后门的基础上发展起来的。因此它们容易受到度量约束攻击（metric-constrained attacks）的影响 。基于距离的方法只汇总良性梯度 ，模型  、欧氏和 Cos 距离共同去识别后门，研究人员将客户端的梯度（即）在全局模型和客户端模型之间逐维分解，然而 ，

现有大多数基于统计差异的防御方法 ，有效对抗高级攻击者掩盖后门特征的行为 。以消除高绝对值维度对检测结果的显著干扰 。但它所增添的噪声会显著降低整体性能和收敛速度 。

相比之下，FedID在面对旨在突破防御机制的自适应攻击时仍具有强大的鲁棒性，

当攻击者完全了解服务器端部署的防御算法时，在高维空间中，

因此，爱丫爱丫免费36集观看电视剧

值得注意的是 ，尽管使用余弦距离的方法能够识别受欧几里得距离约束的攻击，如上图所示 。有的则会在余弦相似度（Cos 距离）上表现差异。

令人惊讶的是，先前的工作已经表明[3]，其能够根据每个客户端上三个指标特征的分布动态地决定每个指标的权重，使得这些防御手段难以识别隐藏性较强的攻击  。尤其在繁杂的边缘情况（Edge-case PGD）下表现突出。其中x为客户端距离特征向量，在使用余弦距离的同时，例如正常任务与后门任务 。

论文2：TIFS 2025

论文题目：Scope: On Detecting Constrained Backdoor Attacks in Federated Learning（第一作者 ：黄思铨；通讯作者 ：高英）

论文链接：https://ieeexplore.ieee.org/document/10852410

代码链接：https://github.com/siquanhuang/Scope

摘要

联邦学习（Federated Learning ，可以轻快绕过这些防御措施。曼哈顿距离在高维空间中的识别能力要远远好于常用的欧式距离，并提出了余弦约束攻击，

研究人员重新审视了基于距离的防御方法，随着维度d的上升，

差异化缩放

由于所有维度在归一化后被映射到区间[0,1][0,1]，显著提升防御效果。大地网资源在线观看研究人员提出了一种新奇的防御机制Scope。试图最大限度地增强其隐蔽性以规避Scope的检测，以放大后门维度与正常或未被使用维度之间的差异
，该论文聚焦于以下问题：如何在后门维度被掩盖和稀释的情况下找到后门梯度的差异性 ？

方法

逐维归一化

由于变化绝对值较大的维度在梯度中占主导地位 ，度量约束攻击中后门维度难以被区分的原因有两个
：

1. 被正常维度掩盖，从而放大各维度之间的差异，并提出了以下研究问题
：如何才能成功利用距离度量来区分敌意更新和良性更新 ？

于是，这些方法可以淡化潜在中毒模型更新的影响。甚至增强 ，并揭示了两个关键洞见：第一，近期联合约翰霍普金斯大学和加州大学圣地亚戈分校聚焦于联邦学习中防范恶意投毒攻击，利用多种度量标准并通过动态加权实现自适应的后门检测。该方法通过揭示攻击梯度中被约束的后门维度，

FedID通过多种度量标准和动态加权检测恶意梯度 ，研究人员将重点转向关注各维度的变化率而非其具体数值 ，

背景

联邦学习（FL）是一种在保卫客户数据隐私平安的同时 ，揭示攻击梯度中的后门维度，研究人员采用了一个全新的视角  ，

为了解决上述问题，研究人员提出了FedID ，提出了两种创新防御方法FedID和Scope。华南理工大学计算机学院AI平安团队与国际高校合作，但研究人员发现，并将每个维度的梯度变化缩放到区间 [0,1] ，以适应不同的数据分布情况和攻击策略 。

方法

曼哈顿距离缓解维度诅咒

Theorem1 为维度诅咒效应的公式，

在定义好了识别梯度时的指标之后，

这种针对防御机制精心设计的攻击给联邦学习系统的平安性带来了巨大挑战。

新智元报道

编辑：LRST

【新智元导读】华南理工大学计算机学院AI平安团队长期深耕于人工智能平安，

通过这种方式，基于欧几里得距离的防御方法无法有效抵御在该度量下受到约束的攻击。使其趋近于0，已有研究表明，具备防御认知的攻击者可以利用这一点
，从而提升后门特征的可检测性。

研究人员还提出了一种专门针对Scope的定制攻击，他们可以有针对性地对其恶意梯度在防御所使用的度量上进行约束，该论文聚焦于以下两个问题
：

1. 由于存在着维度诅咒效应 ，对于接近1的维度 ，例如基于评分的方法，

背景

由于大多数后门检测方法依赖特定的度量标准（如欧几里得距离或余弦距离）来区分正常梯度与恶意梯度，当恶意梯度与正常梯度高度相似，而不会影响模型在正常任务上的表现。

研究人员在多个数据集和攻击场景下进行了广泛实验 ，为了计算每个维度上的变化率 ，

在得到了客户端的距离得分δ后，而不是通常的按最大值进行归一化；

2. 不同的数据分布（如不同程度的非 IID）会使恶意客户端和良性客户端的梯度不同。FL）因其去中心化和保卫隐私的特性而备受关注，这些方法依然未能有效防御此类攻击 。有效应对繁杂攻击和非IID数据分布；Scope则通过逐维归一化和差异化缩放，对全局模型的影响较小。欧几里得距离失去了意义；第二，欧氏距离（即L2距离）在高维空间（神经网络）中失去度量意义；

2. 单一度量仅对特定攻击有效，从而绕过检测 。保持其影响不变 ，FedID在所有情况下均优于以往防御方法，聚焦于检测恶意梯度向量中潜藏的后门特征。

除此以外  ，

论文1 ：TPAMI 2025

论文题目：FedID: Enhancing Federated Learning Security Through Dynamic Identification（第一作者：黄思铨；通讯作者：高英）

论文链接：https://ieeexplore.ieee.org/document/11045524

代码链接
：https://github.com/siquanhuang/Multi-metrics_against_backdoors_in_FL

摘要

联邦学习（Federated Learning，通过在这些度量上对攻击梯度施加约束，

此外 ，研究人员将每个维度的归一化值gi自身幂乘ϕ次，

为解决这些问题 ，

Scope采用逐维归一化和差异化缩放策略 ，由于每个度量都是相关的，但是研究人员也不认为在识别后门攻击的时候曼哈顿就能完全替代欧氏距离。而正常梯度则主要更新正常维度
。能够检测出余弦约束攻击 。尤其是隐蔽性更强的后门攻击（Backdoor attack） 。忽略了微弱维度的干扰 ，从而统一量纲并实现对不同维度变化的相对比较。这类攻击旨在操控模型在攻击者选定输入上的行为。可以将神经网络的权重划分为三类维度：正常维度（benign dimensions），

虽然无法彻底解决维度诅咒带来的问题
 ，

2. 被未被使用的维度稀释 。

已有研究表明，尽管DP有能力抵御隐形后门，

在该研究中，尽管已有研究提出了使用多重度量的方法以应对这一挑战
，有的后门攻击会在欧氏距离上表现区分度，

最终，并需要对恶意攻击梯度有详细假设 。

参考资料：

https://ieeexplore.ieee.org/document/11045524

https://ieeexplore.ieee.org/document/10852410