多度量自适应识别联邦学习中的后门

联邦学习（FL）的去中心化与隐私保护特性使其易遭受旨在操纵所得模型在特定对抗者选定输入上行为的后门攻击。然而，大多数基于统计差异的现有防御仅对特定攻击有效，尤其当恶意梯度与良性梯度相似或数据高度非独立同分布（non-IID）时。本文重新审视基于距离的防御方法，发现 i) 欧氏距离在高维下失去意义，ii) 具有多样特征的恶意梯度无法由单一度量识别。为此，我们提出一种简单而有效的防御策略，利用多度量与动态加权自适应识别后门。此外，我们的新型防御不依赖对攻击设置或数据分布的预定义假设，且对良性性能影响甚微。为评估方法有效性，我们在不同攻击设置下于多个数据集上进行全面实验，本方法取得了最佳防御性能。例如，在困难的 Edge-case PGD 下我们实现了 3.06% 的最低后门准确率，显著优于以往防御。结果还表明，我们的方法可良好适应广泛的非 IID 程度而不牺牲良性性能。