Page 357 - 《软件学报》2025年第5期

乐紫莹 等: 基于梯度放大的联邦学习激励欺诈攻击与防御 2257

个体法 (individual) [10] 是基于参与者自身数据价值或其在特定任务上的表现来评估贡献, 这类贡献评估方法
侧重于参与者个体表现, 而非其在整体联邦学习中的表现. CROWDFL [11] 中采用的贡献评估方法为对比参与者
的本地模型梯度与全局模型梯度之间的相似度来衡量参与者的贡献, 相似度通过计算本地模型梯度与全局模型
梯度之间的 L 2 -norms 距离得到, 距离越小, 与全局模型的相似度越高, 则参与者的贡献越大. Lv 等人 [12] 提出了
PCA 贡献评估方法, 该方法基于同伴预测的思想, 通过计算各参与者本地模型之间的互信息来评估参与者的贡
献. 个体法简单高效, 但未考虑到参与者对联邦学习整体的边际价值贡献, 在很多情况下无法得到公平合理的贡
献评估结果.
[4]
留一法 (leave one out) [10] 是机器学习中的一种交叉验证法, Refiner 中采用的激励分配机制就是基于留一法的
思想, 将联邦学习移除掉某个参与者后所造成的损失函数边际损失值作为该参与者的贡献, 并基于该贡献分配激
励, 如公式 (2) 和公式 (3):

i
Φ i = L(w,D U )−L(w ,D U ) (2)

Φ i
R i = ∑ R (3)
Φ
i
i
其中, Φ i 代表参与者 在联邦中的贡献, w 为所有参与者的本地模型聚合后得到的全局模型参数, w 为不包含参
R i 代
与者 i 外其他参与者本地模型聚合后得到的模型参数, D U 为系统使用的测试数据集, L 为使用的损失函数,
∑
表参与者 i 基于贡献得到的激励, Φ 为联邦学习中所有参与者的贡献, R 为服务器设定的每一轮的总激励.
夏普利值 (Shapley value) [13] 起源于合作博弈理论, 是一种基于贡献的分配方式, 目前被广泛用于评估联邦学习
中各参与者的贡献, 计算所得的 Shapley value 即为各参与者的贡献. 使用 Shapley value 对联邦学习中各参与者的
贡献进行评估的计算方法如公式 (4):

1 ∑
i
i
i
i
Φ i = E π∈Π [V(S ∪{i})−V(S )] = [V(S ∪{i})−V(S )] (4)
π
π
π
π
N! π∈Π
i
其中, Φ i 代表参与者 在联邦中的贡献, Π 为所有参与者组合成的所有排列可能, π 为 Π 中的一种排列, V 为价值
i
函数, S i π 为排列 π 中在参与者 之前的组合, N 为联邦中参与者的数量. 由计算公式可知, Shapley value 的思想是
i
枚举所有不包含参与者 i 的参与组合, 在每个组合下计算引入参与者 所带来的边际价值贡献, 得到的边际价值贡
i 对联邦的贡献. 使用 Shapley value 能够满足联邦中参与者贡献评估的公平性和合理性, 但相
献均值即为参与者
应地需要极高的计算成本, 直接计算 Shapley value 的计算代价随参与者的数量而指数级增长, 因此实际上不能直
接使用 Shapley value 来评估联邦学习中各参与者的贡献.
为了让 Shapley value 更好地应用于联邦学习中的贡献评估, 目前 Shapley value 的主要研究方向为在提高近
似 Shapley value 计算效率的同时保持其准确率. 相关研究工作主要使用了抽样、组测试、截断等方法, 如 Wang
等人 [14] 提出的 Fed-SV 采用了组测试和随机排列抽样的方法来估计每一轮各参与者的 Shapley value, Ghorbani 等
人 [15] 提出的截断蒙特卡洛夏普利值 (truncated Monte Carlo Shapley, TMC-Shapley) 采用了蒙特卡洛 (Monte-Carlo)
抽样方法, 同时截断每一轮排列抽样中不必要的评估计算来计算 shapley value 的近似值. Liu 等人 [16] 提出的引导
截断梯度夏普利值 (guided truncation gradient Shapley, GTG-Shapley) 采用了引导蒙特卡洛抽样、轮间截断和轮内
截断的方法, 做到了在未引入明显近似误差的同时极大地减少计算开销, 提高计算效率, 在近似计算效率和准确性
之间实现了良好的平衡.

1.3 联邦学习中的攻击方法
由于联邦学习的原理和运行机制, 其很容易受到恶意攻击, 尤其是由联邦学习框架内部成员发起的攻击, 往往
破坏性大且较为隐蔽. 目前联邦学习攻击方法的研究工作主要分为两大类: 针对数据隐私的推理攻击 [17,18] 与损害
系统鲁棒性的投毒攻击 [9,19] .
隐私推理攻击为攻击者尝试获取联邦学习中的全局模型或各参与者上传的本地模型梯度, 并试图由此推断获
得敏感隐私信息的攻击行为 [20−25] . 典型的隐私推理攻击主要有成员推断攻击、属性推断攻击和训练数据推断攻