每周文章分享-269

标题: FLgym: Toward Robust and Byzantine-Resilient Federated Learning

期刊: IEEE Transactions on Information Forensics and Security,vol. 21, 2026

作者:Ke Xiao , Qiyuan Wang , and Christos Anagnostopoulos

分享人: 河海大学——骆凯文

联邦学习（Federated Learning, FL）作为一种分布式机器学习范式，允许多个客户端在不共享原始数据的情况下协同训练全局模型，有效保护了数据隐私。然而，由于缺乏对客户端行为的集中管控，联邦学习系统天生易受投毒攻击。恶意客户端（又称拜占庭客户端）可以通过提交被操纵的模型更新来破坏全局模型的性能和完整性。

随着攻击手段日益复杂，如标签翻转、Fang攻击、Min-Max攻击和LIE攻击等，传统的异常检测技术往往难以奏效。现有的防御机制大多从单一维度进行拜占庭客户端检测，导致较高的假阳性率（False Positive Rate, FPR）和假阴性率（False Negative Rate, FNR）。

（1）系统架构

FLgym采用两阶段检测框架，结合了距离感知和模型评估两种视角，以提高检测效率和准确性。系统由一个服务器和多个客户端组成，整体工作流程如下：

第一阶段：服务器将全局模型分发给客户端，并指定模型浅层作为基础网络（BN）。客户端在本地训练后，将模型参数及训练准确率、损失值上传至服务器。服务器计算所有客户端之间的BN参数相似度，初步识别出明确的拜占庭客户端和可疑客户端。

第二阶段：对于可疑客户端，服务器根据客户端本地数据分布相似度估计，选择数据分布最相似的客户端作为验证器，将可疑客户端的模型发送给验证器进行验证。验证器在本地数据上评估该模型的性能，并将结果反馈给服务器。服务器综合验证结果，最终确定拜占庭客户端。

权重恢复机制（WRM）：服务器维护每个客户端被标记为拜占庭的最近轮次和权重恢复因子。被标记为拜占庭的客户端权重被置零，随着训练进行，其权重逐步恢复。恢复过程中的客户端会以一定概率被重新送入第二阶段验证，防止恶意客户端利用恢复机制。

图1  FLgym系统模型架构

（2）系统设置

1. 第一阶段：基础网络距离分析

FLgym创新性地选择模型的浅层（Base Network, BN）作为相似度计算的基础。实验表明，即使在数据分布差异较大的情况下，良性客户端的浅层特征仍然保持较高的相似性，因为浅层捕获的是更通用、与任务无关的特征。相比之下，整个模型的相似度受数据异质性影响更大，波动更明显。

图2 不同非独立同分布数据水平贝叶斯网络模型的平均相似度及整体模型相似度

具体而言，FLgym使用余弦相似度来度量BN相似度，因为它具有尺度不变性、有界性且计算成本低。对于客户端C1和C2，其BN相似度计算公式为：

服务器为每个客户端计算两个指标：与Top-K个最相似客户端的平均相似度（S_i^top）和与所有客户端的平均相似度（S_i^all）。

基于这两个指标，服务器设置阈值，将客户端分为三类：明确的拜占庭客户端、可疑客户端和良性客户端。阈值会根据检测到的可疑和拜占庭客户端比例进行自适应调整，以保持合理的过滤强度。

2. 第二阶段：可信客户端验证

仅依靠模型参数分析的检测方法存在根本局限，尤其在非独立同分布场景下难以区分恶意更新和因数据异质性导致的良性更新。为此，FLgym引入了第二阶段——基于可信客户端的验证机制。

核心思想是：利用客户端之间的数据分布相似度，选择数据分布最接近的客户端作为验证器。因为数据分布相似的客户端在使用相同模型结构、参数和学习率训练相同轮次后，会产生相似的本地模型。将可疑客户端的模型放在数据分布相似的验证器上评估，可以更可靠地判断该模型是否被恶意篡改。

数据分布相似度通过模型分类层（通常是全连接层）的梯度相似度来估计：

对于每个可疑客户端，服务器选择Top-K个数据分布最相似的客户端作为验证器，将可疑客户端的模型发送给它们进行验证。验证器在本地数据上评估该模型，返回准确率和损失值。服务器综合所有验证器的反馈（按相似度加权），计算损失变化分数S_l和准确率变化分数S_a，最终判断可疑客户端是否为拜占庭客户端。图3展示的是可疑客户端推理过程。

 图3 可疑客户端推理

（3）权重恢复机制

为了减轻假阳性的影响，FLgym引入了基于窗口的权重恢复机制。当客户端被标记为拜占庭时，其权重恢复因子f_t(c)被置为0，排除其更新参与聚合。随着训练进行，服务器逐步增加f_t(c)，使客户端的权重逐渐恢复。参数λ设置为ln(100)/W，确保经过W轮后f_t(c)趋近于1。

为了防止真实的拜占庭客户端利用恢复过程，FLgym实现了策略性复检机制：处于权重恢复过程中的客户端每轮以概率p_t(c)被重新加入可疑集，接受第二阶段验证。复检概率随客户端的恢复因子f_t(c)增加而增加，确保在客户端接近完全恢复时受到更严格的审查。如果在复检中检测到恶意更新，f_t(c)将被重置。

这种设计使得攻击者想要获得足够的影响力来破坏全局模型，就必须在几乎整个窗口W内表现良好，而随着权重增加，被检测到的概率也随之增加，从而形成了有效的安全保障。