论文标题：Gradient purification: defense against data poisoning attack in decentralized federated learning

期刊：Frontiers of Computer Science

作者：Bin LI, Xiaoye MIAO, Yan ZHANG, Jianwei YIN

发表时间：8 Jul 2025

DOI：10.1007/s11704-025-50240-3

微信链接：点击此处阅读微信文章

标题：Gradient purification: defense against data poisoning attack in decentralized federated learning

作者：Bin LI, Xiaoye MIAO, Yan ZHANG, Jianwei YIN

DOI：10.1007/s11704-025-50240-3

扫码阅读原文↑

摘要：

针对去中心化联邦学习（DFL）中恶意客户端通过梯度投毒破坏全局模型的问题，浙江大学苗晓晔团队提出了一种梯度净化防御（GPD）框架。该方法通过设计记录变量追踪邻居贡献，不仅能精准识别并剔除恶意梯度，还能在不重启训练的前提下净化模型权重，保留有益数据贡献，显著提升了异构网络下的模型安全与训练效率。

内容精要

去中心化联邦学习（DFL）因其不依赖中心服务器、具备极高的扩展性和隐私保护能力，已成为分布式机器学习领域的重要研究方向。然而，由于缺乏全局管控节点，DFL系统在面对数据投毒攻击时显得尤为脆弱。恶意客户端可以通过向邻居发送精心设计的篡改梯度，迅速将错误特征扩散至整个网络，导致模型识别精度大幅下降甚至彻底失效。目前的防御手段大多侧重于在每一轮迭代中剔除可疑梯度，或者在检测到攻击后彻底重启聚合过程。这种“非黑即白”的处理方式往往会误伤恶意客户端中可能存在的有益局部知识，且频繁的重置操作会导致极高的计算和通信成本，成为制约大规模可靠DFL部署的严重痛点。

为了化解上述难题，浙江大学苗晓晔团队设计并实现了一种名为GPD（Gradient Purification Defense）的梯度净化防御框架。该框架的核心创新在于引入了“记录变量”机制，通过持续追踪并记录来自每个邻居的历史聚合梯度，赋予了良性客户端“溯源”与“清洗”的能力。当系统检测到某个邻居表现异常时，GPD并不仅是简单地在未来轮次屏蔽该节点，而是能够精准地计算出该恶意节点在过往所有轮次中对当前模型权重造成的累积负面影响。随后，系统通过执行一种反向净化操作，将这些有害成分从现有的模型参数中彻底移除。这种“先污染、后净化”的策略，使得良性客户端能够保留训练过程中的有效信息，同时迅速恢复受损的模型状态。

实验结果表明，GPD在多种数据分布下均表现出优异的防御性能，其最终模型的准确率明显高于传统的Krum、Median及Bulyan等中值防御算法。特别是在异构网络环境中，GPD能够有效识别隐蔽性极强的恶意干扰，在保证收敛速度的同时，显著降低了投毒攻击带来的精度损失。这一研究成果不仅为去中心化环境下的分布式学习提供了坚实的安全防护手段，也为构建具备自我修复能力的稳健AI生态系统探索了新路径。

期刊简介

Frontiers of Computer Science （FCS）是由教育部主管、高等教育出版社和北京航空航天大学共同主办，南京大学支持，SpringerNature 公司海外发行的英文学术期刊。本刊于 2007 年创刊，月刊，全球发行。主要刊登计算机科学领域具有创新性的综述论文、研究论文等。本刊主编为周志华院士，执行主编为周昆教授。编委会及青年 AE 团队由国内外知名学者及优秀青年学者组成。本刊被 SCI、Ei、DBLP、INSPEC、SCOPUS 和中国科学引文数据库（CSCD）核心库等收录，为 CCF 推荐B类期刊；两次入选“中国科技期刊国际影响力提升计划”；入选“第4届中国国际化精品科技期刊”；两次入选“中国科技期刊卓越行动计划”（一期梯队、二期领军）。