面向縱向聯(lián)邦學(xué)習(xí)的對(duì)抗樣本生成算法

陳曉霖，昝道廣，吳炳潮，關(guān)貝，王永吉

（1.中國(guó)科學(xué)院軟件研究所協(xié)同創(chuàng)新中心，北京 100190；2.中國(guó)科學(xué)院大學(xué)計(jì)算機(jī)科學(xué)與技術(shù)學(xué)院，北京 100049；3.中國(guó)科學(xué)院軟件研究所集成創(chuàng)新中心，北京 100190）

0 引言

作為人工智能訓(xùn)練的基礎(chǔ)，數(shù)據(jù)在推動(dòng)機(jī)器學(xué)習(xí)的發(fā)展中扮演著核心角色。據(jù)預(yù)測(cè)，互聯(lián)網(wǎng)數(shù)據(jù)量在2025 年將暴增至175 ZB[1]。而伴隨全球范圍內(nèi)公眾對(duì)數(shù)據(jù)安全的日益關(guān)注以及數(shù)據(jù)安全相關(guān)法律法規(guī)的實(shí)施，數(shù)據(jù)在各機(jī)構(gòu)與企業(yè)間的流通受到嚴(yán)格約束[2-4]。因此，研究合規(guī)的數(shù)據(jù)獲取和使用方法成為人工智能領(lǐng)域的重要挑戰(zhàn)。自2016 年谷歌公司首次將聯(lián)邦學(xué)習(xí)[5]作為一種解決方案以來，它便受到了廣泛的關(guān)注。

根據(jù)Yang 等[6]的劃分方式，聯(lián)邦學(xué)習(xí)應(yīng)用可以按照數(shù)據(jù)分布分為橫向聯(lián)邦學(xué)習(xí)與縱向聯(lián)邦學(xué)習(xí)（VFL）2 種類型。橫向聯(lián)邦學(xué)習(xí)針對(duì)的是參與方數(shù)據(jù)樣本空間不同而數(shù)據(jù)特征空間相同的情況?？v向聯(lián)邦學(xué)習(xí)針對(duì)的是參與方數(shù)據(jù)特征空間不同而數(shù)據(jù)樣本空間相同的情況，這種建模方式適用于不同業(yè)務(wù)屬性的參與方協(xié)同建模?？v向聯(lián)邦學(xué)習(xí)在國(guó)內(nèi)不同領(lǐng)域得到了廣泛應(yīng)用。例如，微眾銀行[7]使用本地持有的用戶授信數(shù)據(jù)和合作公司持有的用戶消費(fèi)信息構(gòu)建了風(fēng)控領(lǐng)域的縱向聯(lián)邦神經(jīng)網(wǎng)絡(luò)，提高了風(fēng)險(xiǎn)識(shí)別能力；字節(jié)跳動(dòng)公司[8]通過縱向聯(lián)邦樹模型引入外部數(shù)據(jù)源構(gòu)建了一個(gè)推薦領(lǐng)域的縱向聯(lián)邦樹模型，廣告投放增效209%；此外，縱向聯(lián)邦模型還應(yīng)用到智能制造[9]和智能電網(wǎng)[10]等領(lǐng)域，在保護(hù)數(shù)據(jù)隱私的同時(shí)處理預(yù)測(cè)任務(wù)。

隨著縱向聯(lián)邦學(xué)習(xí)的廣泛應(yīng)用，其安全性問題逐漸受到研究人員關(guān)注。Zhu 等[11]提出了梯度泄露問題，在該問題中，建模過程的中間傳輸變量或傳輸梯度會(huì)泄露一部分的原始數(shù)據(jù)信息，惡意參與方據(jù)此可以推理原始數(shù)據(jù)。此后，許多研究人員分別在模型訓(xùn)練階段和推理階段設(shè)計(jì)了不同的攻擊方案。在訓(xùn)練階段，Weng 等[12]針對(duì)邏輯回歸模型和集成樹模型通過反向乘法攻擊和反向求和攻擊的方式重構(gòu)原始數(shù)據(jù)；Fu 等[13]針對(duì)縱向聯(lián)邦學(xué)習(xí)網(wǎng)絡(luò)提出了3 種標(biāo)簽推理攻擊的方式，包括補(bǔ)全本地模型的被動(dòng)標(biāo)簽推理攻擊、增加本地模型權(quán)重占比的主動(dòng)標(biāo)簽推理攻擊以及梯度標(biāo)簽的直接標(biāo)簽推理攻擊。在推理階段，Luo 等[14]提出了一種模型逆向攻擊的通用推理框架，該框架借助生成模型并通過觀察模型的輸出來反向更新恢復(fù)樣本的原始數(shù)據(jù)；Jin 等[15]則利用樣本對(duì)齊提供的樣本空間信息，采用逐層迭代的方法來恢復(fù)原始數(shù)據(jù)；Yang 等[16]利用零階梯度估計(jì)的方式計(jì)算模型參數(shù)構(gòu)造推理模型，從而對(duì)原始數(shù)據(jù)進(jìn)行特征推理攻擊。這些方法的攻擊目標(biāo)是縱向聯(lián)邦數(shù)據(jù)的隱私性，而縱向聯(lián)邦學(xué)習(xí)模型同樣可能受到惡意參與方數(shù)據(jù)篡改，引發(fā)模型安全性威脅，例如本文研究的對(duì)抗攻擊。

聯(lián)邦學(xué)習(xí)的對(duì)抗攻擊指的是惡意參與方在推理階段利用持有的樣本部分特征構(gòu)建對(duì)抗樣本，削弱全局模型的預(yù)測(cè)能力。縱向聯(lián)邦學(xué)習(xí)場(chǎng)景具備高通信成本、快速模型迭代和數(shù)據(jù)分散式存儲(chǔ)的特點(diǎn)，具體如下。1)縱向聯(lián)邦學(xué)習(xí)框架在實(shí)現(xiàn)模型的協(xié)同訓(xùn)練或推理過程中，各參與節(jié)點(diǎn)需要進(jìn)行多輪次的參數(shù)和數(shù)據(jù)交換，這造成了極大的通信成本[17]和計(jì)算負(fù)擔(dān)[18]。2)縱向聯(lián)邦學(xué)習(xí)模型在應(yīng)用及上線過程中會(huì)定期進(jìn)行版本迭代以適應(yīng)數(shù)據(jù)的變化并提升模型性能。③在縱向聯(lián)邦學(xué)習(xí)場(chǎng)景中，數(shù)據(jù)被分散存儲(chǔ)于不同的參與方本地[6]，惡意參與方僅能獲得本地特征空間權(quán)限，并通過勾結(jié)或推理攻擊[14-15]來獲取部分樣本空間的其他特征數(shù)據(jù)，而獲取全局樣本空間是有挑戰(zhàn)性的?；谏鲜鰣?chǎng)景特點(diǎn)，縱向聯(lián)邦場(chǎng)景下生成的對(duì)抗樣本需要具備較高的生成效率、魯棒性及泛化能力。

為了解決上述問題，本文首先對(duì)縱向聯(lián)邦學(xué)習(xí)場(chǎng)景中的對(duì)抗攻擊、集中式機(jī)器學(xué)習(xí)的對(duì)抗樣本生成算法和生成對(duì)抗網(wǎng)絡(luò)進(jìn)行理論介紹；其次，提出了縱向聯(lián)邦學(xué)習(xí)的對(duì)抗樣本生成框架并擴(kuò)展6 種集中式機(jī)器學(xué)習(xí)對(duì)抗樣本生成算法作為基線算法；再次，在上述框架下提出了一種生成算法VFL-GASG；最后，通過實(shí)驗(yàn)驗(yàn)證所提算法相比于其他算法在效率、魯棒性和泛化性方面的能力，并進(jìn)一步驗(yàn)證實(shí)驗(yàn)參數(shù)對(duì)攻擊效果的影響。本文貢獻(xiàn)主要包括以下3 個(gè)方面。

1) 本文在縱向聯(lián)邦學(xué)習(xí)場(chǎng)景下提出了一種具備高擴(kuò)展性的白盒對(duì)抗樣本生成框架，惡意參與方通過局部樣本特征構(gòu)造對(duì)抗樣本從而影響模型的準(zhǔn)確性，該框架可以適用于基于有限內(nèi)存的擬牛頓求解（L-BFGS）[19]、符合梯度法（FGSM）[20]等多種集中式機(jī)器學(xué)習(xí)對(duì)抗樣本生成策略。

2) L-BFGS、FGSM 等對(duì)抗樣本生成算法均基于輸入迭代構(gòu)造對(duì)抗樣本，而縱向聯(lián)邦學(xué)習(xí)環(huán)境中獲取全局樣本空間是有挑戰(zhàn)性的。本文在上述框架下提出了一種基于生成對(duì)抗網(wǎng)絡(luò)的對(duì)抗樣本生成算法VFL-GASG，該算法將本地特征的隱層向量作為先驗(yàn)知識(shí)訓(xùn)練生成模型，經(jīng)由反卷積網(wǎng)絡(luò)產(chǎn)生精細(xì)的對(duì)抗性擾動(dòng)，然后借助生成模型從少量樣本中學(xué)習(xí)到對(duì)抗性擾動(dòng)的通用生成算法，從而有較好的泛化能力。

3) 本文在MNIST 和CIFAR-10 等數(shù)據(jù)集上通過實(shí)驗(yàn)驗(yàn)證了VFL-GASG 算法在效率、泛化性、魯棒性方面的表現(xiàn)。此外，實(shí)驗(yàn)發(fā)現(xiàn)，即使在只有惡意參與方數(shù)量和所持特征數(shù)量較少的情況下，對(duì)抗攻擊也會(huì)顯著影響模型的性能。最后，通過實(shí)驗(yàn)驗(yàn)證不同實(shí)驗(yàn)參數(shù)對(duì)于對(duì)抗攻擊的影響。

1 理論基礎(chǔ)

1.1 縱向聯(lián)邦學(xué)習(xí)的對(duì)抗攻擊

1.1.1縱向聯(lián)邦學(xué)習(xí)架構(gòu)

縱向聯(lián)邦學(xué)習(xí)的參與方數(shù)據(jù)集在樣本維度上有重疊，但在特征維度上分布不同，即不同特征空間的參與方在中央服務(wù)器的協(xié)調(diào)下進(jìn)行聯(lián)合建模。圖1 是一種典型的縱向聯(lián)邦學(xué)習(xí)訓(xùn)練流程。①中央服務(wù)器和各參與方進(jìn)行樣本對(duì)齊，使不同參與方的樣本空間同步；②參與方依據(jù)本地特征和本地模型進(jìn)行模型計(jì)算，并將結(jié)果上傳作為全局模型的輸入；③中央服務(wù)器收到上傳數(shù)據(jù)后，依據(jù)全局模型進(jìn)行模型計(jì)算；④中央服務(wù)器計(jì)算梯度和損失，并將梯度進(jìn)行反向傳播；⑤中央服務(wù)器和參與方分別更新全局模型與本地模型；⑥重復(fù)②～⑤，直到達(dá)到收斂條件?？v向聯(lián)邦學(xué)習(xí)推理架構(gòu)和圖1 相似，由于不涉及模型更新，通過①～③就能完成數(shù)據(jù)推理。多種縱向聯(lián)邦學(xué)習(xí)模型均在上述框架下進(jìn)行部署，如 SecureBoost[21]、Fed-VGAN[22]和SplitNN[23]等。

圖1 縱向聯(lián)邦學(xué)習(xí)訓(xùn)練流程

1.1.2威脅模型

本文假設(shè)縱向聯(lián)邦學(xué)習(xí)網(wǎng)絡(luò)中存在某個(gè)惡意的參與方，該參與方利用訓(xùn)練完全的目標(biāo)模型構(gòu)造對(duì)樣本進(jìn)行攻擊?？v向聯(lián)邦學(xué)習(xí)場(chǎng)景下的威脅模型通過以下3 個(gè)部分進(jìn)行刻畫。

1) 攻擊目標(biāo)

惡意參與方進(jìn)行對(duì)抗攻擊的目標(biāo)是通過在本地所持推理樣本的部分特征上添加對(duì)抗性擾動(dòng)，從而使模型在推理樣本上分類錯(cuò)誤。因此，本文所提算法的攻擊效果可以由目標(biāo)模型在推理集合上分類準(zhǔn)確率的下降幅度來度量。

2) 攻擊知識(shí)

在縱向聯(lián)邦學(xué)習(xí)架構(gòu)中，惡意參與方能夠獲取其本地?cái)?shù)據(jù)以及本地模型的詳細(xì)信息，并且具有訓(xùn)練及推理過程的模型輸出和傳遞參數(shù)的完整知識(shí)。然而，對(duì)于其他參與方的信息，由于存在數(shù)據(jù)分布和模型架構(gòu)的差異性，惡意參與方僅能獲取其他參與方的嵌入層信息，而無(wú)法獲知其他參與方的本地?cái)?shù)據(jù)及模型結(jié)構(gòu)等具體信息。

3) 攻擊能力

在縱向聯(lián)邦學(xué)習(xí)攻擊過程中，惡意參與方可能執(zhí)行如下操作。①惡意參與方篡改本地?cái)?shù)據(jù)，以此擾亂模型的訓(xùn)練和推理過程。②惡意參與方修改本地模型和參數(shù)信息，并調(diào)用全局模型。③惡意參與方通過觀測(cè)每個(gè)通信輪次的模型輸出及嵌入層信息來推測(cè)其他參與方的信息。

在橫向聯(lián)邦學(xué)習(xí)攻擊過程中，惡意參與方的攻擊能力主要聚焦于訓(xùn)練過程的操控，包括在訓(xùn)練階段篡改數(shù)據(jù)、模型和參數(shù)等信息，以及通過觀測(cè)信息推測(cè)數(shù)據(jù)隱私。然而，在推理過程中，參與方使用服務(wù)器分發(fā)的全局模型對(duì)本地?cái)?shù)據(jù)進(jìn)行獨(dú)立推理，其推理過程不易受其他參與方的干擾。因此，橫向聯(lián)邦學(xué)習(xí)中的惡意參與方在推理階段的攻擊威脅性較低[24]，如本文中的對(duì)抗攻擊。盡管目前的研究中許多學(xué)者采用對(duì)抗樣本的生成算法在橫向聯(lián)邦學(xué)習(xí)的訓(xùn)練過程中實(shí)現(xiàn)數(shù)據(jù)投毒[25]或增強(qiáng)模型性能[26]，但這并不屬于推理過程的對(duì)抗攻擊問題。相比之下，縱向聯(lián)邦學(xué)習(xí)需要依靠多參與方進(jìn)行聯(lián)合推理，惡意參與方可以通過注入對(duì)抗性擾動(dòng)至本地特征，干擾聯(lián)合推理的結(jié)果。相較于橫向聯(lián)邦學(xué)習(xí)，縱向聯(lián)邦學(xué)習(xí)更容易受到不可信來源的參與方對(duì)抗攻擊的威脅。

1.2 集中式機(jī)器學(xué)習(xí)對(duì)抗樣本生成算法

集中式機(jī)器學(xué)習(xí)與聯(lián)邦學(xué)習(xí)的分布式策略有所不同，其中心節(jié)點(diǎn)通常需要匯總并處理所有數(shù)據(jù)以訓(xùn)練和推理機(jī)器學(xué)習(xí)模型。Szegedy 等[19]首次在集中式機(jī)器學(xué)習(xí)環(huán)境中提出了對(duì)抗攻擊的概念，并向中心節(jié)點(diǎn)的真實(shí)樣本添加微小擾動(dòng)，盡管這些擾動(dòng)并未顯著改變樣本的整體特性，卻可能導(dǎo)致機(jī)器學(xué)習(xí)模型分類錯(cuò)誤。集中式機(jī)器學(xué)習(xí)的對(duì)抗樣本生成流程如圖2所示。中心節(jié)點(diǎn)將訓(xùn)練好的分類模型作為對(duì)抗攻擊的目標(biāo)模型；然后，通過向原始圖像添加擾動(dòng)生成對(duì)抗樣本，并通過目標(biāo)模型的輸出進(jìn)行擾動(dòng)迭代；直至滿足設(shè)定條件，從而生成最終的對(duì)抗樣本。

圖2 集中式機(jī)器學(xué)習(xí)的對(duì)抗樣本生成流程

在集中式機(jī)器學(xué)習(xí)環(huán)境中，已經(jīng)發(fā)展出了多種對(duì)抗樣本生成策略，其中代表性方法包括基于優(yōu)化求解策略的L-BFGS[19]和C&W（Carlini&Wagner）[27]，基于梯度迭代策略的 FGSM[20]、I-FGSM[28]、MI-FGSM[29]，以及基于像素級(jí)擾動(dòng)策略的顯著圖攻擊（JSMA）[30]。下面介紹不同對(duì)抗樣本生成算法的理論部分。

1) L-BFGS

Szegedy 等[19]最早提出了集中式機(jī)器學(xué)習(xí)的對(duì)抗樣本生成算法L-BFGS，該方法將對(duì)抗樣本的擾動(dòng)計(jì)算轉(zhuǎn)化為如下問題并通過擬牛頓法求解

其中，x是輸入的原始圖像特征，l是錯(cuò)誤的分類標(biāo)簽，r是需要加入的對(duì)抗性擾動(dòng)向量，? 是損失函數(shù)。

2) FGSM

Goodfellow 等[20]提出了FGSM 方法，該方法通過計(jì)算模型損失相對(duì)于輸入數(shù)據(jù)的梯度，在有限擾動(dòng)的情況下沿著損失函數(shù)最大化的方向進(jìn)行更新。對(duì)抗性擾動(dòng)表示為

其中，?用于控制擾動(dòng)大小，x和y分別是輸入圖像特征和真實(shí)標(biāo)簽。

3) I-FGSM

Kurakin 等[28]采用迭代的策略，將增大分類器損失函數(shù)的過程分解為多個(gè)迭代步驟，迭代過程為

其中，α表示每次迭代的步長(zhǎng)；Clip 表示裁剪函數(shù)，其對(duì)生成樣本的每個(gè)像素進(jìn)行裁剪，使迭代數(shù)據(jù)保持在原始圖像的?鄰域范圍內(nèi)。

4) MI-FGSM

Dong 等[29]為了提升攻擊的成功率，通過動(dòng)量迭代來替代I-FGSM 中的梯度迭代信息策略，同時(shí)引入歷史擾動(dòng)來規(guī)避迭代過程可能產(chǎn)生的局部最優(yōu)問題，提高迭代過程的穩(wěn)定性。該過程可表示為

其中，rt+1和xt+1分別表示第t+1次迭代產(chǎn)生的擾動(dòng)和對(duì)抗樣本，μ表示衰減因子。

5) C&W

Carlini 等[27]則在L-BFGS 的優(yōu)化問題基礎(chǔ)上，通過映射變換解決像素溢出的問題，并引入置信度函數(shù)來控制錯(cuò)誤概率。優(yōu)化問題表示為

6)JSMA

Papernot 等[30]提出一種通過類別梯度生成像素顯著圖來篩選干擾像素對(duì)的方法。顯著性映射為

其中，Zl(x)表示x在分類層l類上的輸出。該方法利用顯著圖來篩選出對(duì)目標(biāo)模型分類輸出影響最大的特征對(duì)，并在對(duì)應(yīng)像素點(diǎn)上施加擾動(dòng)。

1.3 生成對(duì)抗網(wǎng)絡(luò)

生成對(duì)抗網(wǎng)絡(luò)（GAN,generative adversarial network）由Goodfellow 等[31]提出，它由生成器G和判別器D 兩部分組成。GAN 的核心思想是通過生成器和判別器的對(duì)抗訓(xùn)練，學(xué)習(xí)數(shù)據(jù)的隱含分布，從而生成與真實(shí)數(shù)據(jù)相似的樣本。具體來說，生成器G接收低維隨機(jī)噪聲作為輸入并輸出偽造樣本，其目標(biāo)是生成能夠欺騙判別器的樣本，使判別器難以區(qū)分真實(shí)樣本和生成的偽造樣本。判別器D 的任務(wù)是對(duì)輸入樣本進(jìn)行判斷，輸出其作為真實(shí)樣本的概率。綜合考慮生成器和判別器的優(yōu)化目標(biāo)，可以表示為

自Goodfellow 首次提出生成對(duì)抗網(wǎng)絡(luò)以來，許多研究者對(duì)其進(jìn)行了改進(jìn)。Arjovsky 等[32]采用Wasserstein 距離作為損失函數(shù)以緩解訓(xùn)練過程的梯度消失問題。Radford 等[33]提出了深度卷積生成對(duì)抗網(wǎng)絡(luò)（DCGAN,deep convolutional generative adversarial network），這種方法將GAN 中的生成器全連接層替換為反卷積層，顯著降低了模式坍塌現(xiàn)象出現(xiàn)的頻率。在DCGAN 方法中，卷積層通過滑動(dòng)窗口機(jī)制有效地提取高維圖像特征，反卷積層則利用這些特征以逆卷積的操作進(jìn)行圖像重建。該方法顯著地提高了在圖像生成任務(wù)中生成對(duì)抗網(wǎng)絡(luò)的訓(xùn)練穩(wěn)定性。

2 縱向聯(lián)邦學(xué)習(xí)對(duì)抗樣本生成

2.1 問題定義

即最小化惡意參與方對(duì)抗性擾動(dòng)的同時(shí)，使中央服務(wù)器全局模型在對(duì)抗樣本上分類錯(cuò)誤。表1 定義了縱向聯(lián)邦學(xué)習(xí)對(duì)抗樣本生成的相關(guān)參數(shù)。

表1 相關(guān)參數(shù)

2.2 縱向聯(lián)邦學(xué)習(xí)對(duì)抗樣本生成框架

如圖3 所示，本文提出的縱向聯(lián)邦學(xué)習(xí)對(duì)抗樣本生成框架的流程如下：首先，每個(gè)參與方根據(jù)其本地模型和數(shù)據(jù)生成全局模型的輸入；接著，聯(lián)邦學(xué)習(xí)服務(wù)器根據(jù)全局模型執(zhí)行計(jì)算，產(chǎn)生用于擾動(dòng)的更新參數(shù)，并反饋給各個(gè)參與方，惡意參與方根據(jù)回傳梯度等參數(shù)更新對(duì)抗樣本；之后，對(duì)抗樣本被作為惡意參與方的本地模型輸入，經(jīng)迭代更新，直至達(dá)到預(yù)設(shè)迭代次數(shù)或其他條件；最終，輸出完成的對(duì)抗樣本。詳細(xì)過程如算法1 所示。

圖3 縱向聯(lián)邦學(xué)習(xí)對(duì)抗樣本生成框架

算法1縱向聯(lián)邦學(xué)習(xí)對(duì)抗樣本生成框架

在該框架下，集中式機(jī)器學(xué)習(xí)對(duì)抗樣本生成策略可以擴(kuò)展至縱向聯(lián)邦學(xué)習(xí)場(chǎng)景中，本文擴(kuò)展了多種生成算法，如表2 所示，其中，VFL-LBFGS 和VFL-C&W 通過優(yōu)化策略生成對(duì)抗樣本，VFL-JSMA 采用像素級(jí)擾動(dòng)方法生成對(duì)抗樣本，VFL-FGSM、VFL-IFGSM 和VFL-MIFGSM 則是通過梯度迭代更新的方式產(chǎn)生擾動(dòng)，這些算法將作為基準(zhǔn)算法參與后續(xù)實(shí)驗(yàn)驗(yàn)證。

表2 縱向聯(lián)邦學(xué)習(xí)對(duì)抗樣本生成算法

2.3 基于GAN 的對(duì)抗樣本生成

為了解決對(duì)抗性擾動(dòng)的通用性問題，本文在算法1 框架下提出了一種基于GAN 的對(duì)抗樣本生成算法VFL-GASG。其中，生成器負(fù)責(zé)生成噪聲并將其注入真實(shí)樣本形成對(duì)抗樣本；判別器則對(duì)真實(shí)樣本和對(duì)抗樣本進(jìn)行分類，以便更精確地辨別這2 類樣本。該過程可分為模型訓(xùn)練和對(duì)抗樣本生成2 個(gè)階段。模型訓(xùn)練階段指的是利用訓(xùn)練樣本完成生成器和判別器的訓(xùn)練，以達(dá)到預(yù)定的生成目標(biāo)；而對(duì)抗樣本生成階段則是指惡意參與方利用訓(xùn)練好的生成器生成對(duì)抗樣本的過程。

圖4 是基于GAN 的對(duì)抗樣本生成模型的訓(xùn)練過程，其中，生成模型由多層卷積網(wǎng)絡(luò)和反卷積網(wǎng)絡(luò)組成。在該模型中，卷積網(wǎng)絡(luò)負(fù)責(zé)處理輸入圖像，提取深層特征；反卷積網(wǎng)絡(luò)采用一種與卷積過程相反的運(yùn)算，從特征空間映射回原始圖像空間，它利用由卷積網(wǎng)絡(luò)提取的特征，加入一定隨機(jī)噪聲，重建出具有對(duì)抗性擾動(dòng)的圖像。這種方法有效地避免了由于低維特征重建引發(fā)的模式坍塌現(xiàn)象。這種對(duì)抗樣本對(duì)目標(biāo)模型形成有效的干擾，從而在維持原有識(shí)別精度的同時(shí)，提高了對(duì)抗攻擊的有效性。判別器則由卷積網(wǎng)絡(luò)組成，對(duì)輸入的真實(shí)特征和偽造特征進(jìn)行二分類。

圖4 基于GAN 的對(duì)抗樣本生成模型的訓(xùn)練過程

在訓(xùn)練過程中，誠(chéng)實(shí)參與方根據(jù)其本地模型和樣本特征執(zhí)行本地計(jì)算，并將結(jié)果作為全局模型輸入上傳。惡意參與方通過生成器對(duì)真實(shí)特征進(jìn)行編碼來產(chǎn)生對(duì)抗性擾動(dòng)，然后將這些擾動(dòng)添加到真實(shí)樣本上形成對(duì)抗樣本。接著，惡意參與方將對(duì)抗樣本輸入到本地模型中進(jìn)行計(jì)算，并將結(jié)果上傳至服務(wù)器。服務(wù)器根據(jù)全局模型計(jì)算模型輸出及損失?adv。惡意參與方將真實(shí)樣本和對(duì)抗樣本輸入判別器，計(jì)算對(duì)抗損失 ?GAN。計(jì)算完成后，判別器和生成器根據(jù)全局損失?分別更新模型參數(shù)。惡意參與方重復(fù)上述過程，直到收斂后保存模型G、D。具體過程如算法2 所示。

算法2VFL-GASG 模型的訓(xùn)練過程

圖5 基于GAN 的對(duì)抗樣本生成模型的生成過程

3 實(shí)驗(yàn)評(píng)估

本節(jié)首先詳述實(shí)驗(yàn)設(shè)定，包括實(shí)驗(yàn)環(huán)境、數(shù)據(jù)集和模型結(jié)構(gòu)；其次展示不同對(duì)抗樣本生成算法所產(chǎn)生的對(duì)抗樣本及其攻擊效果；再次通過實(shí)驗(yàn)驗(yàn)證VFL-GASG 在效率、魯棒性和泛化性上的能力；最后在縱向聯(lián)邦環(huán)境中，通過實(shí)驗(yàn)分析不同參數(shù)對(duì)對(duì)抗攻擊的影響。

3.1 實(shí)驗(yàn)設(shè)置

1) 實(shí)驗(yàn)環(huán)境

本文實(shí)驗(yàn)運(yùn)行于以下環(huán)境：Intel(R) Xeon(R)Gold，64 內(nèi)核，2.3 GHz，內(nèi)存128 GB，V100 GPU，Ubuntu 16.04 操作系統(tǒng)。本文提出的對(duì)抗樣本生成算法基于Pytorch 框架和foolbox 庫(kù)實(shí)現(xiàn)。

2) 數(shù)據(jù)集

本文數(shù)據(jù)集選用了 MNIST、CIFAR-10 和ImageNet-100。其中，MNIST 數(shù)據(jù)集是一個(gè)廣泛應(yīng)用于圖像分類任務(wù)的手寫數(shù)字圖像數(shù)據(jù)庫(kù)，包含60 000 個(gè)訓(xùn)練樣本和10 000 個(gè)測(cè)試樣本，每個(gè)樣本都是28 像素×28 像素的灰度圖像；CIFAR-10 數(shù)據(jù)集也常用于圖像分類任務(wù)，是一個(gè)包含10 個(gè)不同類別的彩色圖像數(shù)據(jù)集，每個(gè)圖像為32 像素×32 像素，總計(jì)包含50 000 個(gè)訓(xùn)練樣本和10 000 個(gè)測(cè)試樣本；ImageNet-100 數(shù)據(jù)集是ImageNet 大規(guī)模視覺識(shí)別任務(wù)的子數(shù)據(jù)集，包括100 個(gè)類別的樣本數(shù)據(jù)，共計(jì)50 000 個(gè)訓(xùn)練圖像和10 000 個(gè)測(cè)試圖像，經(jīng)處理后每個(gè)圖像為214 像素×214 像素。

本文構(gòu)建了一個(gè)包含3 個(gè)參與方的仿真縱向聯(lián)邦學(xué)習(xí)環(huán)境。其中，2 個(gè)參與方被設(shè)定為誠(chéng)實(shí)參與方，主要負(fù)責(zé)本地模型的計(jì)算和數(shù)據(jù)上傳；另一個(gè)參與方被設(shè)定為惡意參與方，其任務(wù)是生成對(duì)抗樣本。在基于特征維度的數(shù)據(jù)劃分過程中，誠(chéng)實(shí)參與方和惡意參與方所持有的特征數(shù)量的比例保持在1:1，這種設(shè)計(jì)能夠在相對(duì)平衡的初始環(huán)境中評(píng)估和比較算法性能。

3) 模型架構(gòu)

本文將目標(biāo)模型在測(cè)試集上的分類準(zhǔn)確率下降幅度作為對(duì)抗攻擊的度量，首先訓(xùn)練目標(biāo)模型，然后在測(cè)試樣本上添加擾動(dòng)生成對(duì)抗樣本，統(tǒng)計(jì)對(duì)抗樣本在目標(biāo)模型上的準(zhǔn)確率。對(duì)抗樣本在目標(biāo)模型的準(zhǔn)確率越低，那么對(duì)抗攻擊的效果越好。在構(gòu)建本地模型和全局模型的過程中，本文設(shè)計(jì)了不同的分類模型（圖6 的目標(biāo)模型1 與目標(biāo)模型2），經(jīng)過訓(xùn)練后，該模型在MNIST 和CIFAR-10 測(cè)試集上的準(zhǔn)確率分別為97.27%和79.91%，而選用ResNet模型作為ImageNet-100 的目標(biāo)模型，分類準(zhǔn)確率為65.09%。本文采用深度卷積生成對(duì)抗網(wǎng)絡(luò)來改善訓(xùn)練的穩(wěn)定性。判別器包括4 層卷積網(wǎng)絡(luò)，生成器包括3 層卷積網(wǎng)絡(luò)、4 層ResNetBlock 和3 層反卷積網(wǎng)絡(luò)。

圖6 GAN 及目標(biāo)模型網(wǎng)絡(luò)結(jié)構(gòu)

3.2 對(duì)抗樣本生成

為了直觀展示對(duì)抗樣本的生成效果，本文在上述實(shí)驗(yàn)環(huán)境中進(jìn)行重建數(shù)據(jù)的可視化，分別在MNIST 和CIFAR-10 數(shù)據(jù)集上生成對(duì)抗樣本，當(dāng)惡意參與方完成計(jì)算后，將不同參與方的樣本特征進(jìn)行整合來直觀展示對(duì)抗樣本生成的效果。如圖7 和圖8 所示，盡管樣本在局部位置出現(xiàn)了微小的擾動(dòng)，然而總體上并未影響圖像的辨認(rèn)。

圖7 在MNIST 上生成的對(duì)抗樣本

圖8 在CIFAR-10 上生成的對(duì)抗樣本

本文進(jìn)一步在ImageNet-100 數(shù)據(jù)集上生成對(duì)抗樣本，如圖9 所示。相比于MNIST 和CIFAR-10上生成的對(duì)抗樣本，ImageNet-100 上樣本的輪廓更清晰，視覺效果與原始圖像更相似，噪聲的直觀感受更小。

圖9 在ImageNet-100 上生成的對(duì)抗樣本

表3 統(tǒng)計(jì)了不同對(duì)抗樣本生成算法在目標(biāo)模型上的分類準(zhǔn)確率。結(jié)果表明，所有的對(duì)抗攻擊都導(dǎo)致了模型分類準(zhǔn)確率的大幅下降，這證明了對(duì)抗樣本生成框架的有效性。然而，不同生成算法的效果存在差異，VFL-C&W 生成的對(duì)抗樣本使模型的分類準(zhǔn)確率下降最多，其能夠在引入細(xì)小對(duì)抗擾動(dòng)的同時(shí)保持較高的攻擊效果。VFL-JSMA 通過選擇對(duì)分類結(jié)果影響最大的像素對(duì)來生成對(duì)抗樣本。盡管這種算法改變的像素較少，但個(gè)別像素值的變動(dòng)較大，因此，在實(shí)際的對(duì)抗攻擊中，這種算法生成的對(duì)抗樣本更容易被識(shí)別。VFL-FGSM、VFL-IFGSM、VFL-MIFGSM、VFL-LBFGS 算法在攻擊效果上相近。而本文提出的VFL-GASG 算法在攻擊效果上接近于VFL-C&W 算法，這證明該算法在縱向聯(lián)邦學(xué)習(xí)場(chǎng)景中可以保持較高的攻擊成功率。

表3 不同對(duì)抗樣本生成算法在目標(biāo)模型上的分類準(zhǔn)確率

3.3 效果對(duì)比

在效率方面，本文在3 個(gè)數(shù)據(jù)集的測(cè)試圖像上分別生成了10 000 個(gè)對(duì)抗樣本，并統(tǒng)計(jì)了所需時(shí)間，如表4 所示。在使用VFL-GAN 生成對(duì)抗樣本的過程中，惡意參與方僅需將原始圖像輸入生成器，生成器就可以計(jì)算出相應(yīng)擾動(dòng)，這種方式減少了參與方之間的數(shù)據(jù)傳輸次數(shù)，因此在計(jì)算復(fù)雜度上具有明顯優(yōu)勢(shì)?；诒?，本文提出的VFL-GASG 算法在對(duì)抗樣本的生成效率上明顯優(yōu)于其他算法，生成樣本耗時(shí)分別為5.51 s、9.99 s 和167.89 s，這甚至少于VFL-FGSM 算法。雖然在表2 中VFL-C&W 算法展示了較好的攻擊效果，但其代價(jià)是極高的計(jì)算復(fù)雜度，VFL-C&W 的計(jì)算耗時(shí)遠(yuǎn)超其他方法。而本文提出的VFL-GASG 算法不僅保持了高攻擊成功率，同時(shí)在生成效率上也表現(xiàn)出顯著優(yōu)勢(shì)。

為了探究對(duì)抗樣本對(duì)模型的魯棒性，本文調(diào)整了3 個(gè)數(shù)據(jù)集上目標(biāo)模型的參數(shù)和網(wǎng)絡(luò)結(jié)構(gòu)，得到新的目標(biāo)模型A、B 和C。接著，將原對(duì)抗樣本輸入這些模型，通過觀察對(duì)抗樣本在新目標(biāo)模型上的準(zhǔn)確率變化來評(píng)估對(duì)抗樣本對(duì)于模型的魯棒性。如表4 所示，即使調(diào)整了目標(biāo)模型，這些對(duì)抗樣本仍能顯著降低模型的準(zhǔn)確率，特別是VFL-GASG 生成的對(duì)抗樣本依然使不同模型分類準(zhǔn)確率大幅下降，這證明聯(lián)邦模型迭代后，VFL-GASG 生成的對(duì)抗樣本仍能有效干擾模型。

表5 展示了基于不同訓(xùn)練樣本比例所訓(xùn)練的生成模型所產(chǎn)生的擾動(dòng)對(duì)目標(biāo)模型準(zhǔn)確性的影響，其中極差反映了度量指標(biāo)在各比例間的變動(dòng)幅度。結(jié)果顯示，即使訓(xùn)練樣本的比例存在差異，VFL-GASG算法都能顯著降低目標(biāo)模型的Top1 分類準(zhǔn)確率，這證實(shí)了VFL-GASG 在部分樣本上對(duì)抗性擾動(dòng)生成算法的泛化能力。在縱向聯(lián)邦學(xué)習(xí)的環(huán)境中，即使泄露了少量樣本信息，該算法也能夠利用這些信息構(gòu)建噪聲生成網(wǎng)絡(luò)，進(jìn)而構(gòu)造對(duì)抗攻擊。相比之下，其他對(duì)抗樣本生成算法需要對(duì)每個(gè)輸入樣本進(jìn)行獨(dú)立的計(jì)算與迭代，其泛化能力相對(duì)較差。

表5 不同訓(xùn)練樣本比例的攻擊效果

3.4 不同實(shí)驗(yàn)設(shè)置的影響

在對(duì)抗攻擊過程中，攻擊者利用其持有的特征創(chuàng)建對(duì)抗樣本以混淆目標(biāo)模型，惡意參與方特征數(shù)量可能影響對(duì)抗攻擊的效果。為了探究惡意參與方特征數(shù)量對(duì)攻擊效果的影響，本節(jié)在不同惡意參與方特征數(shù)量條件下評(píng)估了不同對(duì)抗樣本生成算法的攻擊效果，實(shí)驗(yàn)結(jié)果如圖10 所示。本節(jié)實(shí)驗(yàn)分別在MNIST、CIFAR-10、ImageNet-100數(shù)據(jù)集上根據(jù)不同的敵手特征數(shù)量對(duì)圖像劃分，例如，在Imagenet 數(shù)據(jù)集上，敵手客戶端分別持有0～224 維的不同高度像素，其余像素則均勻分配給誠(chéng)實(shí)參與方。隨著惡意參與方特征數(shù)量的增加，模型的分類準(zhǔn)確率在一定范圍內(nèi)呈線性下降趨勢(shì)。值得注意的是，即使敵手只持有較少的特征，其攻擊也能顯著影響模型性能，例如當(dāng)特征數(shù)量分別為8、8 和56 時(shí)，VFL-GASG 在3 個(gè)數(shù)據(jù)集上產(chǎn)生的對(duì)抗攻擊使模型分類準(zhǔn)確率分別下降30.80%、22.36%和17.62%；當(dāng)惡意參與方特征數(shù)量超過總體特征的50%時(shí)，模型分類準(zhǔn)確率均保持在較低水平。

圖10 惡意參與方特征數(shù)量對(duì)于對(duì)抗攻擊的影響

本節(jié)探究了不同惡意參與方占比對(duì)縱向聯(lián)邦對(duì)抗攻擊的影響，結(jié)果如圖11 所示。實(shí)驗(yàn)設(shè)置在8 個(gè)參與方中引入不同比例（0%、12.5%、25%、50%）的惡意參與方，評(píng)估其對(duì)模型性能的影響。實(shí)驗(yàn)表明惡意客戶端數(shù)量的增加引發(fā)了對(duì)抗攻擊效果的顯著提升，并導(dǎo)致目標(biāo)模型分類準(zhǔn)確率大幅降低。即使惡意參與方比例僅為12.5%，模型分類準(zhǔn)確率也表現(xiàn)出顯著下滑。當(dāng)惡意參與方比例達(dá)到50%時(shí)，模型分類準(zhǔn)確率進(jìn)一步降低至31.38%、42.89%和22.36%。以上結(jié)果表明，保證聯(lián)邦學(xué)習(xí)環(huán)境的安全性以防止惡意參與方的參與，對(duì)于維持模型的高分類準(zhǔn)確率具有至關(guān)重要的意義。

圖11 惡意參與方占比對(duì)縱向聯(lián)邦對(duì)抗攻擊的影響

本節(jié)針對(duì)MNIST、CIFAR-10 和ImageNet-100數(shù)據(jù)集，探究了參與方數(shù)量和實(shí)驗(yàn)參數(shù)配置如何影響VFL-GASG 對(duì)抗攻擊的效果，如圖12 所示。在將參與方總數(shù)設(shè)為2、4、6、8 的不同場(chǎng)景中，設(shè)定其中一個(gè)參與方作為惡意參與方并進(jìn)行特征均勻分配。圖12 的實(shí)驗(yàn)結(jié)果表明，隨著參與方數(shù)量的增長(zhǎng)，對(duì)抗攻擊的攻擊準(zhǔn)確率顯著降低，這是因?yàn)槭軘_動(dòng)的特征數(shù)量隨著參與方數(shù)量的增加而減少，而其他參與方提供的建模特征則會(huì)緩解惡意參與方對(duì)攻擊的影響。另一方面，實(shí)驗(yàn)參數(shù)設(shè)定可以影響損失優(yōu)化方向中各項(xiàng)的相對(duì)重要性。當(dāng)擾動(dòng)參數(shù)λr較大時(shí)，模型的攻擊準(zhǔn)確率降低較慢，意味著模型優(yōu)化過程更注重于減小擾動(dòng)，而不是攻擊效果。反之，當(dāng)生成對(duì)抗網(wǎng)絡(luò)的參數(shù)λGAN增大時(shí)，生成模型則更多地傾向于降低目標(biāo)模型的性能，以提高對(duì)抗攻擊效果。值得注意的是，在MNIST 和CIFAR 數(shù)據(jù)集上10～12 輪的部分準(zhǔn)確率曲線有上升趨勢(shì)，這是因?yàn)棣藃相比于λGAN過小，導(dǎo)致模型更傾向于犧牲對(duì)抗性擾動(dòng)而注重提高攻擊效果，但經(jīng)裁剪后的圖像使攻擊效果反而下降。這些實(shí)驗(yàn)結(jié)果表明，合適的模型參數(shù)對(duì)于對(duì)抗攻擊VFL-GASG尤其關(guān)鍵。

圖12 參與方數(shù)量和實(shí)驗(yàn)參數(shù)配置對(duì)VFL-GASG 攻擊效果的影響

4 結(jié)束語(yǔ)

本文探討了縱向聯(lián)邦學(xué)習(xí)環(huán)境下的對(duì)抗樣本生成問題。首先，在縱向聯(lián)邦學(xué)習(xí)架構(gòu)的背景下詳細(xì)分析了對(duì)抗攻擊的威脅模型，進(jìn)而為縱向聯(lián)邦學(xué)習(xí)環(huán)境構(gòu)建了一種具有高擴(kuò)展性的對(duì)抗樣本生成框架，并擴(kuò)展了不同機(jī)器學(xué)習(xí)對(duì)抗樣本生成策略作為基準(zhǔn)算法。鑒于生成算法的泛化能力的要求，提出了一種基于 GAN 的對(duì)抗樣本生成算法VFL-GASG，該算法在生成模型中通過卷積-反卷積網(wǎng)絡(luò)構(gòu)建精細(xì)化擾動(dòng)。通過在多個(gè)數(shù)據(jù)集上的實(shí)驗(yàn)證明，該算法在生成效率、魯棒性和泛化性方面表現(xiàn)出優(yōu)良的性能，符合縱向聯(lián)邦學(xué)習(xí)環(huán)境的需求。即便在惡意參與方數(shù)量較少或其持有的特征數(shù)量較少的情況下，模型的準(zhǔn)確性也會(huì)受到對(duì)抗攻擊的顯著影響。進(jìn)一步，通過實(shí)驗(yàn)分析了可能影響對(duì)抗攻擊效果的各種因素，為后續(xù)研究提供有意義的借鑒。