1. 联邦学习概述与隐私保护需求

1.1 为什么要有联邦学习？

先说个大背景。2016 年 Google 提出联邦学习的时候，我还在做传统机器学习平台。那时候数据都在各自的数据库里，谁也不愿意往外拿。医疗数据、金融数据、用户行为数据——每个机构都是孤岛。你想训练一个全局模型？门都没有。

更别提 GDPR、网络安全法这些法规了。数据出域就是违法。我记得有个客户想把几家风控数据合起来建模，法务直接说“不行，合同里写死了数据不能出服务器”。嗯，这就是典型的数据不出域但又需要联合建模的场景。

联邦学习的核心思路很简单：数据不动，模型动。每个参与方在本地保留原始数据，只交换模型参数或梯度。这就绕开了数据合并的合规红线。说白了，就是把“把数据拿过来训练”变成了“把模型送过去训练”。

1.2 应用场景：哪儿最需要联邦学习？

我在实际项目中接触过三类典型场景。先列个表格对比一下他们的安全需求差异：

行业	数据特征	隐私敏感度	典型攻击向量
医疗	患者诊断记录、影像	极高（HIPAA，人遗资源）	成员推理、梯度泄露
金融	交易流水、信贷信息	高（GDPR，银行保密）	模型反转，中毒攻击
IoT/边缘	传感器数据、日志	中（企业商密）	合谋攻击、投毒

医疗场景是最敏感的。不同医院之间共享病理数据几乎不可能，但多中心联合训练诊断模型的价值又极高。我曾经帮一家医院做过跨院区联邦乳腺钼靶分类，每家的数据分布都不一样——有的设备型号老，图像噪声大。联邦学习能把这些异构数据用起来，但梯度里泄露的敏感信息（比如患者的病理特征）才是真正的大坑。

金融场景更看重反欺诈和风控。不同银行之间的黑名单、多头借贷数据如果直接合并，不只违法，还容易暴露客户关系网。联邦学习可以学出一个全局反欺诈模型，但攻击者可能通过模型参数反推出某笔交易是否包含在训练集中。我早期做过一次实验，只用了 3 轮梯度就还原出了部分样本的标签——这事给我敲了警钟。

IoT/边缘场景我接触得不多，但有个问题很明显：设备数量大、通信不稳定、算力有限。密钥协商在这里不只是协议问题，还得考虑带宽和功耗。你想想看，一个智能马桶上的传感器如果每轮都做全同态加密，电池撑不过一天。

1.3 安全挑战：数据不动，但风险动

很多人觉得“数据不出本地就安全了”。这个想法很危险。联邦学习只是把攻击面从原始数据转移到了模型参数/梯度上。你暴露的信息量可能比你想象的更多。

我习惯把安全挑战归成四类：

• 梯度泄露：攻击者直接从上传的梯度中还原出原始数据或标签。iDLG、Deep Leakage from Gradients 这些我都复现过。我建议你亲自跑一遍，感受一下什么叫“参数裸奔”。
• 模型反转：通过反复查询全局模型，反推出某个参与方的训练样本。这在图片分类任务上尤其明显，甚至能生成出和原始图片几乎一样的图像。
• 投毒与拜占庭攻击：恶意客户端故意上传错误的更新，破坏全局模型或植入后门。有一次我在模拟中塞了一个“在所有数字图像中触发‘拒马’分类”的后门，聚合 5 轮后模型在干净数据上的准确率只掉了 0.3%，但触发后门时成功率 97%。
• 合谋攻击：多个客户端或服务器串通，获取其他参与方的隐私信息。尤其在服务器半诚实模型下，合谋者可以轻松聚合梯度并做差分分析。

1.4 隐私保护技术：三根柱子

为了解决上述挑战，业界主要使用三大技术：差分隐私、安全多方计算、同态加密。它们各自的优势和不足，你可以看这张表：

技术	原理	隐私预算	计算/通信开销
差分隐私（DP）	在梯度/参数中添加随机噪声	需控制 ε 值，限制查询次数	低（仅噪声生成）
安全多方计算（MPC）	秘密共享、混淆电路等协议	理论上无信息泄露	高（通信轮次多，带宽大）
同态加密（HE）	对密文直接做聚合计算	保护数据机密性	极高（尤其是全同态）

但光靠这三个还不够。密钥协商才是连接这些技术的骨架。差分隐私的噪声分布需要密钥来生成；MPC 需要预先协商共享秘密；同态加密的公钥分发、轮换、撤销都依赖可靠的密钥协商协议。这就是我们这个课程的名字——《联邦学习密钥协商边界设计指南》的由来。

我遇到过很多团队，把安全协议堆得很高，但密钥协商阶段用的还是最简单的 Diffie-Hellman，甚至直接用预置密钥。结果呢？密钥泄漏或者轮换不及时，整个安全模块形同虚设。说白了，密钥协商是防御链条上最容易被忽视的一环。

1.5 本章知识体系总览

下面这张 SVG 图把本章的核心内容串了起来。你可以看到联邦学习的基本通信拓扑、私有数据与模型更新的流向，以及四个主要攻击面如何渗透这个系统。我建议你把这图保存下来，后面每一章都会回到这个参考框架。

从上图可以看到，联邦学习的通信拓扑是星型（或半星型）的。每个客户端与本地的私有数据区隔离开，只向上传递训练结果。但梯度/模型更新的每一跳都可能成为攻击突破口。而密钥协商（底部的绿色条带）就像一条贯穿所有链路的“安全腰带”——它负责建立加密信道、协商差分隐私的噪声种子、以及 MPC 的秘密共享参考值。如果没有这条腰带，上层的隐私保护技术都是空中楼阁。