边界设计理论基础：安全边界定义、信任假设、威胁模型分类

任何联邦学习系统，如果想谈「安全」，第一步就是先画个圈——把保护的对象、可信的区域、可能被攻破的缺口，全标出来。这个圈，就是安全边界。

你可能觉得，不就是个边界吗？直接一道防火墙不就完了。别急。联邦学习的边界比传统网络复杂得多。每个客户端本地数据是你的资产，但客户端本身可能是别人的设备；聚合服务器是你信任的，但万一被攻破呢？我记得早期帮某金融机构做跨行反欺诈模型时，客户拍胸脯说“所有参与方都是银行，可信”。结果上线三个月，发现某家银行内部员工把中间梯度数据悄悄导出了。嗯，边界假设直接崩塌。

所以这一章，咱们就把边界设计的底层逻辑捋清楚：安全边界怎么定义？信任假设怎么定？威胁模型怎么分类？

1. 安全边界：到底保护什么？

你想想看，一个联邦学习系统里，能暴露的信息包括：

• 客户端本地数据（原始数据、特征、标签）
• 模型参数或梯度（上传统计信息）
• 聚合服务器中间结果（如平均梯度）
• 通信链路中的密文（加密还是明文？）

安全边界就是把这些信息按保护等级划分。我个人的习惯是分三层：

1. 强保护层：客户端本地数据。永远不允许离开设备，即使加密聚合也不行。
2. 弱保护层：上传的梯度或参数。可以暴露，但必须进行扰动或加密，防止反推原始数据。
3. 开放层：聚合服务器输出的全局模型。默认对外发布，只做差分隐私裁剪。

说白了，边界不是一道墙，而是一组策略约束：谁能在什么条件下看到什么信息。

2. 信任假设：你信谁？

光画边界没用，还得说清楚：我们假设哪些参与方是“信得过”的。联邦学习里常见的信任假设就三种：

假设类型	描述	我踩过的坑
半诚实（Honest-but-Curious）	所有参与方按协议执行，但会尝试从合法收到的数据中推断额外信息。	一次医疗项目，各家医院都严守协议，但有一家偷偷分析中间梯度做病人画像——这就是半诚实攻击。
恶意（Malicious）	攻击者可能任意偏离协议，发送错误信息、伪造数据、合谋破坏。	我曾见过一个公链项目，节点直接返回假梯度来让全局模型中毒。
可信第三方（Trusted Third Party, TTP）	存在一个可信的服务器或硬件（如TEE）进行聚合。	不是所有场景都能搭TEE，太贵。

为什么强调这个？因为密钥协商的方案设计，完全取决于你选择了哪种信任假设。半诚实场景下，简单的秘密共享加混淆电路就够了；恶意场景下，必须上零知识证明或承诺方案。成本差一个数量级。

3. 威胁模型分类：攻击者能干啥？

你画了边、定了假设，还得想清楚：攻击者具体可能怎么动手？我把联邦学习中的威胁按攻击阶段和方式分了四类：

• 被动攻击（Passive Attack）：偷听数据，不做修改。比如窃听通信链路获取加密梯度，再尝试破解。
• 主动攻击（Active Attack）：篡改消息、发起中间人攻击、注入错误梯度。
• 合谋攻击（Collusion Attack）：多个参与方串通，共享私有信息来突破安全边界。
• 模型投毒（Model Poisoning）：专门针对聚合过程，影响全局模型质量。

举个例子：我之前做一个跨企业销售预测系统，A公司和B公司是竞争对手。我们在设计时假设了半诚实+被动攻击，但没考虑A和B私下合谋——结果它们真的一起攻击了聚合服务器的内存，拿到了部分梯度。

4. 一张图看懂三者的关系

安全边界、信任假设、威胁模型三者不是独立的。边界的大小决定了信任假设的前提，而威胁模型又反过来影响边界的划分。下面这张图总结了我常用的设计框架：

5. 从理论到实践：设计时别忽略的两个细节

理论讲完了，说点实际的。我见过不少团队把边界定义得特别完美，一到代码实现就漏风。这里有两个容易忽视的点：

1. 密钥协商的粒度与边界匹配：如果边界是“客户端数据从不离开本机”，那密钥就只需要保护上传的密文；但如果边界扩大到“连聚合服务器也不能看到明文梯度”，那必须在客户端和服务器之间建立端到端加密通道。每一层边界对应一套密钥，别试图一把钥匙开所有门。
2. 信任假设的动态变化：联盟中的成员可能后来变节。我参与过的一个联邦学习项目，一开始所有参与方签了保密协议，按半诚实设计。两年后其中一家被收购，新东家直接成了恶意方。幸好当初我们预留了密钥轮换和审计日志接口，否则整个系统要重新设计。

好了，边界设计的理论基础就这些。你想想看，这三样东西——边界、信任假设、威胁模型——其实是相互定义的。没想清楚之前，别急着写一行密钥协商代码。我之前吃过亏，现在养成了习惯：设计任何协议前，先拿笔在纸上画出这三者的关系图，再动手。