联邦学习中受 LT 码剥离启发的级联梯度反演

联邦学习共享的是模型更新而非原始数据，但这些更新可被反演以重建客户端的训练数据。以闭式方式反演梯度的解析式重建攻击会随批量增大而失效：此前的单轮攻击在批量大小为 100 时仅能恢复约一半样本，且已知上界限制了此类方法的恢复能力。本文建立梯度反演与纠删码理论之间的联系，并据此构造出突破该上界的攻击方法。该攻击可从单轮 FedSGD 中精确恢复整个批次及每个样本的标签，并能在没有真实数据的情况下验证每次恢复结果。在八个图像与表格基准上，其表现大幅优于此前的单轮攻击。即便攻击者处于被动状态、仅观察诚实训练的网络，在批量大小不超过 128 时也能恢复 ImageNet 批次的 94%–100%；在主动攻击场景下，批量达数百时恢复率仍超过 90%。这些结果表明联邦学习的隐私泄露问题被低估。