云边端分布式机器学习安全综述：异构性下的可信挑战

分布式机器学习（DML）正在成为云边端（Cloud-Edge-IoT）架构下协同训练模型的主流范式，联邦学习（FL）作为其中的代表性技术，允许多方在不集中原始数据的前提下共同训练模型。然而，数据、计算、更新和编排的分散化在带来隐私优势的同时，也显著扩大了攻击面，并引入了隐私、鲁棒性、可靠性、公平性与治理等多个维度的耦合挑战。近期一篇综述论文以安全为中心、以异构性为视角，系统梳理了可信DML的研究路线图，并将联邦学习视为高风险场景进行重点剖析。

分布式机器学习的安全边界如何界定

该综述首先界定了DML/FL的安全边界，包括资产、对手、信任假设和协调模式。在云边端系统中，资产不仅包括模型参数和训练数据，还涵盖编排逻辑、通信链路和终端设备。对手则可能来自外部攻击者、恶意参与方，甚至是可信但好奇的服务器。信任假设的差异——例如跨孤岛（cross-silo）与跨设备（cross-device）场景中参与方可信度的不同——直接决定了防御策略的选择。协调模式（如同步/异步、中心化/去中心化）也会影响攻击的可行性与检测难度。这一框架为后续分析异构性影响奠定了基础。

跨孤岛与跨设备 是联邦学习两种典型协调模式，其信任假设和系统约束差异显著。跨孤岛场景涉及少量机构（如医院、银行），参与方数量少但数据量大、计算资源充足、在线率高，参与方之间通常存在合同或监管约束，信任等级相对较高，但仍有可信但好奇的服务器风险。跨设备场景涉及海量终端（如手机、IoT设备），数据分散、资源受限、连接间歇且参与方匿名不可信，恶意方更容易发起女巫攻击或策略性退出。这两种模式直接决定了防御机制的选择：跨孤岛可部署较重的密码学协议和审计流程，而跨设备则需轻量级、掉线容忍的鲁棒方案。因此，信任异构性不是抽象概念，而是由协调模式具体塑造的工程约束。

异构性如何影响收敛、公平与防御可靠性

综述深入分析了统计异构性、系统异构性和信任异构性对DML/FL的影响。统计异构性表现为非独立同分布（non-IID）数据，会导致模型收敛不稳定、全局模型偏向某些客户端，进而影响公平性。系统异构性包括资源不对称和间歇性参与，使得部分设备难以完成训练任务，攻击者可能利用这种不稳定性隐藏恶意行为。信任异构性则体现在跨孤岛与跨设备场景中参与方信任等级的差异，这会影响防御机制（如鲁棒聚合）的可靠性。文章指出，异构性不仅降低模型性能，还会削弱攻击可检测性和防御有效性，因此需要异构性感知的防御设计。

非独立同分布（non-IID）数据 是联邦学习中最典型的统计异构性来源。在跨设备场景中，每个客户端的本地数据往往由其个人使用习惯决定，导致标签分布偏斜、特征分布差异或样本数量极不均衡。non-IID 会引发客户端漂移（client drift）：各本地模型在优化过程中向各自数据分布的最优解偏移，聚合后的全局模型可能偏离真实全局最优，表现为收敛震荡、精度下降和对某些客户端的系统性偏见。缓解手段包括 FedProx 的近端项约束、SCAFFOLD 的控制变量校正以及个性化联邦学习等。理解 non-IID 的成因与表现形式，是分析公平性和攻击可检测性下降的前提，因为分布差异本身就会放大恶意更新与正常更新之间的重叠区域。

攻击与防御的博弈：从投毒到隐私泄露

综述系统梳理了DML/FL中的攻击-防御交互，涵盖投毒攻击、后门攻击、拜占庭操纵、隐私泄露、模型抽取、网络/编排攻击、女巫（Sybil）行为和策略性参与等。这些攻击可能发生在训练、聚合或推理阶段，且往往相互组合。防御方面，文章比较了分层防御策略，包括鲁棒聚合、漂移感知优化、差分隐私、安全聚合、同态加密、安全多方计算、可信执行环境、水印、来源追踪、认证通信和监控等。每种防御都有其适用场景和局限性，例如差分隐私在保护隐私的同时会牺牲模型精度，安全聚合依赖密码学假设但可能带来计算开销。文章强调，没有单一防御能应对所有威胁，需要根据异构性特征组合使用。

安全聚合（Secure Aggregation） 是一种密码学协议，允许多方在不暴露各自本地模型更新的前提下，由服务器只获得所有更新的聚合和。典型实现依赖秘密共享和密钥协商：客户端将更新加掩码后上传，服务器在无法解密单个更新的情况下完成求和，即使部分客户端掉线也能恢复结果。其安全假设通常包括参与方半诚实、存在可信协调者或阈值掉线容忍。在联邦学习中，安全聚合可与差分隐私叠加使用，前者隐藏单个更新，后者限制聚合结果的隐私泄露。但安全聚合会带来显著的计算与通信开销，且在跨设备场景中面对频繁掉线时鲁棒性受限，因此需要结合异构性特征进行权衡设计。

拜占庭容错与鲁棒聚合 针对的是参与方可能发送任意恶意更新的场景。经典聚合规则如坐标中位数、截尾均值、Krum等，通过统计鲁棒性估计来抑制极端值的影响。然而，这些方法在非独立同分布（non-IID）数据下可能将正常客户端的合法更新误判为异常，因为不同客户端的数据分布差异本身就会导致梯度方向发散。因此，鲁棒聚合的设计必须与统计异构性联合考虑，例如引入漂移感知的权重调整或基于参考梯度的异常评分，才能在高异构环境中维持防御有效性。

部署、评估与治理的开放挑战

最后，综述讨论了部署、评估、治理和开放研究方向。在评估方面，文章强调需要可复现的非IID数据划分、攻击感知的基准测试，并关注隐私预算、攻击成功率、客户端级差异、延迟、通信、内存、能耗/碳开销以及可审计的生命周期产物等指标。治理层面则涉及审计、合规和生命周期管理。这些开放问题表明，可信DML不仅是一个技术问题，还涉及系统设计、评估方法和政策治理的协同。

总体而言，这篇综述为云边端系统中的可信分布式机器学习提供了一个结构化的分析框架，突出了异构性作为核心变量在安全、隐私和鲁棒性中的作用。对于研究者和工程师而言，它提示我们在设计DML/FL系统时，必须将异构性纳入威胁模型和防御设计，并采用多维度的评估指标，而非仅关注模型精度。