2026-10-22 13:06:20 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

广州大学翁嘉思团队解读网安顶会ACM CCS 2025文章 | 在联邦学习中如何和解“安全聚合”与“梯度稀疏化”？

原创

翁嘉思；武雯雯
翁嘉思；武雯雯

信息网络安全杂志

2026年10月19日 18:33
上海

去阅读

一、引子

在联邦学习中，通信瓶颈与梯度隐私是两大核心挑战。客户端上传的梯度维度常常是百万级，梯度Top-K稀疏化是业界公认最有效的缓解手段之一。但是当稀疏化遇到安全聚合（Secure Aggregation, SecAgg），两个难题不得不解决：一是SecAgg的安全性建立在“所有客户端提交相同结构的稠密向量，服务器只看到聚合结果和”这个假设上，而梯度Top-K稀疏化后，每个客户端选出的非零下标几乎互不重叠。若强行要求所有客户端共享同一组下标常常牺牲了Top-K本该带来的效用优势。二是梯度的下标本身就是隐私，即便梯度值被完全保护，仅凭Top-K的下标信息就足以做标签推断攻击。此外，模型本身面临记忆化泄露（如成员推断）威胁，单靠SecAgg并不够。

二、论文速览

为了解决上述难题，哈尔滨工业大学和香港理工大学研究团队提出Clover——一个基于三服务器分布式信任的安全框架。Clover先是构造了SparVecAgg协议，以实现聚合多个稀疏向量成稠密向量，同时隐藏每个向量非零元素的下标和数值。然后，通过一种分布式噪声生成机制为聚合结果提供正式的差分隐私保证，同时避免了通用安全采样协议的高昂开销。进一步地，设计了针对恶意服务器的完整性检查方法，以约束恶意服务器篡改噪声分布的行为。最后，在聚合100个10万维、1%非零率的稀疏向量时，SparVecAgg相比基于ORAM基线，服务器间通信量减少高达1602倍，服务器端计算开销减少高达12041倍。

三、深度解剖

（1）关于SparVecAgg协议。假如使用ORAM技术来同时保护数值和下标，那么需要在整个梯度维度空间上支持任意位置的混淆写操作，如此开销过高。作者非常巧妙地考虑了稀疏化梯度向量的结构特征来换取协议效率，不需要任意位置读写，而是把k个非零元素正确映射并累加到全量稠密向量的对应槽位中。依据此思想，作者提出SparVecAgg协议：首先客户端使用置换编码对下标进行处理，并配合排列压缩机制减少上传通信量；其次，服务器端利用近年来在隐私集合求交中被证实高效的秘密分享混洗协议，在密文状态下重构出原始稀疏化梯度向量。

（2）关于分布式噪声生成机制。作者用分布式噪声生成机制替代安全噪声采样协议，这很聪明。与其让三台服务器协作做一次相互不可见的噪声采样,不如让每台服务器本地各自采一份噪声再秘密分享、聚合，只要每份局部噪声的分布满足某种可验证的良好性质，聚合后的整体噪声依然能给出严格的差分隐私保证。同时，引入了轻量级的Kolmogorov-Smirnov (KS)检验方法，用于验证服务器生成的噪声是否合规，防止恶意服务器恶意注入错误噪声。

四、局限与展望

在跨设备联邦学习中，由于网络波动、电量限制等原因，客户端掉线率可能会很高,传统安全聚合方案在设计之时就会考虑如何在部分客户端中途掉线的情况下依然安全地重建聚合结果。在SparVecAgg协议中,掉线处理是否会显著增加协议轮次或通信量,需要进一步分析。

在安全聚合和梯度稀疏化并存场景下，未来工作可以考虑如下几个问题：（1）如何同时优化客户端上行与下行通信量？（2）如何同时抵御恶意服务器和恶意客户端的双重威胁？（3）如何适配加速硬件，扩展支持更复杂模型的联邦学习？

五、启示

安全聚合技术应该随着联邦学习稀疏化、量化等通信优化技术协同演进。

点评人：翁嘉思（广州大学裴定一密码研究院教授）、武雯雯（暨南大学网络空间安全学院硕士研究生）

原文标题：Harnessing Sparsification in Federated Learning: A Secure, Efficient, and Differentially Private Realization

原文作者：Shuangqing Xu, Yifeng Zheng,Zhongyun Hua

会议:ACM CCS 2025

DOI: https://doi.org/10.1145/3719027.3765044

版权与来源声明：本文依据《中华人民共和国著作权法》第二十四条之规定，为介绍、评选之目的，在此适当引用。原文版权归原作者所有。