联邦学习中基于批归一化层的水印方案存在无数据攻击漏洞

这篇arXiv论文指出，当前联邦学习中广泛采用的基于批归一化（Batch Normalization, BN）层的白盒水印方案存在根本性安全缺陷。作者提出了一种无需访问训练数据的实际攻击方法，能够在几乎不影响模型性能的前提下，持续移除嵌入在BN层中的水印。这一发现直接挑战了现有水印技术仅针对通用模型修改具备鲁棒性的假设。

实验结果显示，该攻击针对两种具有代表性的联邦学习水印方案均有效。关键在于攻击者不需要任何代表性训练数据即可执行，这打破了以往安全评估中依赖特定数据分布的局限。研究强调，现有的安全评估往往依赖于“隐匿式安全”（security through obscurity），而未能遵循Kerckhoffs原则——即系统的安全性应仅依赖于密钥而非算法的保密性。这种设计上的疏忽使得水印在面对针对性攻击时显得脆弱。

从行业角度看，这意味着依赖BN层进行模型所有权验证和参与者识别的联邦学习系统可能面临失效风险。事实层面，攻击确实能在无数据条件下移除水印；推断层面，现有部分商业或开源的联邦学习框架若未重新评估其水印机制，可能在遭遇此类攻击时无法证明模型归属；猜测层面，未来可能需要转向更复杂的、不依赖单一统计特性的水印方案，或者结合多模态特征增强鲁棒性。