ShadowFPT 论文揭示联邦提示微调中冻结骨干网络的隐蔽后门攻击风险

该论文提出 ShadowFPT 攻击方法，指出在联邦提示微调（FPT）场景下，由于预训练骨干网络被冻结且共享，恶意客户端可利用表示空间诱导后门行为，而上传的提示词更新仍保持良性外观。攻击者通过预训练可学习的“影子触发器”将输入引导至目标类别的表示空间，并在本地同时优化清洁样本和触发样本上的提示参数，仅上传提示词参数。

实验数据显示，在多种数据集、聚合规则和非独立同分布划分下，该攻击将成功率从 19.81% 提升至 90.36%，同时保持清洁准确率不受影响。该方法适用于文本、视觉及联合视觉语言提示微调场景。事实层面确认了冻结骨干网络作为未被充分探索的后门攻击面的存在，推断出仅依赖提示词更新异常检测的防御机制不足以应对此类威胁。

本研究明确区分了攻击机制与现有防御假设：攻击不修改骨干权重，而是利用其固定特性进行表示操纵。这暗示未来联邦学习安全需扩展至对中间表示空间的监控，而非局限于参数更新层面的审计。推测部分包括该攻击在实际大规模部署中的可行性，但原文未提供具体算力或时间成本数据。