联邦学习技术应用现状分析

以下从联邦学习的应用情况、存在的安全风险、技术保障措施等方面分析了当下联邦学习技术的应用现状。

1.跨机构应用是国内联邦学习应用的主要形态

目前国内联邦学习应用需求主要来自金融、医疗、政务等行业3，实现的是跨“孤岛”的联合建模，即跨机构的联邦学习。跨机构联邦学习应用的参与方数量少，相应的计算和通信压力相对较小，且成功的数据共享是各参与方的共同需求，在联合建模过程中各参与方为达成共同目标通常不会主动发起攻击行为，因而其对性能和安全性方面的技术要求相对较低，当下的联邦学习技术已可满足跨机构应用的大部分技术要求，这使得跨机构的联邦学习应用能够获得相对广泛的落地。相反，在跨设备的联邦学习应用中，参与方数量巨大，应用对计算效率、通信开销、安全防御等方面的要求更高。而现有技术在这些方面仍显不足，不能满足该类应用的高性能计算、低通信开销的要求，也难以应对恶意设备的投毒与攻击。技术上的不足使联邦学习实践难以向跨设备应用方面扩展。因此，跨机构应用成为了目前联邦学习应用最主要的应用形态。

2. 中心化架构在联邦学习产品中占比最多

在技术架构方面，从总体上看中心化架构在各类联邦学习产品中占比最高。同时，联邦学习产品采用何种技术架构与其内置算法有关，部分联邦学习产品内置了多种算法以适应不同场景，因此出现了可同时支持中心化架构与去中心化架构的情况。

在横向与纵向的联邦学习中，技术架构的分布有所不同。绝大部分横向联邦学习产品采用了中心化架构。其原因在于大部分横向联邦学习算法需要协调方（中央服务器）的加入，以完成参数的聚合与分发操作,如 fedAvg 算法4。在纵向联邦学习方面，中心化架构与去中心化架构的分布占比近似，中心化架构占据微弱优势。其原因是，纵向联邦学习中，协调方（中央服务器）所负责的聚合、分发等任务在部分算法中是不必要的（如secureboost 算法5），同时一些产品采用安全多方计算技术保护参数交互，无需协调方的介入。如此导致了两种架构分布的平分秋色。综合以上数据，中心化架构在联邦学习产品各应用场景中均占比最多。

3.半诚实敌手环境是当下联邦学习主要的应用环境

从参与方对联邦学习协议的遵守程度看，联邦学习的参与方可被划分为诚实参与方、半诚实敌手、恶意敌手，相应地，根据参与方的诚实程度，将联邦学习的应用环境划分为诚实环境、半诚实敌手环境和恶意敌手环境，如表 2 所示。其中，诚实环境中的所有参与方均为诚实的；半诚实敌手环境中的参与方会诚实地遵守协议，但也有可能会被动接收或推测其他参与方的隐私信息，即该环境中存在半诚实的参与方；恶意敌手环境中的部分参与方会不遵守协议，而主动发起攻击，即该环境中存在恶意的参与方。在安全风险的应对措施上，恶意敌手环境下的应用对安全措施要求最高，半诚实敌手环境其次。“活动”与“调研”显示，所有统计对象均支持半诚实敌手环境，同时所有调研对象均不支持恶意敌手环境。造成这种现状的原因，可从以下两个方面进行分析。

一方面，国内联邦学习应用的参与方之间多存在一定的信任基础，基于半诚实敌手假设的安全设计可以满足大部分联邦学习应用的安全需求。目前国内联邦学习应用多为跨机构的应用，各参与方之间为合作共赢的关系，顺利且准确地训练出最终结果符合联邦学习应用各参与方的利益，因此各参与方没有必要针对联邦学习过程发起攻击。然而，不排除各组织或机构在不影响联合训练结果的情况下“窥伺”其他参与方敏感数据的情况。多方交互中安全设计缺陷为这种“窥伺”行为提供了发生的可能，这使得“好奇”的参与方可直接获取或间接推理出其他参与方的敏感数据。这种“好奇”的行为虽然造成了数据泄露，但并不影响联邦学习过程的正常进行，因此其对应的环境安全假设为半诚实敌手环境。可见，参与方间的“合作”与“窥伺”是造成绝大多数联邦学习应用基于半诚实敌手环境进行设计开发的主要原因之一。 另一方面，恶意敌手模型下的安全研究成果尚不足以支撑联邦学习实际应用。一是学界尚未探明恶意敌手模型中的安全风险。在恶意攻击方面的学术研究近些年呈现出上升趋势1，不断有新的安全风险被发现。在仍存在未知安全风险的背景下，很少会有用户愿意在存在恶意参与方的环境下部署联邦学习应用。二是恶意敌手环境下的已有安全研究成果仍有待验证。生产环境与实验室环境存在较大区别，实验室环境难以模拟大规模的参与方，各类的防御手段往往在计算性能、通信效率等方面具有局限性。因此，恶意敌手环境下的安全研究成果转化缓慢，当下联邦学习应用的设计开发仍以应对半诚实敌手为重点。

4.密码技术是当下联邦学习产品的主要安全保护技术

当前的联邦学习产品采取了多种安全技术手段来应对安全风险。图 4 展示了各类安全保护技术的使用占比情况，其中，绝大多数联邦学习产品使用了同态加密，使用率达到了95%以上，在各类安全保护技术中处于第一梯队；秘密分享、不经意传输、安全密钥交换等安全多方计算技术处于第二梯队，使用率均达到70%以上；差分隐私技术、其他加密（对称密码、非对称密码、Hash 函数）和混淆电路技术的使用率分别为 60.7%、47.8%、30.4%，其他安全保护技术，如布隆过滤器、梯度扰动等，合在一起使用率达到43.5%。上述技术除差分隐私与“其他”技术外同属密码技术，可见密码技术是当前联邦学习产品的主流安全保护技术。

使用同态加密保护技术与使用安全多方计算技术保护是联邦学习安全保护的两条主要技术路线。一方面，同态加密主要应用于联邦学习的多方交互算法中，它的作用主要是使各方参数的运算在密态空间中进行，避免参数明文被他方获知，从而达到保护敏感数据的目的。另一方面，安全多方计算技术亦可实现对联邦学习过程的保护。除了负责完成匿踪查询、联合运算等隐私场景的需求外，安全多方计算技术也作为底层库在同一平台内为联邦学习的上层应用提供安全支撑。与同态加密类似，安全多方计算也保护了联邦学习过程的参数交互。不同之处在于，以安全多方计算作为主要安全保护技术的联邦学习产品通常不需要协调方的参与，适用于无可信第三方的场景下的多方数据安全流通共享。秘密分享、不经意传输、混淆电路同属安全多方计算技术，它们常与联邦学习集成于同一大平台。