Graph Representation-based Model Poisoning on Federated Large Language Models

📄 arXiv: 2507.01694v2 📥 PDF

作者: Hanlin Cai, Haofan Dong, Houtianfu Wang, Kai Li, Ozgur B. Akan

分类: cs.CR, eess.SY

发布日期: 2025-07-02 (更新: 2025-07-31)

备注: 7 pages, 5 figures (Submitted to IEEE Communication Magazine)

💡 一句话要点

提出基于图表示的模型投毒攻击，针对联邦大语言模型的非独立同分布数据挑战。

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 联邦学习 模型投毒攻击 图表示学习 非独立同分布数据 大语言模型

📋 核心要点

  1. 现有联邦学习防御方法在非独立同分布数据下，难以有效识别自适应攻击者精心构造的恶意更新。
  2. 提出基于图表示的模型投毒(GRMP)方法，利用客户端梯度间的高阶相关性生成难以区分的恶意更新。
  3. GRMP攻击能够有效绕过现有防御机制，显著降低联邦大语言模型的精度和整体性能。

📝 摘要（中文）

联邦大语言模型(FedLLMs)在无线网络中实现了强大的生成能力，同时保护了数据隐私。然而，FedLLMs仍然容易受到模型投毒攻击。本文首先回顾了模型投毒技术的最新进展以及现有的FedLLMs防御机制，强调了它们在处理非独立同分布(non-IID)文本数据时的关键局限性。当前的防御策略主要采用基于距离或相似性的异常值检测机制，依赖于恶意更新与良性统计模式显著不同的假设。然而，这种假设在面对针对数十亿参数LLMs的自适应攻击者时变得不足。本文进一步研究了基于图表示的模型投毒(GRMP)，这是一种新兴的攻击范例，它利用良性客户端梯度之间的高阶相关性来制作与合法更新无法区分的恶意更新。GRMP可以有效地规避先进的防御系统，导致模型精度和整体性能的显著下降。此外，本文概述了一个前瞻性的研究路线图，强调了图感知的安全聚合方法、为FedLLMs量身定制的专用漏洞指标以及评估框架的必要性，以提高联邦语言模型部署的鲁棒性。

🔬 方法详解

问题定义：论文旨在解决联邦大语言模型在非独立同分布数据下，容易受到模型投毒攻击，且现有防御方法难以有效识别自适应攻击的问题。现有防御方法主要依赖于恶意更新与良性更新在统计上的差异，但这种假设在面对精心设计的攻击时失效。

核心思路：论文的核心思路是利用客户端梯度之间的高阶相关性，构建图表示，并基于图表示生成与良性更新难以区分的恶意更新。通过挖掘良性客户端梯度之间的潜在关系，攻击者可以更有效地隐藏恶意行为，从而绕过现有的防御机制。

技术框架：GRMP攻击框架主要包含以下几个步骤：1) 构建客户端梯度图，节点表示客户端，边表示客户端梯度之间的相关性；2) 利用图神经网络学习客户端梯度的表示；3) 基于学习到的表示，生成与良性梯度相似的恶意梯度；4) 将恶意梯度注入到联邦学习过程中，从而影响全局模型的训练。

关键创新：GRMP的关键创新在于利用图表示学习客户端梯度之间的高阶相关性，从而生成更具迷惑性的恶意更新。与传统的基于距离或相似性的攻击方法不同，GRMP关注的是客户端梯度之间的关系，而不是单个梯度的统计特征。这种方法使得恶意更新更难被检测出来，从而提高了攻击的成功率。

关键设计：GRMP的关键设计包括：1) 如何构建客户端梯度图，例如使用余弦相似度或皮尔逊相关系数来衡量客户端梯度之间的相关性；2) 如何选择合适的图神经网络模型，例如图卷积网络(GCN)或图注意力网络(GAT)；3) 如何设计损失函数，以确保生成的恶意梯度与良性梯度在图表示空间中尽可能接近。

🖼️ 关键图片

fig_0
fig_1
fig_2

📊 实验亮点

论文提出的GRMP攻击能够有效绕过现有的防御机制，导致模型精度显著下降。具体而言，实验表明，在某些情况下，GRMP攻击可以将模型的准确率降低到接近随机猜测的水平。此外，GRMP攻击对不同的防御策略具有较强的适应性，即使采用先进的防御方法，也难以有效阻止GRMP攻击。

🎯 应用场景

该研究成果可应用于评估和增强联邦学习系统在实际部署中的安全性，尤其是在涉及敏感数据和需要保护用户隐私的场景，如医疗健康、金融服务等领域。通过模拟和分析GRMP攻击，可以帮助开发更鲁棒的防御机制，提高联邦学习系统的可靠性和安全性，从而促进其在各个行业的广泛应用。

📄 摘要（原文）

Federated large language models (FedLLMs) enable powerful generative capabilities within wireless networks while preserving data privacy. Nonetheless, FedLLMs remain vulnerable to model poisoning attacks. This article first reviews recent advancements in model poisoning techniques and existing defense mechanisms for FedLLMs, underscoring critical limitations, especially when dealing with non-IID textual data distributions. Current defense strategies predominantly employ distance or similarity-based outlier detection mechanisms, relying on the assumption that malicious updates markedly differ from benign statistical patterns. However, this assumption becomes inadequate against adaptive adversaries targeting billion-parameter LLMs. The article further investigates graph representation-based model poisoning (GRMP), an emerging attack paradigm that exploits higher-order correlations among benign client gradients to craft malicious updates indistinguishable from legitimate ones. GRMP can effectively circumvent advanced defense systems, causing substantial degradation in model accuracy and overall performance. Moreover, the article outlines a forward-looking research roadmap that emphasizes the necessity of graph-aware secure aggregation methods, specialized vulnerability metrics tailored for FedLLMs, and evaluation frameworks to enhance the robustness of federated language model deployments.