什么是 梯度反演攻击（Gradient Inversion Attack）？
梯度反演攻击（Gradient Inversion Attack）是一类隐私攻击：利用分布式、联邦或协作训练中暴露的 Gradient 或 Model Update，重建产生这些更新的私有输入、标签、属性或其他数据信息。
快速了解
| 规范文档 | 官方规范 |
|---|
工作原理
让候选输入复现观测更新
Deep Leakage from Gradients 论文通过优化 Dummy Data 与 Label 来复现共享梯度，后续工作又在不同损失和架构下强化了重建。下面的 Go 示例展示更简单的泄漏：对使用平方误差的单个线性神经元，只要 Bias Gradient 非零，输入就等于 Weight Gradient 除以 Bias Gradient。
按声明目标评测重建
说明观测对象是 Per-example Gradient、Mini-batch Average、Multi-step Delta、Adapter Update 还是 Aggregate，Server 属于 Passive 还是 Active，以及它知道哪些模型和先验。按目标报告 Exact Recovery、Label Accuracy、Semantic 或 Identity Similarity、最近训练样本检查、不确定性、运行成本和固定预算下的成功率；视觉可信图像不自动等于原始记录。
消除不必要的单客户端可见性
当 Cohort 与 Collusion 假设成立时，安全聚合可阻止 Coordinator 查看单个更新。Clipping、Noise、Sampling 与 Composition 配置正确时，差分隐私可限制一个声明贡献。更大 Batch、本地多步、Compression、Clipping 或 Quantization 可能削弱特定攻击，但没有形式保证时只能算经验缓解；还应约束 Active Server、认证模型版本、最小化日志并测试真实协议。
主要特点
- 以 Gradient、Parameter Delta 或相关训练更新为泄漏通道
- 可通过代数关系或优化 Gradient Similarity 恢复输入
- 可针对图像、标签、文本、表格属性或表示信息
- 高度依赖 Batch、架构、模型状态与攻击者权限
- 包含 Honest-but-curious 观察与更强的 Active Server 模型
- 需要目标特定保真指标和不使用模型的 Prior Baseline
常见用途
- 在暴露 Client Update 前红队测试联邦学习协议
- 评测 Distributed SGD 与协作微调的隐私风险
- 测试 PEFT 或 Adapter Gradient 是否泄露本地样本
- 比较安全聚合与差分隐私设计
- 调查 Gradient Log 或调试 Trace 中的敏感数据暴露
示例
Loading code...常见问题
梯度反演攻击如何工作？
攻击者观察 Gradient 或 Model Delta，搜索能计算出相同更新的候选输入。部分网络层会通过代数关系泄漏数值，其他攻击则用 Gradient Distance 与先验优化 Dummy Input。成功与具体更新、模型、损失、Batch、本地训练、精度和攻击知识密切相关。
梯度反演与模型反演相同吗？
不同。梯度反演是 Update-level 重建攻击，需要训练过程中的 Gradient 或 Parameter Delta；模型反演范围更广，可从预测输出、参数或 Representation 推断属性和代表性输入。报告应直接说明暴露接口，而不是把所有重建统称为一种攻击。
增大 Batch 能阻止梯度反演吗？
不能可靠阻止。混合更多样本可能增加归因和优化难度，但结果还取决于架构、稀疏性、模型状态、本地步数、先验和主动操纵；已有研究在特定条件下恢复了多样本 Batch。因此 Batch Size 是实验变量，不是独立隐私保证。
加密网络传输能阻止梯度反演吗？
Transport Encryption 能阻止外部窃听者读取传输中的 Update，但授权 Server 仍会看到明文，除非协议隐藏它。安全聚合可让 Server 只看到 Cohort Aggregate，差分隐私可限制贡献泄漏；两者的假设、失败行为和组合成本都必须测试。
怎样报告梯度重建质量？
先声明目标，再选择 Exact 或 Attribute Recovery、Label Accuracy、Identity 或 Semantic Similarity、Perceptual Distance、Nearest-neighbor Check 与固定预算下的成功率；同时报告不确定性和 Prior-only Baseline。没有目标身份依据的可信图像不能描述为精确数据恢复。