# 赛题07：复杂攻击场景下的纵向联邦学习安全防御

## 赛题详细信息

本赛题面向多源数据协同建模需求，构建特征互补、数据分别持有的纵向联邦学习训练环境，要求参赛者在官方提供的训练框架基础上设计安全防御方案。
赛题聚焦纵向联邦学习中的隐私泄露与模型安全风险，设置标签推理、后门攻击以及攻击并存等复杂测试场景，要求参赛方案在保持联合模型预测性能的同时，有效降低敏感标签泄露风险并抵御后门攻击。
赛题重点考察防御方法在性能保持、隐私保护和安全鲁棒性之间的综合能力，推动纵向联邦学习安全防御技术在跨机构数据协同、隐私保护智能分析等实际场景中的应用。

## 技术路线分析

八、赛题07：复杂攻击下纵向联邦学习防御

这个题技术壁垒很高。

它实际是三个目标：

Utility
Privacy
Robustness

同时优化。

### 1. VFL 基础结构

假设：

Party A：

X
A


Party B：

X
B


Label Owner：

Y

训练：

XA → Bottom Model A ┐
                    ├→ Fusion Model → Prediction
XB → Bottom Model B ┘
### 2. 标签推理攻击

攻击者通过：

gradient

embedding

local model

猜：

Y

因此需要：

I(Embedding;Y)↓

但同时：

Accuracy

↓

这就是最大的矛盾。

### 3. 后门攻击

攻击者：

x→x+δ

让模型：

F(x+δ)=y
target


同时正常数据：

F(x)=y

保持正常。

### 4. 防御架构建议

不要用一个方法同时硬解决所有问题。

应该模块化：

VFL
 ↓
Privacy Defense
 ↓
Backdoor Detector
 ↓
Embedding Purification
 ↓
Robust Aggregation
### 5. 标签隐私模块

可以研究：

gradient noise

gradient compression

information bottleneck

soft labels

representation decorrelation

adversarial privacy

knowledge distillation

目标：

min I(Z,Y)

同时：

max Utility
### 6. 后门模块

针对：

Z
i


进行：

embedding anomaly detection

clustering

loss anomaly

sample filtering

feature reconstruction

然后：

Suspicious embedding
 ↓
remove / reconstruct
### 7. 最新发展

2025 年针对 VFL 标签泄漏已经出现结合 Knowledge Distillation 和 k-anonymity 的 KDk 方法，在降低标签推理成功率的同时尽量维持主任务性能。

另一方面，攻击也在继续升级：AAAI 2025 已经提出不需要额外标签信息的 Label-Free Backdoor Attack。

对应防御方面，IJCAI 2025 的 UBD 用 label-consistent clustering 等方法构造并识别潜在后门模式。

到 AAAI 2026，FILTER 已经进一步采用：

embedding-based filter

loss-based filter

在训练中检测和清除 poisoned samples。

所以这个题最新趋势明显正在从：

单一 privacy defense

转向：

privacy + robustness 联合优化。

这和比赛设计“标签泄漏 + 后门 + 混合攻击”完全吻合。

### 8. 为什么这个题很特殊

它不需要训练超大的基础模型。

所以：

算力未必最大。

但它非常吃：

机器学习理论

联邦学习

隐私保护

adversarial ML

如果队伍没人做过这些，会学得很痛苦。

推荐度

普通队：

6.5/10

如果有联邦学习/AI安全背景：

9/10

这是一个典型的：

高手队伍非常值得选，普通队伍最好谨慎。

## 相关论文与开源项目

- [VFLIP: A Backdoor Defense for Vertical Federated Learning via Identification and Purification](https://arxiv.org/abs/2408.15591)：在推理阶段识别异常 embedding、移除可疑表示并重建；[作者代码](https://github.com/blingcho/VFLIP-esorics24)。
- [A Defense Mechanism Against Label Inference Attacks in Vertical Federated Learning](https://doi.org/10.1016/j.neucom.2025.129476)（Neurocomputing, 2025）：KDk 结合知识蒸馏与 *k*-匿名，降低标签推理攻击成功率并尽量保持主任务性能。
- [Label-Free Backdoor Attacks in Vertical Federated Learning](https://ojs.aaai.org/index.php/AAAI/article/view/34246)（AAAI 2025）：不依赖额外任务标签的 VFL 后门攻击。
- [Cooperative Decentralized Backdoor Attacks on Vertical Federated Learning](https://arxiv.org/abs/2501.09320)（2025）：研究不依赖服务端梯度信息、允许多个攻击方协同的 VFL 后门攻击。
- [Universal Backdoor Defense via Label Consistency in Vertical Federated Learning](https://www.ijcai.org/proceedings/2025/528)（IJCAI 2025）：通过 Label Consistent Clustering 合成潜在触发模式并完成检测、缓解。
- [FILTER: A Framework for Defending Against Backdoor Attacks in Vertical Federated Learning](https://ojs.aaai.org/index.php/AAAI/article/view/40859)（AAAI 2026）：采用 embedding-based filter 与 loss-based filter 识别和移除中毒样本。

比赛实验必须同时报告主任务效用、隐私泄漏指标和后门攻击成功率；只优化其中一项不足以证明联合防御有效。