揭秘联邦学习中的标签泄露危机：为何攻击者能轻易窃取隐私数据
当企业间共享模型参数而非原始数据时，垂直联邦学习（VFL）本应成为隐私保护的典范。然而现实却令人警醒：看似固若金汤的架构，竟可能因设计缺陷沦为黑客窃取敏感信息的通道。最新研究表明，攻击者仅凭特征输入就能精准还原目标用户的标签，这种被称为标签推断攻击（LIA）的行为正在悄然瓦解VFL的安全承诺。
一、被低估的脆弱性：从特征混淆到标签暴露
传统观点认为，经过充分训练的底层模型能有效编码输入特征，使得攻击者无法反推标签信息。但深入分析揭示了一个颠覆性事实：真正决定攻击成败的不是模型的表达能力，而是任务分工的结构性矛盾。
研究团队采用互信息这一量化指标，首次捕捉到VFL中存在的"模型补偿"现象——随着网络深度增加，各层输出与真实标签的关联度持续增强。这意味着原本应由顶层模型承担的关键映射任务，实际上已被底层模型通过隐式学习悄然接管。这种角色错位导致攻击面急剧扩大，即使最基础的线性回归也能实现高达89%的标签重建准确率。
更值得警惕的是，当训练数据存在类别不平衡或分布偏移时，底层模型的补偿效应会被进一步放大。例如在医疗诊断场景中，罕见病样本的稀疏性会促使底层网络发展出特殊的特征-标签对应模式，反而为攻击者提供可乘之机。
二、攻防博弈新解：重构责任边界的防御策略
针对上述发现，研究团队提出颠覆性的解决方案——通过调整模型切割位置重构任务边界。具体而言，将原本位于底层的若干层向前移动，显著提升顶层模型在整个网络中的占比。实验显示，在ImageNet数据集上，这种结构调整使LIA成功率下降至不足5%，同时保持原有效能水平不变。
其核心原理在于打破原有的分布对齐机制。当底层模型失去处理复杂标签映射的能力后，系统被迫依赖顶层进行真正的决策建模。此时即便攻击者掌握全部中间激活值，也无法建立有效的特征-标签映射关系。值得注意的是，该防御方法无需修改现有协议或增加通信开销，仅需重新配置网络拓扑即可实现。
三、超越安全的启示：面向可信协作的设计范式
这项研究不仅解决了特定安全问题，更揭示了AI系统设计中的根本原则：任何技术方案都必须明确界定各参与方的职责范围。当前多数联邦学习框架默认采用固定分割点，忽视了不同业务场景对特征敏感度的差异。
以金融风控为例，身份验证等强关联特征应由顶层主导处理；而图像分类这类弱关联任务则可适当下放。未来系统设计需要嵌入动态调节机制，根据数据特性自动优化责任分配。此外，跨机构协作时应强制要求披露模型结构细节，避免因架构不透明引发新的安全风险。
随着生成式AI和边缘计算的发展，VFL的应用场景将持续拓展。面对日益复杂的攻击向量，单纯依靠加密传输或差分隐私已显乏力。唯有回归到系统设计本源，从架构层面消除漏洞，才能真正实现数据价值的开放共享与隐私安全的和谐统一。