研究：联邦学习梯度更新可近乎完美泄露客户端身份，噪声防御有效
一项针对车联网边缘场景的机器学习研究显示，服务器端可从客户端上传的权重增量中近乎完美地推断其身份，而轻量级裁剪加噪声防御可将攻击精度降至随机水平，同时将联邦学习精度损失控制在5%以内。
AI解读：这项研究揭示了一个被广泛忽视的隐私漏洞：即便联邦学习不共享原始数据，客户端上传的梯度更新仍携带个体特征，服务器可借此识别出数据来自哪个车辆或用户，破坏车联网匿名性。论文用公开的HAR数据集模拟测试，发现五种攻击分类器都能以近乎100%的准确率识别客户端，这证实了风险并非假设。作者提出的轻量防御（先裁剪再添加高斯噪声）在sigma取0.1到0.2时，能将攻击精度压到接近随机猜测，而联邦学习精度损失不足5%。对实际开发联邦学习车联网系统的工程师，这意味着他们不需要复杂加密方案就能显著提升隐私，缺点是需按论文方式调节噪声参数并接受精度小幅度下降；普通用户则无需立即行动，因为该研究尚无真实车载数据验证，隐私水平仍需实际测试确认。
一篇被IEEE VTC2026-Fall录用的arXiv论文显示，联邦学习客户端上传的权重更新足以让服务器以接近100%的准确率识别发送者身份，基于IMU惯性数据模拟测试的准确性约为1.000。研究在五种攻击分类器和五种数据非IID切分下均验证了这一风险，并提出裁剪加噪声的防御可在损失不足5%联邦学习精度的前提下将攻击精度降至接近随机水平。
研究设计
该研究使用公共UCI人类活动识别（HAR）基准作为车载IMU数据流的替代，在服务器端模拟诚实但好奇的攻击者。研究设置了五种攻击分类器和五种非IID数据切分，对未防御的梯度更新进行客户端身份推断。
- 数据源：UCI HAR基准，作为车辆IMU流的代理
- 条件控制：确保训练和评估梯度不重叠（使用SHA-256验证）
- 数据集使用：三个随机种子，并采用次数归一化的攻击者优势指标
攻击效果与防御结果
在无防御的情况下，攻击者从原始权重增量中识别客户端身份的准确率接近1.000，确认了可辨识性风险。防御测试采用固定裁剪（C=1.0）搭配噪声，在σ为0.00到1.00区间扫描，并通过Renyi差分隐私核算报告（ε, δ）预算。σ在[0.1, 0.2]区间内可将攻击精度降至接近随机水平，同时联邦学习精度相对损失小于5%。
研究中还提出了集成联邦学习作为结构性补充，提供1/K匿名集边界且无噪声损失。作者明确说明使用HAR是作为代理，真实车载遥测数据上的验证需要进一步工作。
- 防御方式：裁剪（C=1.0）加高斯噪声，σ ∈ {0.00, 0.05, 0.10, 0.20, 0.50, 1.00}
- 推荐区域：σ ∈ [0.1, 0.2]，攻击精度接近随机，FL精度损失<5%
- 其他防御：集成FL提供结构隐私，1/K匿名范围，无噪声开销