ProtegoFed：基于交叉污染数据的无后门联邦指令微调框架 ProtegoFed: Backdoor-Free Federated Instruction Tuning with Interspersed Poisoned Data

第一步 Intra-Client Frequency-based Clustering：每个客户端 $c_k$ 在收到全局 LoRA 模块 $\mathcal{P}^0$ 后，对本地每条问答对 $(q_i, a_i)$ 做单样本反向传播，取最后一层 transformer 中 lora_B 参数得到样本梯度 $g_i^k \in \mathbb{R}^{M \times N}$，对其做 2D-DCT $\hat{g}_i^k = C_M g_i^k C_N^T$ 后 flatten 成频域特征 $f_i^k$；再经 UMAP 降到 2 维得到 $e f_i^k$，然后并行用 hierarchical clustering（簇数 = 2）和 HDBSCAN（簇数自适应）分别聚类，用 silhouette score $s$ 选优；当 $\min(s_{\text{hier}}, s_{\text{HDB}}) < 0.2$ 且 $\max < 0.4$ 时保守全留为清洁；最后取主簇 $G_1^k$ 在原始频域维度的算术平均作为本地质心 $c_k$ 上传。第二步 Global Secondary Clustering：服务端收集 $\{c_1, ..., c_K\}$ 后，先用 UMAP 降到 2 维，再用同样的双聚类选优，得到主簇 $G_1^{II}$，其原始维度质心 $\hat{c}_g$ 即为全局清洁质心并广播。第三步 Local Revising：每个客户端把 $\hat{c}_g$ 作为新样本加入本地 $\{f_i^k\}$，重新走 UMAP + 双聚类，把全局质心所在簇判为清洁簇 $\tilde{G}_r^k$，按 $\mathcal{D}_{clean}^k = \{(q,a) \in \mathcal{D}_k \mid (q,a) \in \tilde{G}_r^k, \hat{c}_g \in \tilde{G}_r^k\}$ 过滤后只保留清洁样本做后续 100 轮 LoRA 训练。理论部分给出与 FedHDS 相同的 L-smooth、$\mu$-convex、有界方差假设下的收敛性证明，结论是 ProtegoFed 与 FedAvg 共享全局目标，仅在客户端层面对训练子集做了下采样。

与已有方法相比有三个层面的新意：第一，首次系统化揭示了 FIT 中「malicious user / untrusted data」威胁模型，并实证 GraCeFul、CUBE、ONION、FreqFed 等 SOTA 在此威胁下失效（GraCeFul 在 Llama 上 Recall 从集中式 ~80% 跌至 21%，CUBE 在小样本下 Recall 直接为 0，ONION 把 ASR 只降到 22%-99%）；第二，首次利用 FL 的非隐私聚合通道做「跨客户端质心融合」，把集中式频域分析扩展到分布式场景，绕过了单客户端样本量不足的根本瓶颈；第三，提出的 silhouette score 自适应选择 + 保守全留机制在 NIID-3 极端不均衡下仍能把 Recall 从 ~50% 拉到 99% 以上。

独立分析的弱点主要有三处。第一，触发器形态无关性不彻底——StyleBkd 用圣经风格做触发器时 GraCeFul 召回率仍有 77%-95%，而 ProtegoFed 是依赖频域低频偏置识别，但如果未来攻击者设计触发器使得后门映射的频谱分布接近干净映射（论文称此为 frequency-based adaptive attack），理论上可以削弱 ProtegoFed 的信号，作者虽然在表 XI 中验证了高频率一对一映射会让 ASR 从 78% 降到 0.75%——但这个实验只能说明高频率触发器自身难以生效，并未彻底证明对抗性触发器无法绕过，可以结合更复杂的频域对抗训练进一步增强。第二，对模型架构敏感——需要正确识别最后一层 transformer block 并取出 lora_B，对没有 LoRA 的全参数微调场景（如 RLHF）不直接适用，改进方向是把选择模块的过程自动化，例如对所有模块的 silhouette 分数做自动搜索。第三，silhouette 阈值硬编码——$t_s=0.2$ 与 $t_l=0.4$ 在新数据集上可能需要重新调参，可以设计一个基于验证集 Recall-F1 曲线的自动校准模块；另外在客户端数量极少（K<5）的场景下，全局二次聚类的质心稳定性会下降，需要加入鲁棒统计量（如中位数）或 RANSAC 类方法。

作者提出的方向包括：与恶意客户端防御（如 FreqFed）正交叠加形成双层防护，表 XII 证明在 40% 恶意客户端下「ProtegoFed + FreqFed」能把 ASR 压到 0 而单独的 ProtegoFed 在恶意客户端占比 40% 时 ASR 已升至 40.29%；处理客户端动态加入/退出的可扩展性——Late-joiner 只需上传本地质心并跑一遍 Step ❷❸ 即可，0.46 秒内完成。基于成果可以延伸的方向：第一，把频域聚类思路推广到 RAG、Agent、Tool-use 等其他 LLM 攻击面；第二，结合差分隐私的扰动后处理使得本地质心进一步满足 $(\epsilon, \delta)$-DP；第三，研究联邦场景下的「对抗性后门」——攻击者刻意构造频域分布类似干净样本但带触发器的样本，迫使防御方引入判别式模型（如轻量 MLP）替代无监督聚类。

论文作者明确开源代码（https://github.com/dongdongzhaoUP/ProtegoFed），使用 PyTorch 2.5.1 + Transformers 4.49.0 + PEFT 0.14.0 + flash-attn 2.7.4 实现。数据集：WebQA（直接使用）、FreebaseQA、NQ、CoQA 均随机采样 5,000 训练 + 400 验证 + 2,000 测试实例。算力方面，最大实验 Llama-2-70B + FreebaseQA 需要多卡 A100/H100 显存约 140GB；其余 1B-13B 模型在单卡 A100（80G）即可。超参数：LoRA rank r=4、1 个本地 epoch、100 通信轮、学习率 $2 \times 10^{-5}$。复现难度中等：核心代码（频域 DCT + UMAP + 双聚类）逻辑清晰但 UMAP 和 HDBSCAN 的随机种子需要固定；silhouette 阈值 $t_s=0.2, t_l=0.4$、UMAP 降到 2 维、lora_B 选最后一层等关键设计选择必须严格照做；整体一次性过滤开销约 12.89 秒（25 客户端、WebQA），可重复实验门槛低。需要注意实验在 IID 主结果外，NIID-1/2/3 用不同 Dirichlet 系数，复现时需要先确认数据集划分脚本与论文一致。