联邦学习允许参与方在本地保留训练数据的同时共同训练模型。但交换的更新仍可能泄露信息；这种架构本身不保证匿名性，也不自动满足GDPR要求。
分布式训练仍需分析威胁
在一种常见设计中，协调方分发模型，参与方在本地训练，再由协调方聚合更新。攻击者可能从更新或最终模型中推断信息，恶意参与方也可能投毒训练过程。中央协调方仍可能成为故障或入侵的集中点，因此联邦学习并不必然消除对中心节点的依赖。
分别评估各项保护措施
安全聚合可以在协议假设成立时向协调方隐藏单个贡献。同态加密允许对加密值进行某些运算。差分隐私在明确机制、保护单位和隐私预算后提供可量化的保证。这些方法都有成本与限制，不能替代终端安全或法律评估。
选择架构前
- 明确对手，分析推断、串通和投毒风险。
- 同时衡量模型效用、隐私、通信量与计算成本。
- 记录处理目的、责任分工、保存期限及实际实施的保护措施。
来源与适用范围
- NIST · Privacy Attacks in Federated Learning · 2024
- NIST · Protecting Model Updates in Privacy-Preserving Federated Learning · 2024
- NIST SP 800-226 · 2025
- NIST AI 100-2e2025 · § 2.3.4
- NIST · BIT-FL · 2024
编辑核验日期：2026年10月31日。
联邦学习需要分析交换的信息。
仅将数据保存在设备上并不能证明不存在数据泄露。需要检查库存更新、元数据、聚合和结果访问。还要测试缺失的客户端、恶意贡献和高度不同的参与者数据。明确要衡量的内容以及实际提供的保证。
- 描述离开每个参与者的信息。
- 测试对无效贡献的拒绝情况。
- 比较不同地区群体间的性能。
联邦学习是否会自动匿名化数据？
否。学习方法本身并不能证明匿名性。评估交换的信息、推理风险以及系统的额外保护措施。
一手资料：NIST — Generative AI Profile. 相关方法：阅读实用指南.