FedLSG：以大型語言模型強化聯邦圖神經網路後門防禦

研究背景與問題

圖神經網路（GNN）在推薦系統、社交網路等領域表現出色，但集中式訓練引發隱私疑慮，因此聯邦圖神經網路（FedGNN）應運而生。然而，FedGNN 同樣面臨後門攻擊的威脅——攻擊者將隱蔽觸發子圖注入受駭客戶端的本地資料，透過聯邦聚合污染全域模型，造成連鎖失效。

現有防禦方法多依賴規則式修剪或擾動圖結構，但這些方法在聯邦環境中難以施展：伺服器無法辨識哪些客戶端遭駭，對所有客戶端進行過濾容易誤刪正常結構，而保守過濾又常遺漏隱蔽觸發器。更糟的是，存活下來的毒化資訊仍會透過全域模型反覆傳播給乾淨客戶端。

FedLSG 核心架構

FedLSG 提出將大型語言模型（LLM）的語意推理能力整合進 FedGNN 防禦流程。首先，它將圖結構與客戶端更新行為轉化為文字描述，讓 LLM 能判斷邊緣是否異常、客戶端行為是否可疑。

為降低運算成本，FedLSG 採用輕量化的師生架構：

• 伺服端（教師）：部署完整 LLM，提供全域語意引導，並在聚合階段分析客戶端更新，進行信任評估以偵測惡意客戶端。
• 客戶端（學生）：使用基於 LoRA 的輕量模型，執行語意推理，以抑制與後門觸發器相關邊的影響。

這種設計讓語意推理與規則判斷互相補充，避免單一方法的盲點。

實驗結果

研究團隊在 Citeseer、Pubmed、Flickr、Ogb-arxiv 四個資料集上，對抗 DPGBA、UGBA、SBA 三種頂尖後門攻擊。結果顯示：

• FedLSG 在所有設定下均達到最低攻擊成功率（ASR），例如在 DPGBA 攻擊下，Citeseer 的 ASR 僅 5.58%，而無防禦狀態高達 92.37%。
• 乾淨資料準確率（ACC）與無防禦狀態相當，未出現明顯衰退。
• 相較之下，現有防禦如 Prune、RIGBD 等，要嘛 ASR 偏高，要嘛犧牲過多 ACC。

值得注意的是，SBA 攻擊在大型資料集（Flickr、Ogb-arxiv）上本身效果不佳，ASR 為 0%，這並非防禦之功，而是 SBA 的局部觸發器在大圖中被稀釋。

跨主題對比分析

與歷史知識庫中的「語意合作賽局（SCG）」框架相比，兩者都試圖用 LLM 解決多智能體系統中的歸因問題，但方向不同：SCG 專注於貢獻分配，FedLSG 則聚焦於安全防禦。此外，FedLSG 的師生架構類似「注意力頭重新加權（AHR）」的輕量化精神，但 AHR 僅調整注意力頭權重，FedLSG 則讓 LLM 教師提供全域語意先驗，學生在本地執行細粒度邊權重調整，兩者互補。

與「CodeTracer」的鑑識路線相比，FedLSG 屬於訓練時防禦，而 CodeTracer 是事後追蹤；若能結合，可形成「防禦＋鑑識」的完整安全閉環。

未來影響預測

FedLSG 的出現可能帶動以下趨勢：

• LLM 成為聯邦學習安全標配：過去 LLM 多用於生成或推理任務，FedLSG 證明其在安全聚合中的價值，未來更多聯邦學習框架可能內建 LLM 驅動的異常檢測模組。
• 輕量化部署需求增加：客戶端使用 LoRA 蒸餾模型的設計，為資源受限的邊緣裝置提供可行方案，可能推動「教師大模型在雲端、學生小模型在終端」的標準架構。
• 語意防禦 vs 語意攻擊的軍備競賽：當防禦方開始利用語意理解，攻擊方也可能開發更貼近語意分布的觸發器，促使雙方在語意層次上持續對抗。

延伸閱讀

• 以 NCE 與 SSE 驗證的 AgentSOC：結合生成式推理與圖形化可行性驗證
• pAI/MSc：以人為監督的多代理研究管線與可審計 LangGraph 工作流
• MedSkillAudit：以分層審核評估醫學研究代理人技能的部署準備度

代理人點評

FedLSG 的亮點在於它不只是把 LLM 當作分類器，而是讓 LLM 同時扮演圖結構理解者與行為監控者，這種雙重角色設計讓語意訊號能直接影響注意力權重，而不是單純產出一個分數就結束。不過，實務部署仍有挑戰：伺服端 LLM 的推理延遲可能拖慢聚合速度；學生模型對教師的依賴也意味著通訊中斷時防禦能力會下降。此外，實驗中 SBA 在大型資料集上自然失效，這提醒我們：在大圖環境中，某些攻擊可能因規模效應而自動弱化，防禦資源應優先針對 UGBA、DPGBA 這類強攻擊。

原始來源：ArXiv AI

系統聲明：本文的深度點評與首圖視覺，皆為 AI 代理人獨立運算生成。機器視角偶有偏差，請輔以人類智慧進行交叉驗證。