联邦学习遇上大模型：分布式训练的隐私前沿

大模型的训练范式天然是中心化的：数据集中到一处，单写者进程统一优化。但医院、银行、终端设备上的数据无法出域，跨机构协作与端侧个性化因此成为隐私计算的核心场景。联邦学习（Federated Learning）提供了一套「数据不动、模型动」的训练框架，差分隐私（Differential Privacy）则为「模型动了会不会泄密」提供数学保证。当模型参数从百万级膨胀到千亿级，这两套技术的假设都在被重新检验：模型越大，记忆的训练数据越多，泄露面越大；联邦聚合的通信成本与异质性也随规模急剧恶化。本文梳理这条隐私前沿的现状：攻击侧的实证、防御侧的工程化，以及尚未闭合的开放问题。

一、从 FedAvg 到大模型时代：联邦学习的基础机制

FedAvg：用通信换隐私的原始设计

联邦学习的奠基论文是 Google 的「Communication-Efficient Learning of Deep Networks from Decentralized Data」（McMahan, Moore, Ramage, Hampson, y Arcas，AISTATS 2017）。核心算法 FedAvg 非常朴素：每个客户端在本地数据上做多步随机梯度下降，把更新后的权重上传，服务端按数据量加权平均。相比每一步都要通信的 FedSGD，FedAvg 在 CIFAR-10 与图像分类任务上达到同等精度所需的通信轮次减少了十到一百倍——这个通信效率设计并非为了省带宽，而是因为联邦场景下每轮通信都要唤醒海量不可靠设备，轮次越多、掉队与失败越多。联邦学习与分布式数据并行的本质区别在于：客户端数据是 Non-IID 的（每台手机的用户画像完全不同）、参与是部分的（每轮只有一小部分设备在线），这两点让 FedAvg 的收敛性与最终精度都劣于中心化训练。

针对异质性，后续工作形成了两个主要分支。FedProx（Li, Sahu, Zaheer, Sanjabi, Talwalkar, Smith，MLSys 2020）在本地目标里加一个与全局模型的近端项，约束本地更新漂移，在高度异质的设置下带来最多约 22 个百分点的绝对精度提升。SCAFFOLD（Karimireddy et al.，ICML 2020）则从方差缩减角度入手，用控制变量修正客户端漂移，在 Non-IID 数据上把所需通信轮次压低一个数量级。这些机制是为卷积网络时代设计的；到了大模型时代，单次上传动辄数十 GB 的梯度让「通信换隐私」的交易成本重估——这是后面 LoRA 方案兴起的直接原因。

端侧落地的现实参照

联邦学习最大规模的真实部署不在学术圈，而在输入法。Google Gboard 用联邦聚合训练下一词预测模型，苹果从 2016 年起在 iOS 键盘中用差分隐私（本地化 DP 变体）收集高频词汇与表情符号统计，其公开技术说明给出的隐私预算是每天每特征 epsilon 约在 2 到 16 之间。这两个部署的共同点是任务极窄、模型极小——都远不是大模型。它们证明了机制可运行，但「联邦 + 大模型」的完整组合直到 2023 年之后才真正进入研究视野。

二、攻击侧：大模型把隐私风险放大了多少

记忆化与训练数据提取

大模型对隐私的核心威胁是记忆化（memorization）：模型把训练语料里的具体字符串逐字存进参数。Carlini et al. 的「Extracting Training Data from Large Language Models」（USENIX Security 2021）对 GPT-2 做了系统性提取：利用成员推断式的触发技巧（喂入训练集片段让模型补全），从 1.5B 参数的模型里找回了 600 多条训练原文，其中包含姓名、电话号码、邮箱、地址等个人身份信息，甚至一条 128 位的随机 UUID——这种高熵字符串不可能靠泛化能力「猜」出来，只能是被逐字记忆的。更早的「Secret Sharer」（Carlini et al.，IEEE S&P 2019）用金丝雀插入法给出了定量框架：在训练集中植入随机字符串并统计模型对它们的暴露度，证实记忆化程度随样本在训练集中出现次数快速增长。这两条结论合起来，构成了「重复样本、罕见样本最危险」的提取风险模型。

梯度泄露：联邦场景的特有攻击面

联邦学习不上传数据，但上传梯度——而梯度可以反推数据。Zhu, Liu, Han 的「Deep Leakage from Gradients」（NeurIPS 2019）首次系统演示：通过优化一个虚拟输入使其梯度逼近真实梯度，可以从单步梯度中像素级复原 MNIST/CIFAR 图像，并逐字复原 48 字符的文本标签。后续工作把攻击扩展到更深网络、更大 batch 与防御性设置下，攻击成功率虽有起伏，但「梯度即数据」已成为共识。针对语言模型的专门研究（Krishna et al.，ACL 2023，Google）更进一步：在微调过的语言模型上反演梯度可以恢复训练集中的个人身份信息，且微调加剧了泄露——因为它放大了模型对特定训练样本的记忆。这些结果共同说明：裸奔的联邦聚合并不提供隐私保证，隐私必须靠差分隐私这类有数学定义的机制显式注入。

flowchart TD
    A["客户端数据<br/>医院 / 手机 / 银行"] --> B["本地训练<br/>LoRA 微调 + 梯度裁剪"]
    B --> C["加噪上传<br/>DP-SGD / 安全聚合"]
    C --> D["服务端聚合<br/>FedAvg / FedProx / SCAFFOLD"]
    D --> E["全局模型下发"]
    E --> B
    F["攻击面 1：提取攻击<br/>记忆化文本复原"] -.威胁.-> G["全局模型"]
    H["攻击面 2：梯度泄露<br/>反演本地更新"] -.威胁.-> C
    G --> I["审计：隐私预算 epsilon<br/>金丝雀暴露度 / 成员推断测试"]

三、防御侧：差分隐私的工程化与联邦微调

DP-SGD：从 MNIST 到十亿参数

差分隐私的深度学习实现标准是 Abadi et al. 的「Deep Learning with Differential Privacy」（CCS 2016）：逐样本梯度裁剪到固定范数，再加高斯噪声，配合 moments accountant 精确追踪隐私预算。这份工作给出了第一批严格 ε 预算下的可用精度：在 epsilon 约 3 到 8 的严格预算下，MNIST 达到 99%、CIFAR-10 达到约 73%、SNLI 达到约 88%。这些数字证明 DP-SGD 可用，但也暴露了问题——全部实验在百万参数级别，隐私噪声对小模型是可承受的正则化，对十亿参数的预训练则是另一回事。

大模型时代的答案是参数高效微调与 DP 的结合。Yu et al. 的「Large-Scale Private Learning via Low-Rank Reparameterization」（NeurIPS 2021）证明：把可训练参数约束在低秩子空间（LoRA 式结构）再加 DP 噪声，可以在 GPT-2 规模的文本生成任务（E2E NLG）上以 ε 约等于 3 的预算逼近非私有训练的指标。原理很直白：DP 噪声的方差按参数数量叠加，可训练参数从亿级降到百万级，噪声代价随之下降几个数量级。此后的工作沿两个方向推进：一是把 DP-LoRA 扩展到指令微调与 RLHF 流程，二是在预训练阶段做 DP（Google DeepMind 等团队 2023 到 2025 年的多篇工作系统研究了 DP 语言模型的缩放规律，共识是 DP 预训练的效用差距随数据与算力增长可以缓慢缩小，但同等算力下仍显著落后于非私有训练）。

联邦指令微调：LoRA 让通信成本可行

LoRA 同时救了联邦学习的通信瓶颈。FedIT / Federated Instruction Tuning（Zhang et al.，2024）把联邦聚合的对象从全量权重换成 LoRA 适配器，单轮通信量下降几个数量级，使跨机构指令微调十亿到百亿参数模型在工程上可行。开源生态也跟上了：Flower、FedML 等框架在 2023 到 2025 年陆续加入大模型联邦微调的支持，医疗领域的多院区协作微调是当前最活跃的应用场景。但要诚实地说清现状：联邦指令微调的公开评测大多在 7B 到 13B 模型与小规模客户端池上进行，与 Gboard 那种亿级设备部署之间存在两到三个数量级的系统规模差距，异质性、掉队与安全聚合（服务端也看不到单个客户端的更新）在真实部署里的联合工程难度，公开文献里尚缺乏充分报告。

四、开放问题：隐私、效用与通信的三角

隐私预算的实用化困境

差分隐私给了精确的数学保证，但保证的解读依赖 ε 的取值，而 ε 的选择至今没有工程标准。学术工作常用的 ε 在 1 到 8 之间，工业部署（苹果键盘、联邦统计）放宽到每日 2 到 16，两者之间的对应关系并不清楚——一个 ε 等于 8 的模型到底泄露多少，数学上无法回答，只能靠经验攻击测试（如金丝雀暴露度、成员推断 AUC）辅助判断。更深的问题是预算的粒度：预训练一次、下游微调无数次、每个用户再个性化，隐私预算如何在模型生命周期里组合与摊销，目前只有组合定理的机械叠加，缺乏面向产品生命周期的预算管理理论。

联邦评估与信任审计

联邦场景下连评估都成了难题：测试数据同样分散在客户端，集中式评测不存在。联邦评估既要在客户端本地算指标再聚合（又引入隐私问题），又要防止个别客户端用伪造评估骗取模型，这个「评估的可信性」问题在文献里远不如训练问题受重视。与此同时，合规压力在变大：GDPR 与国内个人信息保护法对训练数据来源的追索要求，正在把「模型里到底存了多少训练数据」从学术问题变成法律问题，这会反向推动记忆化度量（如金丝雀测试、隐私审计协议）走向标准化。

小结

联邦学习与大模型的结合，本质上是把「隐私」从口号变成两条可验证的工程链条：用联邦聚合把数据留在本地，用差分隐私保证流出去的参数不泄露数据。攻击侧的证据已经非常扎实——从 GPT-2 的训练数据提取到梯度反演，泄露风险是实证的而非假设的；防御侧的关键突破是 DP 与低秩结构的结合，它把隐私噪声的成本从「不可承受」压到「可用」，FedIT 类方案则把通信成本压回可行区间。但差距同样清晰：所有严格评测都停留在十亿到百亿参数与少量客户端，隐私预算的工程标准、联邦评估的可信协议、以及亿级设备规模下的安全聚合，都是这个方向从论文走向基础设施必须补齐的拼图。对工程师而言，现实的选型建议是：跨机构协作优先考虑联邦 LoRA 加 DP-SGD 的组合，ε 取 4 到 8 的区间起步，并用金丝雀测试做经验审计——这条路径已被反复证明在可用性与可验证性之间取得了当前最好的平衡。