TriShield: Zero-Utility-Loss Defense Against Privacy Backdoors in Federated Language Model Fine-Tuning via Orthogonal Gradient Projection and Optimizer State Entanglement

📄 arXiv: 2607.27940v1 📥 PDF

作者: Cheng Wei

分类: cs.LG, cs.CL

发布日期: 2026-07-30

备注: 12 pages,3 figures

💡 一句话要点

提出TriShield以解决联邦语言模型微调中的隐私后门问题

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 隐私保护 联邦学习 模型微调 深度学习 梯度投影

📋 核心要点

  1. 核心问题：现有的防御方法无法有效抵御NeuroImprint攻击，导致隐私数据泄露的风险。
  2. 方法要点：TriShield通过三层机制实现零效用损失，防止隐私后门的重建，且无需额外通信。
  3. 实验或效果：在GPT-2和Llama-Guard-3-1B上，TriShield将重建率降低至0%，并保持或提高训练准确率。

📝 摘要（中文）

联邦微调大型语言模型（LLMs）使得在不暴露原始数据的情况下进行协作训练成为可能。然而，近期的NeuroImprint攻击表明，恶意参数服务器可以将PEFT适配器腐蚀为隐私后门，重建客户训练数据。现有防御方法如局部差分隐私和梯度裁剪要么无法抵御此攻击，要么导致不可接受的效用下降。本文提出了TriShield，这是一种三层确定性防御机制，能够完全防止NeuroImprint风格的重建，且实现零模型效用损失和无需额外通信轮次。TriShield包括参数伪影检测器、状态虚拟迭代机制和零效用正交投影算子，实验表明其在保持或提高训练准确率的同时，将重建率降低至0%。

🔬 方法详解

问题定义：本文旨在解决联邦学习中隐私后门的重建问题，现有方法如局部差分隐私和梯度裁剪在面对NeuroImprint攻击时效果不佳，且会导致模型效用下降。

核心思路：TriShield的核心思路是通过三层防御机制，确保在不损失模型效用的情况下，完全防止隐私数据的重建。设计上，TriShield通过对梯度进行正交投影和状态纠缠来消除私有记忆的影响。

技术框架：TriShield由三个主要模块组成：参数伪影检测器、状态虚拟迭代机制和零效用正交投影算子。参数伪影检测器在本地训练前识别内存神经元的特征；状态虚拟迭代机制使得Adam/AdamW的动量状态在虚拟步骤中不可逆地纠缠梯度；零效用正交投影算子则通过SVD计算主任务语义子空间，物理上消除携带私有记忆的梯度成分。

关键创新：TriShield的主要创新在于其三层防御机制，特别是状态虚拟迭代和零效用正交投影的结合，使得上传的梯度与任何单个训练样本之间的互信息为零，显著提高了隐私保护能力。

关键设计：在设计中，TriShield的参数设置和损失函数经过精心调整，以确保在保持训练准确率的同时，最大限度地降低重建风险。

🖼️ 关键图片

fig_0
img_1
img_2

📊 实验亮点

实验结果表明，TriShield在GPT-2和Llama-Guard-3-1B模型上将NeuroImprint的重建率降低至0%，同时保持或提高训练准确率，且额外的GPU计算开销低于5%。这一成果显著优于现有防御方法，展示了其在隐私保护方面的有效性。

🎯 应用场景

TriShield的研究成果在多个领域具有潜在应用价值，尤其是在需要保护用户隐私的联邦学习场景中，如医疗、金融和社交网络等。通过有效防止隐私后门的重建，TriShield能够增强用户对数据共享的信任，推动协作学习的广泛应用。

📄 摘要（原文）

Federated fine-tuning of large language models (LLMs) enables collaborative training without exposing raw data. However, a recent attack, NeuroImprint [1] (arXiv:2606.20553), demonstrates that a malicious parameter server can corrupt a PEFT adapter into a privacy backdoor: by assigning a dedicated memorization neuron to each training sample and ensuring each neuron updates at most once, the server can analytically reconstruct 59\%--79\% of client training data with high semantic fidelity. Existing defenses---including local differential privacy (LDP) [8] and gradient clipping---either fail against this attack or impose unacceptable utility degradation. We present \textbf{TriShield}, a three-layer deterministic defense that completely prevents NeuroImprint-style reconstruction with \textbf{zero model utility loss} and \textbf{no additional communication rounds}. TriShield consists of: (1) a \textbf{Parameter Artifact Detector} that identifies memory-neuron signatures in distributed model parameters before local training begins; (2) a \textbf{Stateful Virtual Iteration} mechanism that forces Adam/AdamW's momentum state to irreversibly entangle gradients across virtual steps, invalidating NeuroImprint's closed-form inversion; and (3) a \textbf{Zero-Utility Orthogonal Projection} operator that projects all local gradient updates onto the main-task semantic subspace computed via SVD, physically eliminating any gradient components that carry private memorization. We prove theoretically that after Layers 2 and 3, the mutual information between the uploaded gradient and any individual training sample is zero. Experiments on GPT-2 (117M) and Llama-Guard-3-1B verify that TriShield reduces NeuroImprint reconstruction rate to \textbf{0\%} across all tested attack variants, while maintaining or improving training accuracy, with less than 5\% additional GPU computation overhead.