开篇故事：一次“安全”聚合后的数据泄露去年夏天，我帮一家金融科技公司审计他们的联邦学习系统。他们采用了SGX enclave做梯度聚合，自认为固若金汤——加密传输、远程认证、内存加密，该有的都有了。直到我让他们做个测试：用100个用户的梯度聚合出一个全局模型，然后尝试从模型参数中恢复原始图像。结果，第一张被恢复的图片就是某用户的身份证照片，连边缘的毛刺都清晰可见。“这不可能！”他们的首席架构师拍着桌子，“我们用的是SGX，攻击者根本拿不到内存里的梯度啊！”我叹了口气：“问题不是攻击者拿不到梯度，而是你把聚合后的模型参数直接交给了客户端。模型本身，就是一条通往用户隐私的捷径。”这就是今天我们要聊的主题——模型逆向攻击。即使你的聚合过程在enclave里安全执行，一旦全局模型离开enclave，它就可能被恶意客户端用来反推训练数据中的敏感信息。痛点拆解：你以为安全，其实在裸奔常见误区：梯度安全 = 数据安全很多人觉得：“我在enclave里做聚合，攻击者看不到单个梯度，那数据就是安全的。”这个想法大错特错。模型逆向攻击（Model Inversion Attack）利用的是模型输出与训练数据之间的统计相关性，而不是直接窃取梯度。即使你只暴露最终模型参数，攻击者依然可以通过精心构造的查询，逐步还原出训练集中的典型样本。反例代码：一个简单的模型逆向攻击