油田站点不再把流量交给聚合器：秘密共享让服务器只看到一个接受位，30%攻击者下F1守住0.641

油田各站点可以在不交出本地网络流量的前提下共同训练一个入侵检测器，同时让投毒更新被挡在聚合之外。 此前的拜占庭鲁棒聚合规则必须明文读取每一条更新，而安全聚合把更新藏起来，也就藏起了检测投毒所需的证据。 在Edge-IIoTset的15类任务上，十个站点数据分布不同、十个随机种子，干净数据上宏F1为0.708，与FedAvg的0.706相当。

每台服务器只拿到每个站点的一个接受位和最终聚合结果，看不到单条更新。 站点把更新做加法秘密共享，两台服务器分别持有一份份额，单份份额在均匀随机下不泄露原更新。 更新推断攻击者从明文更新中恢复站点类别构成的Spearman相关系数为0.81，而从一台服务器的份额出发只有0.20。

被接受的更新是否真的进入公开聚合结果可以被外部核验。 此前的方向检验方案没有给站点核验自己已被接受的更新是否进入发布聚合的途径。 站点发布Pedersen承诺，服务器发布Merkle根与接受位图，审计与全部包含证明均通过，单元测试覆盖篡改检测。

这套聚合器面向能提供两台独立运营服务器和一份小型干净根集的场景，例如企业安全运营中心与区域或承包商域分开部署，根集可来自测试床采集。评估使用公开的Edge-IIoTset流量与模拟站点，模型为80–24–15的多层感知机，30轮、10个种子，未使用运营方数据。协议在线通信为每轮1.72 MiB，约为明文FedAvg上传的19.4倍，作者指出这在企业广域网上可行，但在通往偏远井口的低带宽卫星或无线信道上代价较高，并建议在后者改用明文更新上的根引导余弦检验，或以更低频率的轮次摊薄带宽。

隐私保证依赖两台服务器不串通，且不覆盖已发布全局模型权重的泄露；作者指出若两台服务器串通，攻击者恢复到明文级别的成功率。接受位与公开聚合仍是单台服务器可见的通道，在阈值0.9下接受位与站点非典型性的相关性很低、诚实拒绝率低于1%，但更紧的范数界会拒绝43.5%的诚实更新并泄露其非典型性。后门更新能通过过滤器，攻击成功率为1.000，噪声缓解只是启发式，噪声乘数为2时攻击成功率仍为0.091，对应的隐私预算过大，不构成有意义的差分隐私保证。作者还指出自适应攻击者只针对PVBRF-ID的范数界与参考方向，而multi-Krum与trimmed mean只面对缩放后的损失上升更新，针对距离型规则的攻击尚未加入。