Федеративне навчання військового ШІ: секретні дані без централізації

Центральний парадокс навчання військового ШІ полягає в тому, що дані, які найбільше покращили б оперативну ефективність моделі, — це саме ті дані, які неможливо перемістити. Секретні журнали сенсорів, ISR-зображення з активних театрів воєнних дій, записи про електронний бойовий порядок і набори даних союзних партнерів перебувають за бар'єрами компартментів, що унеможливлюють звичайне централізоване навчання. Федеративне навчання розв'язує цей парадокс, інвертуючи парадигму навчання: замість того щоб переміщувати дані до моделі, модель іде до даних. Кожна організація-учасниця навчається локально на власному секретному корпусі й передає лише оновлення градієнтів — математичні похідні, що покращують глобальну модель, не розкриваючи вихідних навчальних зразків. Ця стаття розглядає повний інженерний стек розгортання федеративного навчання в оборонних середовищах — від вибору топології федерації до калібрування диференціальної приватності, безпечної агрегації, асинхронної тактичної роботи та протидії загрозам методами візантійської стійкості.

Навіщо федеративне навчання для оборони — суверенітет даних між командуваннями, бар'єр секретності та актуальність периферійних моделей

Навчальні дані військового ШІ розподілені між організаційними силосами за задумом, а не випадково. Політика секретності, правові повноваження та вимоги оперативної безпеки створюють жорсткі межі між організаціями-власниками даних. ISR-зображення командування спеціальних операцій не можна передати навчальній інфраструктурі сил загального призначення, не пройшовши через механізми контролю доступу до компартментів, розв'язання яких може тривати місяцями — якщо розв'язання взагалі можливе. Союзна держава-партнер, яка надає сенсорні дані для коаліційної моделі, не може на законних підставах передавати ці дані за межі своєї суверенної інфраструктури згідно із законодавством про національну безпеку, незалежно від того, які договірні рамки існують між державами.

Бар'єр секретності — найгостріша проблема. Централізоване навчання на даних із різними рівнями секретності вимагає підняти навчальну інфраструктуру до найвищого рівня чутливості серед усіх залучених наборів даних. Навчальний кластер, акредитований для даних Top Secret/SCI, коштує на порядок більше для побудови, укомплектування персоналом і акредитації, ніж об'єкт рівня Secret, і обмежує коло інженерів та фахівців із науки про дані, які можуть із ним працювати, невеликою часткою персоналу. На практиці більшість оборонних програм ШІ вирішують навчатися на найменш чутливих доступних даних, а не акредитувати об'єкт вищого рівня, — а це означає, що модель позбавляється найбільш релевантних для операцій навчальних прикладів. Федеративне навчання усуває цей компроміс, дозволяючи кожному силосу робити внесок у глобальну модель на власному рівні секретності. Оновлення градієнтів, що залишають кожен силос, не несуть грифа секретності, еквівалентного грифу їхніх вихідних даних, — це математичні артефакти процесу навчання, а не записи даних.

Актуальність периферійних моделей — третій мотив. Проблема інференсу периферійного ШІ у військових системах полягає в тому, що модель, розгорнута на тактичній платформі кілька місяців тому, навчалася на знімку світу, який може вже не відповідати поточному оперативному середовищу. Набори цільової техніки еволюціонують, на озброєння надходять нові форми радіолокаційних сигналів, а методи маскування противника адаптуються, щоб обійти відомі шаблони виявлення. Федеративне навчання уможливлює безперервне покращення моделі за даними, зібраними на розгорнутих платформах і на передових оперативних базах, повертаючи покращення до глобальної моделі без потреби в тому, щоб платформи надсилали сирі оперативні дані вгору по ланцюгу, — обмеження смуги пропускання та безпеки, через яке ексфільтрація сирих даних із тактичних платформ непрактична. Модель покращується завдяки польовим даним, тоді як самі дані залишаються в полі.

Архітектури FL для оборони: міжсилосна проти міжпристроєвої — федерація на рівні командувань і на рівні платформ

Федеративне навчання в оборонних розгортаннях поділяється на два принципово різні архітектурні шаблони, кожен з яких підходить для окремого рівня військової організаційної ієрархії. Розуміння цієї різниці є передумовою для вибору правильного фреймворка, стратегії агрегації та архітектури безпеки.

Міжсилосна федерація з'єднує невелику кількість великих, інституційно стабільних учасників — зазвичай 5–50, — кожен з яких має значні секретні набори даних. В оборонному контексті міжсилосні учасники — це військові командування, розвідувальні служби, держави-партнери або офіси програм платформ. Кожен силос має виділену обчислювальну інфраструктуру, здатну виконувати повний цикл навчання моделі, постійне мережеве з'єднання із сервером агрегації (із запланованими вікнами обслуговування для відключення) та інституційні повноваження щодо своїх даних. Міжсилосна федерація допускає вищі витрати на комунікацію за раунд, оскільки учасники добре забезпечені ресурсами, і виграє від статистичної багатості великого локального набору даних кожного учасника. Основні інженерні виклики — неоднорідні розподіли даних між організаціями, правові та політичні рамки, що регулюють участь, а також інфраструктура автентифікації й авторизації, потрібна для того, щоб лише уповноважені силоси могли робити внесок у глобальну модель.

Міжпристроєва федерація з'єднує велику кількість учасників з обмеженими ресурсами та епізодичною доступністю — потенційно тисячі окремих мобільних пристроїв військовослужбовців, сенсорних вузлів, наземних станцій БпЛА або обчислювальних модулів транспортних засобів. Кожен пристрій має лише невеликий обсяг локально згенерованих даних, переривчастий мережевий зв'язок і може непередбачувано виходити з федерації та знову приєднуватися до неї. Міжпристроєве FL потребує асинхронної агрегації, агресивного стиснення градієнтів для мінімізації використання смуги пропускання та статистичних методів, здатних витягувати корисний сигнал із дуже малих, вкрай non-IID (таких, що не є незалежними й однаково розподіленими) локальних наборів даних. Це відповідна архітектура для ШІ тактичних mesh-мереж, де мета — оновлювати спільну модель на основі колективного досвіду розподіленої сенсорної мережі, причому жоден окремий вузол ніколи не накопичує достатньо даних, щоб змістовно навчатися самостійно.

Більшість інституційних оборонних програм ШІ — тих, що діють на рівні командування, домену чи затвердженої програми (program of record), — використовують міжсилосну архітектуру з 10–30 чітко ідентифікованими учасниками. Міжпристроєва архітектура застосовується насамперед до експериментальних тактичних програм ШІ, де учасниками навчання є окремі платформи. Їх можна поєднувати ієрархічно: міжпристроєва федерація на рівні тактичної мережі агрегується в міжсилосного учасника на рівні оперативного командування, який, своєю чергою, бере участь у стратегічній міжсилосній федерації. Ця ієрархічна структура дає змогу даним окремих тактичних сенсорів зрештою впливати на глобальну модель, причому жодні сирі сенсорні дані не проходять більше ніж один мережевий хоп.

Диференціальна приватність для військових навчальних даних — калібрування шуму DP-SGD, вибір epsilon для оборонних сценаріїв, компроміс між корисністю та приватністю

Оновлення градієнтів, хоч і не є сирими даними, не бувають цілком непрозорими. Дослідження показали, що атаки інверсії градієнтів можуть відновлювати окремі навчальні зразки з оновлень градієнтів із дивовижною точністю, особливо за малих локальних розмірів пакета та неглибоких архітектур моделей. В оборонному контексті навіть часткове відновлення навчальних даних із перехопленого градієнта може скомпрометувати джерела розвідувальної інформації, розкрити закономірності збору даних сенсорами або викрити можливості платформ. Диференціальна приватність (DP) дає математично строгий механізм, що обмежує цей витік.

DP-SGD (диференціально приватний стохастичний градієнтний спуск) застосовує дві операції до кожного градієнта, перш ніж він залишить навчальний силос. По-перше, обрізання градієнта для кожного зразка обмежує чутливість навчального сигналу: L2-норму градієнта кожного окремого зразка обрізають до максимального значення C, щоб жоден окремий навчальний приклад не міг домінувати в оновленні градієнта. По-друге, до обрізаної суми градієнтів додають відкалібрований гауссів шум зі стандартним відхиленням, пропорційним C / sigma. Відношення C / sigma є множником шуму; більші значення sigma додають більше шуму, забезпечуючи сильнішу приватність ціною сильнішого погіршення сигналу градієнта.

Формальна гарантія приватності виражається через epsilon (бюджет приватності) і delta (нехтовно мала ймовірність збою). Після R раундів навчання, у кожному з яких локальний розмір пакета B вибирається із N загальних навчальних зразків, накопичений epsilon зростає приблизно як epsilon ≈ (q * sigma_inv * sqrt(2 * R * log(1/delta))), де q = B/N — частота вибірки. На практиці відстеження виконують за допомогою обліку моментів (moments accountant) або обліку диференціальної приватності Реньї (Renyi Differential Privacy), що дає щільніші межі, ніж базова теорема про композицію.

# DP-SGD with Opacus (PyTorch) — defense FL configuration
import torch
from opacus import PrivacyEngine
from opacus.accountants import RDPAccountant

model = MyDetectionModel()
optimizer = torch.optim.SGD(model.parameters(), lr=0.01)

privacy_engine = PrivacyEngine(accountant="rdp")

model, optimizer, train_loader = privacy_engine.make_private_with_epsilon(
    module=model,
    optimizer=optimizer,
    data_loader=train_loader,
    epochs=local_epochs,
    target_epsilon=3.0,       # authorized privacy budget for SECRET data
    target_delta=1e-5,        # negligible failure probability
    max_grad_norm=1.0,        # clipping norm C (set to median gradient norm)
)

# Train local epochs
for epoch in range(local_epochs):
    for batch in train_loader:
        optimizer.zero_grad()
        loss = criterion(model(batch["inputs"]), batch["labels"])
        loss.backward()
        optimizer.step()  # gradient clipping + noise injection happens here

# Check remaining budget before transmission
epsilon_consumed = privacy_engine.get_epsilon(delta=1e-5)
assert epsilon_consumed <= AUTHORIZED_EPSILON_CEILING, "Privacy budget exceeded"

Вибір epsilon для оборонних сценаріїв залежить від рівня секретності навчальних даних і моделі противника. Корисна евристика для оборонних програм — розподіляти epsilon за рівнями секретності: несекретні навчальні дані можуть допускати epsilon 8–12, за якого вплив на точність мінімальний; дані рівня Secret виправдовують epsilon 2–5, за якого є відчутна ціна в точності, але математична гарантія сильна; дані рівня Top Secret або компартментовані дані можуть вимагати epsilon, що наближається до 1, за якого погіршення точності значне й має бути зіставлене з вимогою приватності. Ціна сильної DP в точності реальна — модель виявлення, навчена з epsilon = 1, може втратити 3–6 mAP порівняно з неприватною базовою моделлю, — і офіси програм мають формально прийняти цей компроміс, а не залишати його неявним результатом вибору програмних засобів окремим інженером.

Стратегії агрегації моделей — FedAvg, FedProx для неоднорідних розподілів даних, зважена агрегація за якістю та кількістю даних

FedAvg (федеративне усереднення), канонічний алгоритм агрегації FL, обчислює оновлення глобальної моделі як просте середнє оновлень градієнтів учасників за один раунд. Він простий, економний щодо комунікацій і добре вивчений. Водночас він крихкий, коли розподіли даних учасників сильно неоднорідні, — а у військових міжсилосних розгортаннях це правило, а не виняток, адже навчальні дані кожного організаційного силосу відображають його специфічний оперативний контекст, сенсорну платформу та географічний театр воєнних дій.

Проблема неоднорідності проявляється як дрейф клієнтів: локально оптимізована модель кожного учасника дрейфує в напрямку, який визначається його локальним розподілом даних, а середнє кількох таких зміщених моделей може бути гіршим за локальну модель будь-якого окремого учасника. Командування, що діє виключно в арктичному театрі, навчатиме свою локальну модель розпізнавати техніку, вкриту снігом; командування пустельного театру спеціалізуватиметься на сигнатурах цілей піщаного кольору. Усереднення цих двох дає модель, яка поступається обом. FedProx усуває дрейф клієнтів, додаючи проксимальний регуляризаційний доданок до локальної цільової функції кожного учасника:

# FedProx local objective — adds proximal term to standard loss
# w_global = global model weights from last aggregation round
# w_local  = local model weights being updated
# mu       = proximal regularization strength (0.01 – 0.1)

def fedprox_loss(predictions, targets, w_local, w_global, mu=0.05):
    task_loss = criterion(predictions, targets)
    proximal_term = (mu / 2) * sum(
        torch.norm(w_l - w_g) ** 2
        for w_l, w_g in zip(w_local.parameters(), w_global.parameters())
    )
    return task_loss + proximal_term

Проксимальний доданок штрафує дрейф локальної моделі від глобальної початкової точки, не даючи жодному окремому учасникові відтягнути агрегатне оновлення надто далеко в бік свого локального розподілу даних. Гіперпараметр mu керує компромісом: mu = 0 відтворює стандартний FedAvg (без регуляризації); mu = 1.0 не дозволяє локальній оптимізації покращувати результат відносно глобальної моделі (надто сильна регуляризація). Значення в діапазоні 0.01–0.1 типові для оборонних міжсилосних розгортань. Налаштування mu потребує відстеження точності глобальної моделі на контрольному центральному оцінювальному наборі даних упродовж раундів навчання — якщо точність коливається або не збігається, збільште mu; якщо збіжність надто повільна, зменште його.

Зважена агрегація за кількістю даних замінює усереднення з однаковими вагами агрегацією, пропорційною кількості зразків. Командування з 500,000 розмічених прикладів має робити більший внесок у глобальне оновлення, ніж передова оперативна база з 800 прикладами. Зважування за кількістю зразків є простим: кожен учасник повідомляє свою локальну кількість зразків (ці метадані про кількість не розкривають вмісту даних), а сервер обчислює вагу кожного учасника як його кількість, поділену на загальну кількість у всіх силосах-учасниках раунду.

Зважена агрегація за якістю даних складніша. Непрямі показники якості, які можна обчислити без доступу до сирих даних, охоплюють точність валідації локальної моделі (якщо доступний контрольний локальний валідаційний набір), норму градієнта (надзвичайно великі чи малі норми градієнтів можуть указувати на проблеми з якістю даних) та узгодженість моделі (чи вказує локальне оновлення в напрямку, подібному до агрегату інших учасників). Оборонним програмам із різнорідною якістю сенсорів — коли поєднуються електрооптичні зображення високої роздільності зі стратегічних ISR-засобів і камери наземних транспортних засобів низької роздільності — слід реалізувати агрегацію, зважену за якістю, щоб джерела даних низької якості не погіршували продуктивність глобальної моделі в критично важливих завданнях виявлення, які залежать від даних вищої якості.

Протоколи безпечної агрегації — криптографічна агрегація (SecAgg), довірене середовище виконання для сервера агрегації, шифрування градієнтів

Сервер агрегації — єдина точка в архітектурі FL, яка мусить обробляти оновлення градієнтів від усіх учасників. Хоча окремі учасники не можуть отримати доступ до градієнтів інших учасників, оператор сервера агрегації — як і будь-який противник, що скомпрометує сервер, — може спостерігати всі індивідуальні завантаження градієнтів. В оборонному розгортанні FL, де учасниками є різні організації чи держави, ця централізована видимість створює ризик збору розвідувальної інформації: досвідчений противник, який контролює сервер агрегації або проник на нього, може спробувати атаки реконструкції градієнтів на навчальні дані окремих учасників.

Безпечна агрегація (SecAgg) усуває цей ризик, дозволяючи серверу обчислювати агрегат градієнтів учасників, ніколи не бачачи градієнта жодного окремого учасника у відкритому вигляді. Протокол використовує парне розділення секретів між учасниками:

• На етапі налаштування кожна пара учасників встановлює спільний секрет за допомогою обміну ключами Діффі-Геллмана через автентифікований канал. Сервер агрегації сприяє розподілу ключів, але не дізнається парних секретів.
• Перед завантаженням свого градієнта кожен учасник генерує псевдовипадковий вектор маскування для кожного зі своїх партнерів (виведений із парного секрету) і додає всі ці маски до свого градієнта. Маска для пари учасників (i, j) додається учасником i з додатним знаком, а учасником j — з від'ємним.
• Коли всі замасковані градієнти підсумовуються на сервері, маски попарно взаємно знищуються, залишаючи лише справжню суму незамаскованих градієнтів. Сервер правильно обчислив агрегат, ніколи не бачивши відкритого градієнта жодного окремого учасника.
• Випадання учасників обробляється схемою розділення секрету для ключів маскування: якщо учасник випадає до надсилання, порогова кількість інших учасників може відновити маску цього учасника та вилучити її з агрегату.

Довірене середовище виконання (TEE) сервера агрегації забезпечує додатковий рівень захисту. TEE — реалізоване на базі Intel TDX, AMD SEV-SNP або ARM TrustZone — створює апаратно ізольований контекст виконання, де код і дані шифруються та захищені навіть від операційної системи й гіпервізора інфраструктури. Коли сервер агрегації працює всередині TEE, оператор сервера не може переглянути агрегований градієнт у відкритому вигляді, не порушивши гарантій атестації TEE. Віддалена атестація дає змогу учасникам криптографічно переконатися, що сервер агрегації виконує авторизований код агрегації в справжньому TEE, перш ніж надсилати оновлення градієнтів. Це усуває внутрішню загрозу на рівні оператора інфраструктури: хмарний адміністратор або державний ІТ-підрядник, який експлуатує інфраструктуру сервера агрегації, не може використати привілейований доступ для перехоплення трафіку градієнтів.

Для оборонних систем комп'ютерного зору, що беруть участь у міжсилосній програмі FL, повний шлях даних — від результату локального навчання через маскування, по зашифрованому транспорту, через агрегацію на основі TEE і назад до учасника у вигляді оновленої глобальної моделі — має бути задокументований і акредитований у складі пакета авторизації безпеки програми. Кожна ланка ланцюга потребує власної оцінки засобів контролю безпеки.

FL у тактичних середовищах без зв'язку та з переривчастим зв'язком — асинхронне FL із запізнілими градієнтами, планування супутникових каналів, версіонування моделей для застарілих градієнтів

Ідеальний протокол FL припускає, що всі учасники одночасно досяжні на початку кожного раунду навчання й лишаються досяжними протягом усього раунду. Тактичні військові середовища систематично порушують це припущення. Форпости із супутниковим зв'язком можуть мати лише 20-хвилинні вікна зв'язку кожні 12 годин. Спішені підрозділи, що діють на місцевості, де зв'язок заблоковано, можуть бути офлайн днями. Учасники, змонтовані на транспортних засобах, можуть мати переривчастий зв'язок через екранування рельєфом, радіочастотні завади від глушіння з боку противника або процедури контролю випромінювання (EMCON), що забороняють передавання.

Асинхронне федеративне навчання відокремлює доступність учасників від часу агрегації. Замість того щоб збирати градієнти всіх учасників перед обчисленням раунду, сервер агрегації підтримує буфер градієнтів і застосовує оновлення в міру їх надходження. Глобальна модель просувається безперервно, враховуючи внесок кожного учасника в момент його надходження. Інженерний виклик — застарілість градієнтів: учасник, який навчив свою локальну модель на версії T глобальної моделі й надсилає градієнт у момент T+5, вносить градієнт, обчислений відносно моделі, що тепер застаріла на п'ять глобальних кроків. Наївна агрегація застарілих градієнтів може уповільнити збіжність або, в крайніх випадках, дестабілізувати її.

# Staleness-weighted asynchronous aggregation (server side)
# Each gradient submission includes the round number it was computed from

def async_aggregate(gradient_buffer, current_round, max_staleness=10):
    """
    Aggregate gradient updates from the buffer, applying staleness weighting.
    Discard updates older than max_staleness rounds.
    """
    valid_updates = [
        (g, w, r) for g, w, r in gradient_buffer
        if (current_round - r) <= max_staleness
    ]

    total_weighted_grad = None
    total_weight = 0.0

    for grad, sample_weight, submission_round in valid_updates:
        staleness = current_round - submission_round
        # Exponential staleness decay: weight halves every 3 rounds
        staleness_factor = 0.5 ** (staleness / 3.0)
        effective_weight = sample_weight * staleness_factor

        scaled_grad = {k: v * effective_weight for k, v in grad.items()}
        if total_weighted_grad is None:
            total_weighted_grad = scaled_grad
        else:
            for k in total_weighted_grad:
                total_weighted_grad[k] += scaled_grad[k]
        total_weight += effective_weight

    # Normalize by total weight
    return {k: v / total_weight for k, v in total_weighted_grad.items()}

Планування FL для супутникових каналів узгоджує завершення раундів навчання з прогнозованими вікнами зв'язку. Якщо супутниковий канал учасника доступний щодня в інтервалі 02:00–02:20 UTC, клієнт навчання цього учасника слід налаштувати так, щоб він завершував локальне навчання й мав градієнт, готовий до передачі, до 02:00. Сервер планує раунди агрегації з граничним терміном, що збігається з вікном зв'язку останнього учасника. Для учасників із кількома щоденними прольотами клієнт навчання може використати найсвіжіший градієнт, якщо після останньої передачі було завершено запуск навчання, уникаючи складності накопичення градієнтів між прольотами.

Версіонування моделей на рівні учасника є ключовим для стійкості. Локальне сховище моделей має зберігати щонайменше три контрольні точки: поточну розгорнуту модель для інференсу, останню отриману глобальну модель (використовується як початкова точка локального навчання) та локальну модель, що перебуває в процесі навчання (до вилучення градієнта). Якщо зв'язок втрачено після запуску локального навчання, але до передачі градієнта, градієнт можна утримувати й передати в наступному вікні зв'язку без повторення обчислень навчання. Якщо учасник отримує оновлення глобальної моделі під час поточного запуску локального навчання, він має вирішити, чи завершувати поточний запуск (і надіслати потенційно застарілий градієнт), чи перезапустити з нової глобальної моделі (марнуючи вкладені обчислювальні ресурси). Для платформ периферійного інференсу з обмеженим енергоспоживанням, де обчислення коштовні, завершення поточного запуску та прийняття застарілості зазвичай є кращою стратегією.

Модель загроз для федеративного військового ШІ — візантійсько-стійка агрегація (Krum, усічене середнє), виявлення отруєння моделі, нейтралізація атак інверсії градієнтів

Федеративне навчання в оборонних програмах працює проти складнішої моделі загроз, ніж цивільні застосунки FL. Противник має і мотивацію, і потенційно технічну спроможність скомпрометувати учасників FL, перехоплювати передачу градієнтів або проникнути в інфраструктуру агрегації. Категорії загроз, релевантні для військового FL, такі: отруєння градієнтів (скомпрометований учасник надсилає зловмисні градієнти), отруєння моделі (противник вводить навчальні дані, розроблені для отримання моделі з бекдором), інверсія градієнтів (підслуховувач відновлює навчальні дані із захоплених оновлень градієнтів) і компрометація сервера агрегації (противник отримує доступ до центральної точки агрегації).

Візантійсько-стійка агрегація захищає від отруєння градієнтів, роблячи глобальне оновлення нечутливим до обмеженої кількості ворожих внесків учасників. Стандартний FedAvg не є візантійсько-стійким — один учасник, який надсилає градієнт, спрямований протилежно до справжнього градієнта, може суттєво погіршити збіжність. Візантійсько-стійкі алгоритми або відбирають підмножину градієнтів, або обчислюють робастну статистику, що обмежує ворожий вплив:

Multi-Krum відбирає m градієнтів, які найбільш подібні до своїх k найближчих сусідів серед усіх надісланих градієнтів. Візантійські градієнти, розроблені для зміщення глобального оновлення, зазвичай є викидами в розподілі градієнтів — далеко від кластера чесних градієнтів. Критерій відбору Krum відкидає ці викиди. Алгоритм вимагає знання верхньої межі f кількості візантійських учасників; для безпеки задайте параметр Krum рівним n - f - 2, де n — загальна кількість учасників.

Покоординатне усічене середнє (Coordinate-wise Trimmed Mean) незалежно в кожному вимірі відкидає верхню та нижню частки p значень градієнтів перед обчисленням середнього. Це обчислювально дешевше за Krum і ефективне, коли візантійські градієнти є екстремальними в окремих вимірах — типова структура простих стратегій атак на градієнти. Частку відсікання p слід задавати не меншою за припущену частку візантійських учасників плюс запас надійності 5–10%.

# Coordinate-wise Trimmed Mean aggregation
import numpy as np

def trimmed_mean_aggregate(gradients, trim_fraction=0.2):
    """
    Byzantine-robust aggregation: trim top and bottom trim_fraction
    of gradient values per dimension, then average.

    gradients: list of flat numpy arrays, one per participant
    trim_fraction: fraction to trim from each tail (e.g., 0.2 = 20%)
    """
    grad_matrix = np.stack(gradients, axis=0)  # shape: (n_participants, n_params)
    n = grad_matrix.shape[0]
    k = int(np.floor(trim_fraction * n))        # number to remove from each tail

    # Sort along participant axis, trim k from top and bottom
    sorted_grads = np.sort(grad_matrix, axis=0)
    trimmed = sorted_grads[k : n - k, :]       # remove k from each end

    return np.mean(trimmed, axis=0)

Виявлення отруєння моделі вимагає моніторингу поведінки глобальної моделі на чистому центральному оцінювальному наборі даних після кожного раунду агрегації. Раптове падіння точності, зростання частки хибних негативів для конкретного цільового класу або поява неочікуваної поведінки класифікації (як-от впевнена хибна класифікація конкретного типу техніки, якої не було в оцінювальному наборі до цього раунду) є ознаками успішного отруєння. Оборонні програми FL мають підтримувати контрольний оцінювальний набір, що формується командою, незалежною від будь-якого учасника FL, щоб жоден учасник не міг навчатися показувати добрі результати на оцінювальному наборі, водночас отруюючи оперативну поведінку моделі. Виявлення аномалій за статистикою градієнтів кожного учасника — нормою градієнта, косинусною подібністю до агрегату раунду та дисперсією впродовж раундів навчання — дає сигнал раннього попередження про те, що поведінка градієнтів учасника змінилася, а це може свідчити про компрометацію.

Нейтралізація інверсії градієнтів діє через три взаємодоповнювальні механізми. По-перше, шум DP-SGD маскує значення градієнтів нижче порога шуму, не даючи змоги відновлювати дані з високою точністю. По-друге, SecAgg гарантує, що на сервері агрегації видно лише агреговані градієнти, обмежуючи поверхню атаки каналом зв'язку між кожним учасником і сервером. По-третє, збільшення локального розміру пакета з однозначних значень до 64 або більше зразків на крок градієнта різко підвищує складність інверсії, оскільки градієнт є середнім за багатьма зразками, а не відбитком одного запису. Для навчальних даних найвищої чутливості локальні розміри пакета 128 або більше ефективно перешкоджають сучасним методам інверсії градієнтів відновлювати окремі навчальні записи.