arXiv:2606.20553: NeuroImprint — versteckte Hintertür im föderalen Fine-Tuning rekonstruiert 59–79 % der Trainingsdaten

Föderale Privatsphäre weist eine Schwachstelle in PEFT-Adaptern auf

Das Ziel des föderalen Lernens (Federated Learning) ist es, Sprachmodelle zu trainieren, ohne private Daten der Klienten zu teilen. Forscher der Virginia Tech und der Washington University — angeführt von Shanghao Shi — haben jedoch gezeigt, dass die Architektur der PEFT-Adapter selbst die Tür für eine völlig neue Art von Angriff öffnet.

Die Arbeit wurde am 18. Juni 2026 eingereicht und am folgenden Tag auf arXiv veröffentlicht (2606.20553).

NeuroImprint: Funktionsweise des Angriffs

PEFT (Parameter-Efficient Fine-Tuning) ist eine Technik, bei der nur eine kleine Anzahl zusätzlicher Parameter — Adapter — anstelle des gesamten Modells trainiert wird. In einer föderalen Umgebung senden Klienten aktualisierte Adapter an einen zentralen Server, der diese aggregiert und verteilt.

NeuroImprint nutzt genau diesen Aggregationspunkt aus. Ein bösartiger Parameterserver injiziert eine versteckte Hintertür direkt in die PEFT-Adapter, bevor er sie an die Klienten zurückgibt. Der kompromittierte Adapter „prägt” dann Repräsentationen von Trainingsbeispielen in die Modellgewichte ein, auf eine Weise, die durch Standard-Genauigkeitsmetriken nicht sichtbar ist.

Das Ergebnis: Ein Angreifer kann anschließend 59 bis 79 % aller Fine-Tuning-Beispiele mit hoher semantischer Treue rekonstruieren — Namen, Adressen, medizinische Aufzeichnungen, Rechtsdokumente — alles, was Klienten für das lokale Training verwendet haben.

Tests an vier Modellarchitekturen

Der Angriff wurde an einer repräsentativen Auswahl von Modellen validiert:

Modell	Architektur
BERT	Encoder
GPT-2	Decoder
Qwen2	Decoder (Alibaba)
Llama 3.2	Decoder (Meta)

Konsistente Ergebnisse über alle vier Architekturen hinweg zeigen, dass die Schwachstelle nicht für ein bestimmtes Design spezifisch ist, sondern ein strukturelles Merkmal des PEFT-Ansatzes in Kombination mit föderaler Aggregation darstellt.

Warum dies ein grundlegendes Problem ist

Im Gegensatz zu bisherigen Datenschutzangriffen, die die Modellnützlichkeit verschlechtern und damit sichtbar werden, behält NeuroImprint die normale Nützlichkeit bei. Das Modell antwortet korrekt auf Aufgaben, besteht Standard-Evaluierungen und zeigt keine Verhaltensanomalien — während es gleichzeitig still Rekonstruktionsmittel speichert.

Die Arbeit identifiziert eine grundlegende Spannung zwischen PEFT-Effizienz und föderaler Privatsphäre: Je kompakter und leichter teilbar die Adapter sind, desto einfacher ist es, einen versteckten Kanal zur Datenexfiltration einzubetten.

Implikationen für die Praxis

Organisationen, die föderales PEFT-Personalisierung nutzen — insbesondere im Gesundheitswesen, in der Rechtsbranche und im Finanzwesen — sollten zusätzliche Schichten zur Überprüfung der Adapter-Integrität, kryptografische Parameterverpflichtungen und heterogene Aggregationsprotokolle in Betracht ziehen, die verhindern, dass ein einzelner Server die Kontrolle über alle Klienten hat.