arXiv:2606.20553: NeuroImprint——連合ファインチューニングの隠れバックドアが訓練データの59–79%を再構築

連合プライバシーはPEFTアダプターに脆弱性を抱えています

連合学習（Federated Learning）の目的は、クライアントのプライベートデータを共有せずに言語モデルを訓練することです。しかし、バージニア工科大学とワシントン大学の研究者たち——Shanghao Shi率いる——は、PEFTアダプターのアーキテクチャそのものが全く新しい種類の攻撃への扉を開くことを示しました。

この論文は2026年6月18日に提出され、翌日arXivに公開されました（2606.20553）。

NeuroImprint：攻撃の仕組み

**PEFT（Parameter-Efficient Fine-Tuning）**は、モデル全体ではなく、少数の追加パラメーター——アダプター——のみを訓練する技術です。連合環境では、クライアントが更新されたアダプターを中央サーバーに送信し、サーバーがそれらを集約して配布します。

NeuroImprntはまさにその集約ポイントを悪用します。悪意のあるパラメーターサーバーは、クライアントに返す前にPEFTアダプターに直接隠れたバックドアを注入します。侵害されたアダプターは、標準的な精度指標では見えない方法で、訓練サンプルの表現をモデルの重みに「刷り込み」ます。

結果：攻撃者は後に**全ファインチューニングサンプルの59〜79%**を高い意味的忠実度で再構築できます——名前、住所、医療記録、法的文書——クライアントがローカル訓練に使用したすべてのものです。

4つのモデルアーキテクチャでのテスト

この攻撃は代表的なモデルのセットで検証されました：

モデル	アーキテクチャ
BERT	エンコーダー
GPT-2	デコーダー
Qwen2	デコーダー（Alibaba）
Llama 3.2	デコーダー（Meta）

4つのアーキテクチャ全体にわたる一貫した結果は、この脆弱性が特定の設計に固有のものではなく、連合集約と組み合わせたPEFTアプローチの構造的特性であることを示しています。

なぜこれが根本的な問題なのか

モデルのユーティリティを低下させることで可視化される従来のプライバシー攻撃とは異なり、NeuroImprntは通常のユーティリティを維持します。モデルはタスクに正確に応答し、標準評価に合格し、動作の異常を示しません——同時に再構築手段を静かに保存しています。

この論文は、PEFT効率と連合プライバシーの間の根本的な緊張関係を特定しています：アダプターがコンパクトで共有しやすいほど、データ流出のための隠れチャンネルを埋め込むことが容易になります。

実践への示唆

医療、法律、金融において連合PEFTパーソナライゼーションを使用する組織は、アダプターの整合性検証の追加レイヤー、暗号学的パラメーターコミットメント、および単一サーバーがすべてのクライアントを制御することを防ぐ異種集約プロトコルを検討すべきです。