梯度泄漏攻击（gradient leakage attack）指的是：攻击者只拿到你上传的模型梯度，就能把生成这份梯度的原始训练样本大致还原出来——图像、文本、医疗记录都可能。
梯度为什么会"漏"
训练时，数据算出损失（loss），损失对参数求导得到梯度（gradient），告诉优化器"往哪调、调多少"。关键在于：梯度是数据的函数。不同样本产生的梯度几乎不会相同，所以这串数字里带着输入的指纹。
打个比方：你没看到石头，只看到雕刻家每一刀的落点和力度，仍有可能反推出石头里原本藏着什么形状。梯度就是那串"落刀记录"。
攻击怎么发生
攻击者先拿到模型结构和本轮更新前的参数（在联邦学习里这些往往公开或可推），然后拿一张随机噪声当"假样本"，算出它的梯度，再不断微调这张假样本，让它的梯度逼近你上传的真实梯度。梯度对齐了，假样本也就收敛成了你的原图，常常接近像素级。
和几个邻居的区别
| 攻击方式 | 攻击者拿到什么 | 得到什么 |
|---|---|---|
| 梯度泄漏 | 客户端上传的梯度 | 重建出样本内容 |
| 成员推断（membership inference） | 模型输出 | 只回答"这条数据在不在训练集" |
| 模型反演（model inversion） | 训练好的模型 | 恢复某类数据的典型特征，如人脸"平均脸" |
梯度泄漏最"重"：它不是判断，而是还原。
联邦学习为什么也中招
联邦学习（federated learning）的口号是"数据不出本地，只上传梯度"。但梯度恰恰是本地数据算出来的。当参与方少、每轮批量小（比如手机端一轮只贡献一张照片）、模型足够大、轮数足够多时，重建质量会明显变好。同一批里样本越多，梯度越像"多人混音"，越难拆开。
常见防护有三类：安全聚合（secure aggregation），让服务器只能看到各方梯度之和，看不到单个客户端的梯度；差分隐私（differential privacy），上传前裁剪幅度并加噪声；以及增大本地批量、减少暴露次数。这些都有精度代价，具体参数与支持情况请以各框架官方文档为准。
对从业者和普通人的意义
别把"只传梯度"当成隐私合规的终点。设计联邦方案时先问三句：单次梯度里混了几条样本？服务器能否看到个体梯度？有没有加噪或安全聚合？
对普通人来说，当某个 App 说"数据不离开手机，只上传模型更新"，这在工程上通常成立，但它不等于"无法据此反推出你的数据"。隐私承诺看的是完整链路，不是一句口号。