开篇故事去年秋天，我帮一家跨国银行做联邦学习平台的安全审计。他们的场景很典型：三家分行各自持有不同区域的客户交易数据，想联合训练一个反欺诈模型。方案用的是标准联邦学习——各分行本地训练，只上传梯度到中心服务器聚合。问题出在哪儿呢？一个实习生把梯度可视化后发现：从梯度反推原始数据并非天方夜谭。攻击者只要拿到几轮梯度，用梯度匹配攻击就能恢复出部分训练样本。比如，当某分行只有100条数据时，攻击者从梯度中能还原出超过30%的原始记录。银行CTO当场脸色铁青：“这不等于把客户数据裸奔了吗？”这就是联邦学习的“公开秘密”：梯度本身并不安全。你可能会说“我们用同态加密啊”，但同态加密的通信开销和计算延迟在金融级场景下往往不可接受。而TEE，恰好能在这里充当那个“可信的黑盒子”——让梯度在enclave内完成聚合，外界既看不到原始梯度，也拿不到聚合后的明文。痛点拆解常见错误：以为联邦学习=隐私保护很多开发者会写出这样的“伪隐私”代码：# 错误示例：裸梯度上传deffederated_avg