拆分学习泄露：把模型切两半「原始数据留在本地」，服务器仍能从中间激活重建你的输入
一句话摘要：拆分学习把模型从某层切成两半——客户端跑前几层、把中间激活（smashed data）发给服务器跑剩下的——常被说成「原始数据不出本地，所以隐私」。结论先行：这不等于私有。Feature-Space Hijacking Attack（Pasquini 等，CCS 2021）证明，恶意服务器能主动把拆分模型引导进不安全状态，从中间激活重建出客户端的私有训练输入（在 MNIST / Omniglot / CelebA 上重建图像）；UnSplit（Erdoğan 等，WPES@CCS 2022）更表明连诚实但好奇的服务器——只知客户端结构、不需主动干预——也能反演（MNIST / Fashion-MNIST / CIFAR-10 上重建 MSE ≈ 0.08–0.15）。别把「没传原始像素」当隐私。