[論文レビュー] Abnormal Client Behavior Detection in Federated Learning

Suyi Li, Yong Cheng+3 more|arXiv (Cornell University)|Oct 22, 2019

Privacy-Preserving Technologies in Data参考文献 29被引用数 111

ひとこと要約

この論文は、連合学習における異常なクライアント更新を識別し、悪意あるクライアントを排除するためのオートエンコーダを用いたサーバーサイドの異常検知アプローチを提案し、防御ベースの手法より精度を向上させている。

ABSTRACT

In federated learning systems, clients are autonomous in that their behaviors are not fully governed by the server. Consequently, a client may intentionally or unintentionally deviate from the prescribed course of federated model training, resulting in abnormal behaviors, such as turning into a malicious attacker or a malfunctioning client. Timely detecting those anomalous clients is therefore critical to minimize their adverse impacts. In this work, we propose to detect anomalous clients at the server side. In particular, we generate low-dimensional surrogates of model weight vectors and use them to perform anomaly detection. We evaluate our solution through experiments on image classification model training over the FEMNIST dataset. Experimental results show that the proposed detection-based approach significantly outperforms the conventional defense-based methods.

研究の動機と目的

• モデルの品質とプライバシーを守るために、連合学習における異常（Byzantine）クライアントを検出する必要性を動機づける。
• オートエンコーダベースの再構成誤差から導出される異常スコアを用いる検出ベースのフレームワークを提案する。
• 収束を保ちながら、異常なクライアントのウェイトを下げたり排除したりするクレジットスコアを用いた集約を可能にする。
• 非iid連合設定において、検出ベースの手法が従来の防御ベースのアプローチを上回ることを示す。

提案手法

• 各クライアントに、その異常スコアと局所データサイズに基づいてクレジットスコアを割り当てる。
• FedAvgのデータ重み付け項を、各ラウンドのクレジット項 alpha_t+1^k に置換して集約を導く。
• サーバーで事前学習済みのオートエンコーダを用いて、クライアントの重み更新の低次元サロゲートから異常スコアを計算する。
• 高次元のモデル重みに次元削減を適用して、オートエンコーダの代替入力を形成する。
• 再構成誤差と正規化項から異常スコア A_t+1^k を計算する（Eq. 5）。
• 疑わしい異常クライアントの寄与を厳格に制限するために、異常スコアを任意でしきい値設定する。

実験結果

リサーチクエスチョン

• RQ1 サーバーサイドのオートエンコーダベース異常検知は、異常な連合学習クライアントを識別するうえでどれほど効果的か。
• RQ2 非 iid データとさまざまな攻撃の下で、異常ベースのクレジットスコアを組み込むことが、従来の防御ベース手法と比べて集約性能を改善するか。
• RQ3 次元削減が検出の有効性と計算実現可能性に与える影響はどの程度か。
• RQ4 ターゲット攻撃下で、GeoMed、Krum、Trimmed Mean などの防御ベースベースラインと比較して、検出ベースのアプローチの性能はどうか。

主な発見

• 検出ベースの手法は、評価された攻撃全体で防御ベースの方式を上回る。
• 異常スコアを硬い閾値でしきい値設定することで、協調学習モデルは攻撃者なしのFedAvgとほぼ同等に近づく。
• 符号反転攻撃の下で、提案手法は実験においてGeoMedより10%以上のモデル精度向上を示した。
• 本手法は高次元のモデル重みを扱うために、次元削減を用いたオートエンコーダベースの異常検知を利用する。
• FEMNISTの実験は、1ラウンドあたり3,500人のライターと20の選択クライアントを持つ非iid連合設定で手法が機能することを示した。
• 閾値設定とクレジットスコアによる集約は、悪意のあるまたは機能不全のクライアントに対して堅牢な防御を提供する。