[論文レビュー] Client-side Gradient Inversion Against Federated Learning from Poisoning

Jiaheng Wei, Yanjun Zhang+6 more|arXiv (Cornell University)|Sep 14, 2023

Privacy-Preserving Technologies in Data被引用数 6

ひとこと要約

本稿では、サーバー制御や強い事前知識を必要としない、フェデレーテッドラーニングにおけるクライアント側勾配逆引き攻撃であるCGIを提案する。攻撃者は、特定のクラスの勾配を強調させるためにグローバルモデルを汚染することで、集約におけるその勾配を支配的にする。これにより、Byzantine耐性の高い集約ルールであっても、多様なデータ設定において一貫した成功が得られ、最小限の事前知識でプライベートなトレーニングデータを再構築可能となる。

ABSTRACT

Federated Learning (FL) enables distributed participants (e.g., mobile devices) to train a global model without sharing data directly to a central server. Recent studies have revealed that FL is vulnerable to gradient inversion attack (GIA), which aims to reconstruct the original training samples and poses high risk against the privacy of clients in FL. However, most existing GIAs necessitate control over the server and rely on strong prior knowledge including batch normalization and data distribution information. In this work, we propose Client-side poisoning Gradient Inversion (CGI), which is a novel attack method that can be launched from clients. For the first time, we show the feasibility of a client-side adversary with limited knowledge being able to recover the training samples from the aggregated global model. We take a distinct approach in which the adversary utilizes a malicious model that amplifies the loss of a specific targeted class of interest. When honest clients employ the poisoned global model, the gradients of samples belonging to the targeted class are magnified, making them the dominant factor in the aggregated update. This enables the adversary to effectively reconstruct the private input belonging to other clients using the aggregated update. In addition, our CGI also features its ability to remain stealthy against Byzantine-robust aggregation rules (AGRs). By optimizing malicious updates and blending benign updates with a malicious replacement vector, our method remains undetected by these defense mechanisms. To evaluate the performance of CGI, we conduct experiments on various benchmark datasets, considering representative Byzantine-robust AGRs, and exploring diverse FL settings with different levels of adversary knowledge about the data. Our results demonstrate that CGI consistently and successfully extracts training input in all tested scenarios.

研究の動機と目的

• サーバー制御や強い事前知識を必要としないクライアント側勾配逆引き攻撃のギャップを埋める。
• 主なトレーニングフレームワークを変更せず、モデル性能を劣化させずにクライアント側から勾配逆引きを可能にする手法を開発する。
• Byzantine耐性の高い集約ルール（AGRs）に検出されない攻撃を設計する。
• 攻撃者によるデータ分布の知識の程度（完全、準、なし）に応じた攻撃の有効性を評価する。
• セキュア集約、微分プライバシー、データ重複削除といった既存の防御の限界を分析する。

提案手法

• 攻撃者は、特定のターゲットクラスの損失を意図的に増大させる悪意あるモデルを訓練し、そのクラスのサンプルに対する勾配の大きさを増加させる。
• この汚染済みモデルを用いてグローバルモデルを更新することで、以降の集約においてターゲットクラスの勾配が支配的になる。
• 攻撃者はその後、集約されたグローバル更新を用いて勾配を逆引きし、他のクライアントのプライベートなトレーニングサンプルを再構築する。
• ステルス性を維持するため、攻撃的更新と健全な更新を置換ベクトルで混合し、ハイパーパrameterを調整して検出を回避する。
• バッチ正規化、データ分布の事前知識、モデルパラメータの操作を一切必要としない。
• 攻撃は、集約更新におけるターゲット勾配の優位性を測る損失ギャップ指標（$\mathcal{L}_{gap}$）を最適化することで実現される。

実験結果

リサーチクエスチョン

• RQ1 サーバー制御や強い事前知識がなくても、クライアント側の攻撃者が集約勾配からプライベートなトレーニングデータを再構築可能か？
• RQ2 Byzantine耐性の高い集約ルールが悪意ある更新を検出するように設計されていても、攻撃の有効性は保たれるか？
• RQ3 攻撃者がターゲットクラス以外のデータ分布の知識を持たない状況でも、攻撃は有効に機能するか？
• RQ4 損失ギャップ（$\mathcal{L}_{gap}$）が逆引き性能にどの程度影響を与えるか？
• RQ5 微分プライバシーやセキュア集約といった既存の防御は、このクライアント側勾配逆引き攻撃を緩和できるか？

主な発見

• CGIは、CIFAR-10、SVHN、Fashion-MNISTを含む、すべてのテストベンチマークデータセットでプライベートなトレーニングサンプルを再構築に成功。フェデレーテッドラーニングの多様な設定で有効である。
• 再構築品質が高く、PSNR値は損失ギャップ（$\mathcal{L}_{gap}$）が増加するにつれて上昇し、$\mathcal{L}_{gap} \approx 1$ のとき最適な性能に達する。
• CGIは高いステルス性を維持しており、悪意ある更新と健全な更新の効果的な混合により、Byzantine耐性の高い集約ルールに検出されない。
• 攻撃者はデータ分布の情報を持たない「知識なし」状況でも効果を発揮し、限定的な事前知識に強く対応していることが示された。
• 微分プライバシーやセキュア集約はCGIに対して無効である。攻撃は勾配の感度を増幅するのを狙っており、プライバシーを保つには現実的でない大きなノイズが必要となる。
• データ重複削除に基づく防御は失敗する。なぜなら、CGIはトレーニングサンプルの記憶に依存していないからである。