[論文レビュー] Ensemble Federated Adversarial Training with Non-IID data

Shuang Luo, Didi Zhu+2 more|arXiv (Cornell University)|Oct 26, 2021

Adversarial Robustness in Machine Learning参考文献 23被引用数 4

ひとこと要約

本稿では、非IIDのフェデレーテッドラーニング環境において、クライアント間で生成された多様な adversarial 例を活用することで、モデルのロバスト性を向上させる、新しい手法である Ensemble Federated Adversarial Training (EFAT) を提案する。クライアント同士が他のクライアントのパブリックデータから得た adversarial 例を交換・アンサンブルすることで、一般化性能が向上し、CIFAR10 において PGD 攻撃下でベースライン比最大28%高いロバスト精度を達成する。

ABSTRACT

Despite federated learning endows distributed clients with a cooperative training mode under the premise of protecting data privacy and security, the clients are still vulnerable when encountering adversarial samples due to the lack of robustness. The adversarial samples can confuse and cheat the client models to achieve malicious purposes via injecting elaborate noise into normal input. In this paper, we introduce a novel Ensemble Federated Adversarial Training Method, termed as EFAT, that enables an efficacious and robust coupled training mechanism. Our core idea is to enhance the diversity of adversarial examples through expanding training data with different disturbances generated from other participated clients, which helps adversarial training perform well in Non-IID settings. Experimental results on different Non-IID situations, including feature distribution skew and label distribution skew, show that our proposed method achieves promising results compared with solely combining federated learning with adversarial approaches.

研究の動機と目的

• 非IIDデータ分布下におけるフェデレーテッドラーニングモデルのブラックボックス攻撃に対する脆弱性を解消すること。
• 中央集権的なデータや完全なモデル知識に依存せずに、フェデレーテッドラーニングにおける adversarial ロバスト性を向上させること。
• 分散クライアント間で生成された adversarial 例を活用することで、adversarial 訓練データの多様性を高めること。
• クリーンデータおよび adversarial テスト条件下でも高い精度を維持する実用的でスケーラブルな防御メカニズムを開発すること。

提案手法

• クライアントは共有されたグローバルモデルと、ローカルな adversarial 例生成に使用するパブリックデータの一部を初期化する。
• 各クライアントは、指定された摂動バウンドを用いて、ローカルパブリックデータ上で PGD を用いた攻撃により adversarial 例を生成する。
• クライアント同士が生成したローカル adversarial 例を交換し、多様な adversarial 訓練データのアンサンブルを構築する。
• 各クライアントは、自らのプライベートデータ、ローカルパブリックデータ、および他のクライアントから受け取った adversarial 例を用いて、アンサンブル adversarial 訓練を実行する。
• 中央サーバーでは、クライアントの更新を FedAvg アルゴリズムで集約し、ラウンド間でのモデル整合性を維持する。
• 本手法は、各クライアントを同時に防御者（ロバストモデルの訓練）と攻撃者（他のクライアントのための adversarial 例の生成）として扱い、データの多様性を向上させる。

実験結果

リサーチクエスチョン

• RQ1 データ分布がクライアント間で著しく異なる非IIDフェデレーテッドラーニング環境において、adversarial 訓練を効果的に拡張できるか？
• RQ2 クライアント間で adversarial 例を交換することで、ローカルのみの adversarial 訓練に比べてモデルのロバスト性が向上するか？
• RQ3 クライアント間で生成された adversarial 例の多様性が、クライアントモデルの一般化性能およびロバスト性に与える影響は何か？
• RQ4 フェデレーテッドラーニングにおけるアンサンブル adversarial 訓練は、ブラックボックス攻撃下で顕著にロバスト精度を向上させつつ、クリーンテスト精度を高い水準で維持できるか？

主な発見

• CIFAR10 において 5% の非IIDスケーリングがかかる条件下で、EFAT は PGD-20 攻撃下で 71.48% のロバストテスト精度を達成し、ベースラインより 24%～27% 高かった。
• より高い摂動バウンド（ε_test = 16/255）の条件下でも、EFAT は EFNT+AT より 13%～28%、ベースラインより 5%～8% のロバスト精度のギャップを維持した。
• α を 5% から 10% に引き上げた際、EFAT はクリーンテスト精度およびロバストテスト精度の両方を向上させ、精度とロバスト性のバランスの取れたトレードオフを示した。
• EFNT はすべての手法の中で最高のクリーンテスト精度を達成したが、より大きな ε_test 条件ではロバスト精度が著しく低下しており、アンサンブル訓練の必要性を浮き彫りにした。
• 特徴量およびラベルの分布スケーリングを含むさまざまな非IID設定において一貫した優位性を示し、Digit-Five および CIFAR10 データセットの両方で確認された。
• EFNT や EFNT+AT よりも、すべての評価シナリオで EFAT が優れた性能を示し、クライアント間での adversarial 例の交換がモデルの一般化性能およびロバスト性を向上させることを確認した。