[論文レビュー] Fall of Empires: Breaking Byzantine-tolerant SGD by Inner Product Manipulation

Cong Xie, Oluwasanmi Koyejo+1 more|arXiv (Cornell University)|Mar 10, 2019

Privacy-Preserving Technologies in Data参考文献 10被引用数 70

ひとこと要約

本稿は内積操作が2つのビザンチン耐性を持つSGD防御法（座標ごとの中央値およびKrum）を破ることができることを示し、改訂されたビザンチン耐性定義を提案する。理論とCIFAR-10実験によって裏付けられている。

ABSTRACT

Recently, new defense techniques have been developed to tolerate Byzantine failures for distributed machine learning. The Byzantine model captures workers that behave arbitrarily, including malicious and compromised workers. In this paper, we break two prevailing Byzantine-tolerant techniques. Specifically we show robust aggregation methods for synchronous SGD -- coordinate-wise median and Krum -- can be broken using new attack strategies based on inner product manipulation. We prove our results theoretically, as well as show empirical validation.

研究の動機と目的

• ビザンチンワーカーに対する堅牢な分散SGDを動機づけ、既存の防御の限界を強調する。
• 新しい攻撃ベクトルとして内積操作を導入し、堅牢なアグリゲータを転覆させる可能性を示す。
• 新しい攻撃モデル下で座標ごとの中央値とKrumの脆弱性を理論的に分析する。
• DSSGDのビザンチン耐性定義を改訂し、その理論的および実証的含意を評価する。

提案手法

• ビザンチン勾配を敵対入力として用いたサーバー-ワーカDSSGD設定をモデル化する。
• 降下方向を反転させる内積操作攻撃を定義・形式化する。
• 特定の条件下で中央値とKrumが破れるという理論的結果を提供する。
• おもちゃの例とCIFAR-10のケーススタディを用いて脆弱性を illustrating する。
• DSSGDの改訂ビザンチン耐性定義を提案し、その含意を論じる。

実験結果

リサーチクエスチョン

• RQ1 内積操作が一般的な堅牢なアグリゲータの下で集約勾配を降下方向と反対に指向させることができるか。
• RQ2 座標ごとの中央値とKrumがDSSGD-Byzantine-tolerantであることを失敗させる条件は？
• RQ3 敵対的勾配がビザンチン耐性を持つDSSGD手法の収束保証にどう影響するか。
• RQ4 分散SGDのロバスト性をより適切に捉える改訂されたビザンチン耐性定義は何か。

主な発見

• 内積操作は特定の設定下で座標ごとの中央値をDSSGD-Byzantine-tolerantにできなくする。
• 大規模な設定で小さな正の攻撃量でもKrumを破ることができ、降下方向を負にする。
• 堅牢なアグリゲータの従来の距離界限保証は正しい降下方向を保証しない。
• CIFAR-10の実験では、MedianとKrumが巧妙なビザンチン攻撃下で進歩を維持できないことを示す。
• 最適化中のロバスト性をより良く反映する改訂されたDSSGDビザンチン耐性定義を提案する。
• 本論文は攻撃の理論的証明と経験的検証の双方を提供する。