[論文レビュー] FL-Defender: Combating Targeted Attacks in Federated Learning

Najeeb Jebreel, Josep Domingo‐Ferrer|arXiv (Cornell University)|Jul 2, 2022

Privacy-Preserving Technologies in Data被引用数 4

ひとこと要約

FL-Defender は、フェデレーテッドラーニングにおける標的攻撃（ラベルフリッピング攻撃やバックドア攻撃など）を検出・緩和する新しい防御手法であり、各ワーカー間の最終層勾配の角距離を分析することで実現する。PCAで圧縮された勾配類似度特徴を用い、重心からの逸脱度に基づいて更新を再重み付けすることで、最先端の攻撃成功確率低減を達成するとともに、モデルの精度を維持し、計算コストを最小限に抑える。

ABSTRACT

Federated learning (FL) enables learning a global machine learning model from local data distributed among a set of participating workers. This makes it possible i) to train more accurate models due to learning from rich joint training data, and ii) to improve privacy by not sharing the workers' local private data with others. However, the distributed nature of FL makes it vulnerable to targeted poisoning attacks that negatively impact the integrity of the learned model while, unfortunately, being difficult to detect. Existing defenses against those attacks are limited by assumptions on the workers' data distribution, may degrade the global model performance on the main task and/or are ill-suited to high-dimensional models. In this paper, we analyze targeted attacks against FL and find that the neurons in the last layer of a deep learning (DL) model that are related to the attacks exhibit a different behavior from the unrelated neurons, making the last-layer gradients valuable features for attack detection. Accordingly, we propose extit{FL-Defender} as a method to combat FL targeted attacks. It consists of i) engineering more robust discriminative features by calculating the worker-wise angle similarity for the workers' last-layer gradients, ii) compressing the resulting similarity vectors using PCA to reduce redundant information, and iii) re-weighting the workers' updates based on their deviation from the centroid of the compressed similarity vectors. Experiments on three data sets with different DL model sizes and data distributions show the effectiveness of our method at defending against label-flipping and backdoor attacks. Compared to several state-of-the-art defenses, FL-Defender achieves the lowest attack success rates, maintains the performance of the global model on the main task and causes minimal computational overhead on the server.

研究の動機と目的

• 非独立同分布（non-iid）データおよび高次元モデルを想定したフェデレーテッドラーニングにおける、巧妙な標的ポisons攻撃の検出に挑むこと。
• データ分布やワーカー行動に関する現実的でない仮定に依存する既存の防御手法の限界を克服すること。
• サーバーでの計算コストを最小限に抑えつつ、主タスクのグローバルモデル性能を維持する、強力でスケーラブルな防御を構築すること。
• モデル勾配に内在する、悪意ある行動を信頼性高く示す特徴を同定すること。

提案手法

• 各クライアントの最終層勾配間のワーカー単位の角度類似度を計算し、攻撃行動を示す方向的パターンを捉える。
• 主成分分析（PCA）を適用して類似度ベクトルを圧縮し、冗長な情報を除去することで特徴のロバスト性を向上させる。
• 圧縮された類似度ベクトルの重心を計算し、正常な挙動の基準を定義する。
• 各ワーカーのモデル更新を、その重心からの角距離の逸脱度に基づいて再重み付けし、外れ値をペナルティ化する。
• 再重み付けされた更新を FedAvg アグリゲーションプロセスに統合し、悪意ある寄与を緩和する。
• 歴史的な勾配パターンを用いて信頼スコアを動的に調整し、進化する攻撃戦略に対応する適応的防御を実現する。

実験結果

リサーチクエスチョン

• RQ1 深層学習モデルの最終層勾配方向は、フェデレーテッドトレーニング中に攻撃関連のニューロンと健全なニューロンを区別する明確なパターンを示すか？
• RQ2 データ分布やモデルサイズに関する仮定に依存せずに、勾配ベースの特徴をどのように設計すれば、標的ポisons攻撃を検出できるか？
• RQ3 高次元かつ非i.i.d.なフェデレーテッドラーニング環境において、PCAで圧縮された勾配類似度ベクトルは、検出のロバスト性をどの程度向上できるか？
• RQ4 重心からの角距離に基づく再重み付け機構は、悪意ある更新を効果的に抑制しつつ、健全なモデル性能を維持できるか？
• RQ5 多様な攻撃シナリオ下で、FL-Defender は最先端の防御手法と比較して、効率性と有効性の面で優れているか？

主な発見

• FL-Defender は、評価されたすべてのデータセットおよび攻撃タイプで、最小の攻撃成功確率を達成し、最先端の防御手法を上回った。
• MNIST-non-IID において4人の攻撃者を想定した場合、FL-Defender は攻撃成功確率を20.6%に低減（他の手法では100%）し、健全な精度は75.76%を維持した。
• CIFAR10-IID では、攻撃成功確率が12.00%、健全な精度が76.10%に達し、ベースラインを著しく上回った。
• CIFAR10-non-IID では、攻撃成功確率を38.35%に低減（他の手法と比べ顕著な改善）し、健全な精度は75.97%を維持した。
• サーバー側の実行時間は、FoolsGold と同等の水準であり、他の防御手法よりも顕著に低かった。
• 攻撃を受けていない例に対しても、FL-Defender は高いグローバルモデル性能を維持し、主タスクの精度を低下させることなく、強靭性を示した。