[論文レビュー] FL-WBC: Enhancing Robustness against Model Poisoning Attacks in Federated Learning from a Client Perspective

Jingwei Sun, Ang Li+4 more|arXiv (Cornell University)|Oct 26, 2021

Privacy-Preserving Technologies in Data参考文献 28被引用数 32

ひとこと要約

FL-WBC は、既にグローバルFLモデルを汚染した状態のモデル poisoning を緩和するクライアントサイドの防御を導入し、認定済みの堅牢性保証とFedAvg への収束を提供します。

ABSTRACT

Federated learning (FL) is a popular distributed learning framework that trains a global model through iterative communications between a central server and edge devices. Recent works have demonstrated that FL is vulnerable to model poisoning attacks. Several server-based defense approaches (e.g. robust aggregation), have been proposed to mitigate such attacks. However, we empirically show that under extremely strong attacks, these defensive methods fail to guarantee the robustness of FL. More importantly, we observe that as long as the global model is polluted, the impact of attacks on the global model will remain in subsequent rounds even if there are no subsequent attacks. In this work, we propose a client-based defense, named White Blood Cell for Federated Learning (FL-WBC), which can mitigate model poisoning attacks that have already polluted the global model. The key idea of FL-WBC is to identify the parameter space where long-lasting attack effect on parameters resides and perturb that space during local training. Furthermore, we derive a certified robustness guarantee against model poisoning attacks and a convergence guarantee to FedAvg after applying our FL-WBC. We conduct experiments on FasionMNIST and CIFAR10 to evaluate the defense against state-of-the-art model poisoning attacks. The results demonstrate that our method can effectively mitigate model poisoning attack impact on the global model within 5 communication rounds with nearly no accuracy drop under both IID and Non-IID settings. Our defense is also complementary to existing server-based robust aggregation approaches and can further improve the robustness of FL under extremely strong attacks.

研究の動機と目的

• 極端なモデル Poisoning 攻撃下におけるサーバー側防御の堅牢性のギャップを動機づける。
• 新しい指標（AEP）を用いて、ポイズニングがグローバルなFLモデルに長期的に与える影響を定量的に分析する。
• すでに汚染されたグローバルモデルを緩和するクライアントサイド防御を設計し、理論的保証を提供する。
• 標準データセット上で、FL-WBC の有効性とサーバー側の堅牢な集約との適合性を示す。

提案手法

• グローバルモデルのパラメータに対するポイズニング影響を測定する Attack Effect on Parameter (AEP) を定義する。
• ラウンド間の残留攻撃影響の正式な推定量を導出し、なぜ AEP がヘシアンのカーネルに持続するかを特定する。
• 健全なローカルトレーニング中に小さな大きさの対角ヘッセ行列要素を摂動させて AEP を撹乱することで FL-WBC を提案する。
• ベネジンなタスクの性能を保ちながら、ヘessian カーネルを攪乱する確率的ラプラスノイズ摂動行列を用いる。
• FL-WBC を適用したときの FedAvg に対して認定された堅牢性保証と収束保証を提供する。
• Fashion-MNIST と CIFAR-10 を IID および non-IID 設定で実験し、堅牢な集約法および DP ベースラインと比較する。

実験結果

リサーチクエスチョン

• RQ1 極端な攻撃の下で、モデル poisoning はグローバルFLモデルにどのような長期的な痕跡を残すのか。
• RQ2 クライアントサイド防御は、健全なタスク性能を犠牲にすることなく、攻撃効果が持続する部分空間を攪乱できるか。
• RQ3 FL-WBC を FedAvg に適用した場合の理論的保証（堅牢性と収束性）は何か。
• RQ4 IID および non-IID データ分布の下で、FL-WBC はサーバー側防御をどのように補完するか。
• RQ5 標準データセット上で、最先端の標的型ポイズニング攻撃に対する FL-WBC の有効性はどれくらいか。

主な発見

• FL-WBC は IID 設定とデータセットに応じて1〜5通信ラウンドで攻撃影響を緩和し、健全な精度の低下は最小限。
• 攻撃者のポイズニング効果は AEP がヘシアンの核に存在するため持続する可能性がある。サーバー防御はそれへアクセスできない。
• FL-WBC は AEP の認定された堅牢性保証と FedAvg への収束保証を提供する。
• FL-WBC は単一および複数の悪意あるデータポイントの下で、差分プライバシーのベースラインと堅牢な集約を上回り、ポイズニングを緩和する。
• FL-WBC は CMA に補完的で、サーバー側防御と組み合わせると堅牢性を向上させる。