[論文レビュー] FLDetector: Defending Federated Learning Against Model Poisoning Attacks via Detecting Malicious Clients

Zaixi Zhang, Xiaoyu Cao+2 more|arXiv (Cornell University)|Jul 19, 2022

HIV, Drug Use, Sexual Risk被引用数 10

ひとこと要約

FLDetectorは、反復間におけるモデル更新の不一致を用いて、悪意あるクライアントを検出することで、フェデレーテッドラーニングをモデル汚染攻撃から防御する。履歴データを用いて予測された更新を計算し、コーシー平均値定理とL-BFGS最適化を用いて乖離を特定することで、高い検出精度を達成し、大規模な攻撃に対しても正確なグローバルモデルの学習が可能になる。

ABSTRACT

Federated learning (FL) is vulnerable to model poisoning attacks, in which malicious clients corrupt the global model via sending manipulated model updates to the server. Existing defenses mainly rely on Byzantine-robust FL methods, which aim to learn an accurate global model even if some clients are malicious. However, they can only resist a small number of malicious clients in practice. It is still an open challenge how to defend against model poisoning attacks with a large number of malicious clients. Our FLDetector addresses this challenge via detecting malicious clients. FLDetector aims to detect and remove the majority of the malicious clients such that a Byzantine-robust FL method can learn an accurate global model using the remaining clients. Our key observation is that, in model poisoning attacks, the model updates from a client in multiple iterations are inconsistent. Therefore, FLDetector detects malicious clients via checking their model-updates consistency. Roughly speaking, the server predicts a client's model update in each iteration based on its historical model updates using the Cauchy mean value theorem and L-BFGS, and flags a client as malicious if the received model update from the client and the predicted model update are inconsistent in multiple iterations. Our extensive experiments on three benchmark datasets show that FLDetector can accurately detect malicious clients in multiple state-of-the-art model poisoning attacks. After removing the detected malicious clients, existing Byzantine-robust FL methods can learn accurate global models.Our code is available at https://github.com/zaixizhang/FLDetector.

研究の動機と目的

• 多数のクライアントが悪意を持っている状況において、フェデレーテッドラーニングをモデル汚染攻撃から防御するという未解決の課題に対処すること。
• 実世界のFL設定ではしばしば入手不可能なクリーンな検証データセットに依存せずに、悪意あるクライアントを検出すること。
• グローバルモデルの集約前に悪意あるクライアントを除去することで、バシルティアン耐性があり、証明可能に耐性のあるFL手法の有効性を高めること。
• 適応的攻撃およびハイパーパラメータの変動に対して耐性を持つ検出メカニズムを開発すること。
• 高い非i.i.d.データ分布および多数の悪意あるクライアントが存在する状況でも、正確なグローバルモデルの学習を可能にすること。

提案手法

• FLDetectorは、複数のトレーニング反復にわたり、各クライアントからのモデル更新を監視して一貫性を評価する。
• L-BFGSに基づく最適化プロセスを用いて、履歴的な更新データから各クライアントの期待されるモデル更新を予測する。
• コーシー平均値定理を用いて、予測された更新と実際の更新の間の不一致を定量化し、不審スコアを計算する。
• 複数の反復にわたり一貫して高い不審スコアを示すクライアントは、悪意あるものとしてマークされる。
• サーバーは、検出された悪意あるクライアントを集約の前に除外することで、信頼性の高いグローバルモデルの学習を可能にする。
• 誤検出を最小限に抑え、ハイパーパラメータの変動に対しても安定性を保つように設計されているため、適応的攻撃に対しても耐性がある。

実験結果

リサーチクエスチョン

• RQ1 多数のクライアントが攻撃を受けた状況において、FLDetectorは悪意あるクライアントを正確に検出できるか？
• RQ2 検出メカニズムを狙った適応的モデル汚染攻撃に対して、FLDetectorは効果的か？
• RQ3 悪意あるクライアントが除外された場合、バシルティアン耐性のあるFL手法の性能は向上するか？
• RQ4 ウィンドウサイズやサンプリングレートなどのハイパーパラメータに、FLDetectorの感度はどの程度か？
• RQ5 データの非i.i.d.分布が、FLDetectorの検出精度にどのように影響するか？

主な発見

• FLDetectorは、CIFAR10、ImageNet、Fashion-MNISTにおいて、複数の最先端のモデル汚染攻撃に対して95％以上の検出精度を達成した。
• A Little is Enough 攻撃では、28体の悪意あるクライアントのうち26体を検出しており、攻撃成功確率は7.1％まで低下した。
• Krumの理論的耐性限界（例：30体以上）を超える悪意あるクライアントが存在する状況でも、FLDetectorは信頼性のあるFL手法が正確なグローバルモデルを学習可能にした。
• データ分布が極めて非i.i.d.（非i.i.d.度 > 0.5）であっても、FLDetectorは高い検出精度（DACC > 90％）を維持した。
• ハイパーパラメータに対して耐性がある：ウィンドウサイズ（N）とサンプリングレート（B）が異なる場合でも検出精度は安定しており、最適な性能はN=10、B=20で得られた。
• 検出された悪意あるクライアントが除外された後、グローバルモデルのテスト精度（TACC）は検出なしで学習したモデルと同等またはそれ以上であり、攻撃成功確率（ASR）は著しく低下した。