[論文レビュー] Honest Score Client Selection Scheme: Preventing Federated Learning Label Flipping Attacks in Non-IID Scenarios

Yanli Li, Huaming Chen+3 more|arXiv (Cornell University)|Nov 10, 2023

Privacy-Preserving Technologies in Data被引用数 5

ひとこと要約

本稿では、非IIDのフェデレーテッドラーニングにおけるラベル反転攻撃に対する防御を目的として、グローバルモデルのリスクと整合性に基づいてクライアントを選別するHonest Scoreクライアント選択（HSCS）方式を提案する。HSCSは、グローバルリスクとクライアントの正答率ベクトルの内積を用いてクライアントの誠実スコアを計算し、悪意あるクライアントを除外する。実験の結果、HSCSFLは非IID条件下におけるラベル反転攻撃に対しても高い耐性と精度を維持することが示された。

ABSTRACT

Federated Learning (FL) is a promising technology that enables multiple actors to build a joint model without sharing their raw data. The distributed nature makes FL vulnerable to various poisoning attacks, including model poisoning attacks and data poisoning attacks. Today, many byzantine-resilient FL methods have been introduced to mitigate the model poisoning attack, while the effectiveness when defending against data poisoning attacks still remains unclear. In this paper, we focus on the most representative data poisoning attack - "label flipping attack" and monitor its effectiveness when attacking the existing FL methods. The results show that the existing FL methods perform similarly in Independent and identically distributed (IID) settings but fail to maintain the model robustness in Non-IID settings. To mitigate the weaknesses of existing FL methods in Non-IID scenarios, we introduce the Honest Score Client Selection (HSCS) scheme and the corresponding HSCSFL framework. In the HSCSFL, The server collects a clean dataset for evaluation. Under each iteration, the server collects the gradients from clients and then perform HSCS to select aggregation candidates. The server first evaluates the performance of each class of the global model and generates the corresponding risk vector to indicate which class could be potentially attacked. Similarly, the server evaluates the client's model and records the performance of each class as the accuracy vector. The dot product of each client's accuracy vector and global risk vector is generated as the client's host score; only the top p\% host score clients are included in the following aggregation. Finally, server aggregates the gradients and uses the outcome to update the global model. The comprehensive experimental results show our HSCSFL effectively enhances the FL robustness and defends against the "label flipping attack."

研究の動機と目的

• 既存のByzantine耐性を持つFL手法が、非IID状況下でデータ汚染攻撃、特にラベル反転攻撃に対して脆弱であるという問題を解決すること。
• データ分布が非IIDであり攻撃が存在する状況で、現在のFL手法が耐性を維持できない理由を特定すること。
• 非IID環境下で悪意あるクライアントを効果的に検出・除外できるクライアント選択メカニズムを設計すること。
• 誠実スコアの計算と勾配集約を統合した実用的フレームワークHSCSFLを構築し、モデルの耐性を向上させること。

提案手法

• サーバーは、全クラスのモデル性能を監視できる、手動で収集されたクリーンな評価データセットを維持する。
• 各学習イテレーションにおいて、サーバーはグローバルモデルの各クラスごとの性能を評価し、グローバルリスクベクトルを計算する。
• 各クライアントのモデルは、同じ評価データセット上で評価され、各クラスごとのクライアント固有の正答率ベクトルが生成される。
• 各クライアントの誠実スコア（HS）は、グローバルリスクベクトルとクライアントの正答率ベクトルの内積として計算される。
• 各ラウンドにおいて、誠実スコアが上位 $p\%$ のクライアントのみが勾配集約に選ばれる。
• 選ばれたクライアントの勾配が平均化され、グローバルモデルが更新され、ラベル反転攻撃に対する耐性が向上する。

実験結果

リサーチクエスチョン

• RQ1 既存のByzantine耐性を持つFL手法は、非IIDデータ環境下でラベル反転攻撃に対してどの程度の性能を示すか？
• RQ2 なぜ現在のクライアント選択手法は、非IID状況下でラベル反転攻撃を防御できないのか？
• RQ3 クラスごとのパフォーマンスの整合性に基づくクライアント選択メカニズムは、非IIDフェデレーテッドラーニングにおける耐性を向上させることができるか？
• RQ4 誠実スコアは、非IID環境下でラベル反転攻撃が存在する状況で、悪意あるクライアントを効果的に特定できるか？
• RQ5 評価データセットの完全性が、HSCSFLフレームワークの耐性に与える影響は何か？

主な発見

• 既存のByzantine耐性を持つFL手法はIID環境下では耐性を維持するが、非IID状況下ではラベル反転攻撃に対して防御できない。
• HSCSFLフレームワークは、MNISTおよびFashion-MNISTデータセットにおける複数の非IID度合いに対して、ラベル反転攻撃を効果的に防御できた。
• HSCSFLは、高比率のラベル反転攻撃が存在する状況でも高いテスト精度を維持し、非IID環境下でベースライン手法を上回った。
• 誠実スコアメカニズムは、グローバルリスクベクトルとのパフォーマンスの不整合を検出することで、悪意あるクライアントを効果的に特定・除外した。
• 攻撃を受けるクラスがバイアスの掛かっているクラスに含まれない限り、評価データセットが部分的に汚染されてもフレームワークは耐性を保った。
• 攻撃を受けるクラスの評価データがクリーンな限り、HSCSFLフレームワークは誤検出や見逃しの影響を受けにくい。