[論文レビュー] Jamming Attacks on Federated Learning in Wireless Networks

Yi Shi, Yalin E. Sagduyu|arXiv (Cornell University)|Jan 13, 2022

Distributed Sensor Networks and Detection Algorithms被引用数 7

ひとこと要約

本稿は、無線ネットワークにおけるフェデレーテッドラーニング（FL）に対する新規の空中経路ジャミング攻撃を提案する。攻撃者は、局所モデルの精度と攻撃成功確率に基づいてクライアントを選別し、グローバルモデル性能の劣化を最大化する。この攻撃は、無線信号学習タスクにおける分類精度を顕著に低下させ、リソース制限のあるジャミング条件下におけるFLのセキュリティにおける深刻な脆弱性を露呈する。

ABSTRACT

Federated learning (FL) offers a decentralized learning environment so that a group of clients can collaborate to train a global model at the server, while keeping their training data confidential. This paper studies how to launch over-the-air jamming attacks to disrupt the FL process when it is executed over a wireless network. As a wireless example, FL is applied to learn how to classify wireless signals collected by clients (spectrum sensors) at different locations (such as in cooperative sensing). An adversary can jam the transmissions for the local model updates from clients to the server (uplink attack), or the transmissions for the global model updates the server to clients (downlink attack), or both. Given a budget imposed on the number of clients that can be attacked per FL round, clients for the (uplink/downlink) attack are selected according to their local model accuracies that would be expected without an attack or ranked via spectrum observations. This novel attack is extended to general settings by accounting different processing speeds and attack success probabilities for clients. Compared to benchmark attack schemes, this attack approach degrades the FL performance significantly, thereby revealing new vulnerabilities of FL to jamming attacks in wireless networks.

研究の動機と目的

• 無線ネットワーク上で実行されるジャミング攻撃がフェデレーテッドラーニングに与える影響を調査すること、特に共同スペクトラムセンシングの文脈において。
• 上行リンクおよび下行リンクのジャミング攻撃をモデル化・評価し、局所的およびグローバルなモデルアップデートの伝送を妨害すること。
• 制限された攻撃対象クライアント数の予算を考慮しながら、局所モデルの精度と攻撃成功確率の両方を考慮した最適なクライアント選択戦略を設計すること。
• クライアントの処理速度の変動や異種の攻撃成功確率を想定した動的設定への攻撃モデルの拡張。
• モデル精度や攻撃確率を無視するベンチマーク戦略と比較して、提案される攻撃方式の有効性を示すこと。

提案手法

• 攻撃者は複数のFLラウンドにわたりクライアントからの局所モデルアップデートを盗聴し、それらの局所モデルのグローバルモデルに対する精度を推定する。
• 上行リンクジャミングでは、$ p_i \left(d_i - \frac{\sum_j d_j}{N}\right) $ を最大化するようにクライアントを選別する。ここで $ d_i $ はクライアント $ i $ のモデルとグローバルモデルとの差異、$ p_i $ は攻撃成功確率を表す。
• 下行リンクジャミングでは、$ \frac{d_i}{p_i} $ を最小化するようにクライアントを選別し、モデルのずれが大きく攻撃成功確率が低いクライアントを優先することで影響を最大化する。
• 攻撃戦略は、推定されたモデル差異と攻撃確率に基づき、上行リンク／下行リンク攻撃のクライアントを動的に選別するアルゴリズム5によって実装される。
• 本手法は、異種のクライアント処理速度と変動する攻撃成功確率を考慮した一般化された攻撃モデルを扱う。
• 攻撃者は盗聴したモデルアップデートや観察されたクライアント行動を用いて、直接的なトレーニングデータへのアクセスなしにクライアントのモデルランクを推定する。

実験結果

リサーチクエスチョン

• RQ1 空中経路ジャミングは、特に共同スペクトラムセンシングの文脈において、無線ネットワーク上でのフェデレーテッドラーニングの性能にどのように影響を与えるか？
• RQ2 制限されたジャミング対象クライアント数の条件下で、グローバルモデル精度の劣化を最大限に抑えるクライアント選択戦略は何か？
• RQ3 モデル精度と攻撃成功確率が、FLに対するジャミング攻撃の有効性にどのように共同で影響を与えるか？
• RQ4 時間経過に伴う動的クライアント選択は、FLにおけるジャミング攻撃の性能を向上させるか？
• RQ5 本稿で提案する攻撃は、精度のみ、成功確率のみ、またはランダムにクライアントを選択するベンチマーク戦略と比較してどのように優れているか？

主な発見

• 提案されたジャミング攻撃は、無線信号分類タスクにおけるグローバルモデル精度を顕著に劣化させ、精度のみ、成功確率のみ、またはランダム選択に依存するベンチマーク手法を上回る。
• モデル精度と攻撃成功確率の両方を統合的に考慮した攻撃は、単一の基準に依存する手法よりも分類精度の低下をより効果的に実現する。
• 上行リンク攻撃戦略は、$ p_i(d_i - \sum_j d_j / N) $ が大きなクライアントを選別することで、精度や成功確率のみに依存する戦略よりも効果的である。
• 下行リンク攻撃戦略は、$ d_i / p_i $ が小さいクライアントを選別することで、ランダム選択や単一指標選択よりも優れた性能を達成する。
• 時間経過に伴う動的クライアント選択は攻撃性能を向上させないため、初期のモデル推定に基づく静的選択で十分であることが示された。
• クライアントの処理速度の違いや攻撃成功確率の変動があっても、攻撃は依然として高い有効性を示し、異種環境下での強靭性を示している。