[論文レビュー] Learning to Detect Malicious Clients for Robust Federated Learning

Suyi Li, Yong Cheng+3 more|arXiv (Cornell University)|Feb 1, 2020

Privacy-Preserving Technologies in Data参考文献 24被引用数 185

ひとこと要約

本論文は、連邦学習における悪意のあるクライアント更新を識別し除去するためのサーバー上のスペクトル異常検出フレームワークを提案し、非標的（Byzantine）攻撃と標的型（バックドア）攻撃の双方に対して防御します。

ABSTRACT

Federated learning systems are vulnerable to attacks from malicious clients. As the central server in the system cannot govern the behaviors of the clients, a rogue client may initiate an attack by sending malicious model updates to the server, so as to degrade the learning performance or enforce targeted model poisoning attacks (a.k.a. backdoor attacks). Therefore, timely detecting these malicious model updates and the underlying attackers becomes critically important. In this work, we propose a new framework for robust federated learning where the central server learns to detect and remove the malicious model updates using a powerful detection model, leading to targeted defense. We evaluate our solution in both image classification and sentiment analysis tasks with a variety of machine learning models. Experimental results show that our solution ensures robust federated learning that is resilient to both the Byzantine attacks and the targeted model poisoning attacks.

研究の動機と目的

• モデルを劣化させるまたは毒性化させる悪意あるクライアント更新に対処することで、堅牢な連邦学習を動機づける。
• 低次元埋め込みで悪意のある更新を検出するスペクトル異常検出フレームワークを提案する。
• 悪意ある更新を検出して除去することが、タスクやモデルを超えて堅牢な性能をもたらすことを示す。

提案手法

• 変分オートエンコーダ（VAE）を用いてモデル更新を低次元潜在空間に埋め込む。
• 公開データを用いて正規（偏りのない）更新でVAEを訓練し、再構成誤差に基づく異常検出を可能にする。
• ラウンドごとにサーバーで動的閾値設定を適用し、捨てるべきクライアント更新を決定する。
• 局所データサイズに基づくFedAvg風の重みづけで良性な更新のみを集約する。
• 悪意ある更新の影響を線形モデル解析（定理1）で理論的直観を提供する。
• 画像分類と感情分析タスクにおいて標準防御法（GeoMed、Krum）と比較評価する。

実験結果

リサーチクエスチョン

• RQ1 非 IIDデータ下で、スペクトル異常検出はFLの悪意のある更新と善意の更新を識別できるか？
• RQ2 悪意ある更新を検出して除去することは、アーキテクチャやデータセットを超えて非標的およびバックドア攻撃に対する堅牢性を向上させるか？
• RQ3 提案手法は実際に既存のByzantine耐性アグリゲータとどのように比較されるか？

主な発見

• 提案手法は、MNIST、FEMNIST、Sentiment140全体で、符号反転、加法ノイズ、バックドア攻撃に対してベースラインより高い堅牢性を示す。
• 検出モデルは善人クライアントと悪意のあるクライアントを区別する際に高いF1スコアを達成する（F1: FEMNIST 1.00/0.97/0.87; MNIST 1.00/0.99/1.00; Sentiment140 1.00/1.00/0.93）。
• 再構成誤差に基づく動的閾値設定により、ラウンドごとの手動調整なしで悪意ある更新の効果的な除去を可能にする。
• このアプローチはFedAvgに近い収束特性を保ちつつ、敵人に対する標的型防御を提供する。
• KrumやGeoMedと比較して、提案手法は複数のデータセットで標的型バックドア攻撃に対するより強力な保護を提供する。