[論文レビュー] LoMar: A Local Defense Against Poisoning Attack on Federated Learning

Xingyu Li, Zhe Qu+4 more|arXiv (Cornell University)|Jan 8, 2022

Privacy-Preserving Technologies in Data被引用数 5

ひとこと要約

LoMar は、カーネル密度推定を用いてモデル更新の局所的統計的分布を分析することで、中毒攻撃を検出する二段階のローカル防御機構である。FG+Krum よりも優れた性能を示し、ラベル反転攻撃下で Amazon データセットにおいてターゲットラベルの正確性を 96.0% から 98.8% まで向上させる。

ABSTRACT

Federated learning (FL) provides a high efficient decentralized machine learning framework, where the training data remains distributed at remote clients in a network. Though FL enables a privacy-preserving mobile edge computing framework using IoT devices, recent studies have shown that this approach is susceptible to poisoning attacks from the side of remote clients. To address the poisoning attacks on FL, we provide a extit{two-phase} defense algorithm called {Lo}cal {Ma}licious Facto{r} (LoMar). In phase I, LoMar scores model updates from each remote client by measuring the relative distribution over their neighbors using a kernel density estimation method. In phase II, an optimal threshold is approximated to distinguish malicious and clean updates from a statistical perspective. Comprehensive experiments on four real-world datasets have been conducted, and the experimental results show that our defense strategy can effectively protect the FL system. {Specifically, the defense performance on Amazon dataset under a label-flipping attack indicates that, compared with FG+Krum, LoMar increases the target label testing accuracy from $96.0\%$ to $98.8\%$, and the overall averaged testing accuracy from $90.1\%$ to $97.0\%$.

研究の動機と目的

• リモートクライアントを損なう中毒攻撃によるフェデレーテッドラーニングの脆弱性に対処する。
• グローバルな異常検出手法の限界を克服するため、モデル更新分布のローカル特徴に基づく分析を導入する。
• グローバル距離メトリクスやByzantine耐性の仮定に依存せずに、悪意のある更新を同定する防御機構を開発する。
• 従来の検出手法を回避するのを目的とした制限付き中毒攻撃に対して、耐性を高める。

提案手法

• 段階 I において、LoMar は、カーネル密度推定を用いて、各モデル更新の k 個の最近傍の近傍における相対的密度を推定することで、それぞれの更新に対するローカル悪意要因（LMF）を計算する。
• この手法は、非パラメトリックなカーネル密度推定器を用い、与えられた更新が局所的なパrameter空間内でどれほど孤立しているか、または密集しているかを測定する。
• 段階 II において、LMF スコアに基づいて悪意のある更新と健全な更新を区別するための最適なしきい値を統計的に近似する。
• このアプローチは、McDiarmid の不等式を用いて、悪意のある更新の誤分類確率を理論的に境界づける。
• LMF は、平均局所密度とターゲット更新における密度の比として定義され、相対的な異常検出を可能にする。
• 防御は、更新がスコア付けされ、集約前にフィルタリングされるアグリゲーター側で実装される。

実験結果

リサーチクエスチョン

• RQ1 モデルパラメータ内の局所的統計的パターンは、フェデレーテッドラーニングにおける中毒攻撃を効果的に検出できるか？
• RQ2 局所的密度に基づく検出は、グローバル距離に基づく手法と比較して、悪意のある更新を同定する上でどのように異なるか？
• RQ3 LoMar は、既存の防御を回避する制限付き中毒攻撃に対して、どの程度防御できるか？
• RQ4 中毒攻撃の存在下で、ターゲットラベルの正確性と全体的なモデルパフォーマンスを最適化するには、どのしきい値設定が最適か？

主な発見

• 1-7 ラベル反転攻撃下の Amazon データセットにおいて、LoMar はターゲットラベルのテスト正確性を FG+Krum の 96.0% から 98.8% まで向上させた。
• 同じ攻撃下で、全体の平均テスト正確性は FG+Krum の 90.1% から LoMar では 97.0% まで向上した。
• 性能を最大化するための最適な ε しきい値は 1.0 であった。これより高いまたは低い値は、過剰または不十分なフィルタリングにより正確性を低下させる。
• この防御は、グローバルモデルを収束させながらも、グローバル異常検出手法では検出されない攻撃を効果的に緩和する。
• 理論的分析により、LMF スコアがきわめてタイトに境界づけられていることが確認され、異なるクライアント分布下でも信頼性の高い検出が保証される。
• 4 つの実世界データセットを用いた包括的な実験により、LoMar のロバストネスと最先端の防御手法に対する優位性が検証された。