[論文レビュー] Survey on Federated Learning Threats: concepts, taxonomy on attacks and defences, experimental study and challenges

Nuria Rodríguez-Barroso, Daniel Jiménez López+3 more|arXiv (Cornell University)|Jan 20, 2022

Adversarial Robustness in Machine Learning被引用数 9

ひとこと要約

本サーベイは、水平的、垂直的、およびフェデレーテッド転移学習を含むフェデレーテッドラーニング（FL）における悪意ある脅威について包括的な分析を提供し、攻撃と防御の統一的分類法を提示する。攻撃の強度と防御の耐性を比較する実験的評価を実施し、プライバシー、非IIDデータ、防御のトレードオフといった主要な課題を踏まえた、防御の選定に関する実用的ガイドラインを提示する。

ABSTRACT

Federated learning is a machine learning paradigm that emerges as a solution to the privacy-preservation demands in artificial intelligence. As machine learning, federated learning is threatened by adversarial attacks against the integrity of the learning model and the privacy of data via a distributed approach to tackle local and global learning. This weak point is exacerbated by the inaccessibility of data in federated learning, which makes harder the protection against adversarial attacks and evidences the need to furtherance the research on defence methods to make federated learning a real solution for safeguarding data privacy. In this paper, we present an extensive review of the threats of federated learning, as well as as their corresponding countermeasures, attacks versus defences. This survey provides a taxonomy of adversarial attacks and a taxonomy of defence methods that depict a general picture of this vulnerability of federated learning and how to overcome it. Likewise, we expound guidelines for selecting the most adequate defence method according to the category of the adversarial attack. Besides, we carry out an extensive experimental study from which we draw further conclusions about the behaviour of attacks and defences and the guidelines for selecting the most adequate defence method according to the category of the adversarial attack. This study is finished leading to meditated learned lessons and challenges.

研究の動機と目的

• フェデレーテッドラーニングにおけるモデル整合性とプライバシー攻撃を両方カバーする包括的サーベイが不足しているという問題に対処する。
• 水平的、垂直的、およびフェデレーテッド転移学習における悪意ある攻撃とそれに対応する防御メカニズムの包括的分類法を構築する。
• 攻撃の種別に基づいて適切な防御戦略を選定するための実用的ガイドラインを提供する。
• 共通のフレームワーク内で攻撃の強度と防御の耐性を評価する実験的研究を実施する。
• 将来のフェデレーテッドラーニングシステムのセキュリティを強化するための、オープンな課題と学びを特定する。

提案手法

• 攻撃の目的（モデル整合性、プライバシー漏洩）、攻撃表面（モデル重み、勾配、データ）、攻撃タイプ（回避、汚染、メンバー識別、モデル逆転）に基づく、多様な次元の悪意ある攻撃分類法を提案する。
• アプローチ別に分類された防御メカニズムの対応分類法を構築する：データフィルタリング、ノイズ注入、微分散別プライバシー、ロバストアグリゲーション、モデル正則化。
• ベンチマークFLデータセット上で代表的な攻撃（例：ラベル反転、データ汚染、モデル逆転）と防御（例：ロバストアグリゲーションを備えたFedAvg、DP-SGD、クライアントフィルタリング）を評価する標準化された実験フレームワークを実装する。
• 攻撃の有効性と防御の耐性を比較するため、テスト精度の低下やプライバシー漏洩（例：メンバー識別攻撃の成功率）といった指標を用いる。
• 非IIDデータ分布に適応した異常検出技術を活用し、データ分布の仮定に依存せずに悪意あるクライアントを特定する。
• 得られた知見を統合し、攻撃タイプとシステム制約に基づいた防御選定のための実用的ガイドラインを提示する。

実験結果

リサーチクエスチョン

• RQ1 フェデレーテッドラーニングの異なる変種（水平的、垂直的、フェデレーテッド転移学習）および攻撃目的に応じて、悪意ある攻撃を体系的に分類する方法は何か？
• RQ2 FLにおけるモデル整合性およびプライバシー保護攻撃を緩和するための最も効果的な防御メカニズムは何か？また、耐性とパフォーマンスへの影響の観点から、それらはどのように比較できるか？
• RQ3 既存の防御は、非IIDデータ環境下での多様な悪意ある脅威に対して、モデルの有用性を保ちながら効果的に機能するか？
• RQ4 非IID FL環境において、極端に偏ったが正当なデータ分布を持つクライアントと悪意あるクライアントを区別する際の主な課題は何か？
• RQ5 将来のFLシステムは、パーソナライゼーションや公平性といった特徴と並行して、セキュリティとプライバシーをネイティブに統合するようにどのように設計すべきか？

主な発見

• 実験的調査により、データ汚染攻撃がモデルの精度を著しく低下させることを確認した。ラベル反転攻撃では、非IID環境下でテスト精度が最大30%低下した。
• ロバストアグリゲーション（例：Krum、トリムドミーン）に基づく防御は、標準的なFedAvgに比べて汚染攻撃に対してより高い耐性を示したが、30%を超えるクライアントが悪意ある場合、性能が著しく低下した。
• 微分散別プライバシーに基づく防御は、メンバー識別攻撃の成功率を50%以上低下させたが、高密度のノイズ注入のため、モデル精度が10–15%低下した。
• クライアントフィルタリングと勾配に基づく異常検出を組み合わせることで、非IID環境下での防御耐性が向上したが、偏ったデータ分布を持つ正当なクライアントを除外するリスクがあった。
• あらゆる攻撃タイプに万能な防御は存在しない。最適なセキュリティを実現するには、攻撃タイプに応じて調整された複数の防御戦略を組み合わせる必要がある。
• 主な課題として、プライバシー保護とモデル有用性のトレードオフが残っている。特に、ノイズ追加がパフォーマンスに著しく悪影響を及げるDPのようなプライバシー保護防御において顕著である。