[논문 리뷰] FL-Defender: Combating Targeted Attacks in Federated Learning

Najeeb Jebreel, Josep Domingo‐Ferrer|arXiv (Cornell University)|2022. 07. 02.

Privacy-Preserving Technologies in Data인용 수 4

한 줄 요약

FL-Defender는 피벗 학습에서 타겟 공격(예: 레이블 뒤집기 및 백도어 공격)을 탐지하고 완화하기 위해 최종 레이어 기울기 간의 각도 유사도를 분석하는 새로운 방식의 방어 기법이다. 주어진 기울기 유사도 특징을 PCA로 압축하여 중심에서의 이탈 정도에 따라 업데이트를 재가중함으로써, 최신 기술 대비 공격 성공률 감소를 달성하면서도 모델 정확도를 유지하고 서버의 계산 부담을 최소화한다.

ABSTRACT

Federated learning (FL) enables learning a global machine learning model from local data distributed among a set of participating workers. This makes it possible i) to train more accurate models due to learning from rich joint training data, and ii) to improve privacy by not sharing the workers' local private data with others. However, the distributed nature of FL makes it vulnerable to targeted poisoning attacks that negatively impact the integrity of the learned model while, unfortunately, being difficult to detect. Existing defenses against those attacks are limited by assumptions on the workers' data distribution, may degrade the global model performance on the main task and/or are ill-suited to high-dimensional models. In this paper, we analyze targeted attacks against FL and find that the neurons in the last layer of a deep learning (DL) model that are related to the attacks exhibit a different behavior from the unrelated neurons, making the last-layer gradients valuable features for attack detection. Accordingly, we propose extit{FL-Defender} as a method to combat FL targeted attacks. It consists of i) engineering more robust discriminative features by calculating the worker-wise angle similarity for the workers' last-layer gradients, ii) compressing the resulting similarity vectors using PCA to reduce redundant information, and iii) re-weighting the workers' updates based on their deviation from the centroid of the compressed similarity vectors. Experiments on three data sets with different DL model sizes and data distributions show the effectiveness of our method at defending against label-flipping and backdoor attacks. Compared to several state-of-the-art defenses, FL-Defender achieves the lowest attack success rates, maintains the performance of the global model on the main task and causes minimal computational overhead on the server.

연구 동기 및 목표

• 비독립 동일 분포(Non-IID) 데이터 및 고차원 모델 환경에서 침투성이 높은 타겟 공격을 탐지하는 데 도전하는 것.
• 기존 방어 기법들이 데이터 분포나 워커 행동에 대해 비현실적인 가정에 의존하는 한계를 극복하는 것.
• 전역 모델 성능은 유지하면서도 서버의 계산 비용을 최소화하는 강력하고 확장 가능한 방어 기법을 개발하는 것.
• 모델 기울기에서 악성 행동을 신뢰성 있게 나타내는 특징을 식별하는 것.

제안 방법

• 각 클라이언트의 최종 레이어 기울기 간의 각도 유사도를 계산하여 공격 행동을 나타내는 방향 패턴을 포착한다.
• 유사도 벡터를 압축하기 위해 주성분 분석(PCA)을 적용하여 중복 정보를 제거하고 특징의 강건성을 향상시킨다.
• 압축된 유사도 벡터의 중심을 계산하여 정상 행동의 기준을 정의한다.
• 각 워커의 업데이트를 중심으로부터의 각도 이탈 정도에 따라 재가중하여 이방성(아웃라이어)을 처벌한다.
• 재가중된 업데이트를 FedAvg 집계 과정에 통합하여 악성 기여를 완화한다.
• 역사적 기울기 패턴을 활용해 신뢰도 점수를 동적으로 조정함으로써 진화하는 공격 전략에 대응하는 적응형 방어를 구현한다.

실험 결과

연구 질문

• RQ1 딥 러닝 모델의 최종 레이어 기울기 방향이 피벗 학습 중에 공격 관련 뉴런과 정상 뉴런을 구분하는 특징 패턴을 드러내는가?
• RQ2 데이터 분포나 모델 크기 가정 없이 기울기 기반 특징을 어떻게 설계하여 타겟 공격을 탐지할 수 있는가?
• RQ3 고차원 및 Non-IID 피벗 학습 환경에서 PCA로 압축된 기울기 유사도 벡터가 탐지 강건성을 얼마나 향상시킬 수 있는가?
• RQ4 중심으로부터의 각도 이탈 기반 재가중 메커니즘이 악성 업데이트를 효과적으로 억제하면서도 정상 모델 성능을 유지할 수 있는가?
• RQ5 다양한 공격 시나리오에서 최신 기술 대비 FL-Defender의 효율성과 효과성은 어떠한가?

주요 결과

• FL-Defender는 평가된 모든 데이터셋과 공격 유형에서 가장 낮은 공격 성공률을 기록하며 최신 기술 대비 뛰어난 성능을 보였다.
• 4명의 공격자 존재 시 MNIST-Non-IID 환경에서 FL-Defender는 공격 성공률을 20.6%로 감소시켰다(기타 방법 대비 100% 대비). 정상 정확도는 75.76%를 유지했다.
• CIFAR10-IID 환경에서 FL-Defender는 공격 성공률 12.00%와 정상 정확도 76.10%를 기록하여 기준선 대비 뚜렷한 승리를 거두었다.
• CIFAR10-Non-IID 환경에서 FL-Defender는 공격 성공률을 38.35%로 낮추며 다른 방법들에 비해 뚜렷한 개선을 이룩했고, 정상 정확도 75.97%를 유지했다.
• 서버 측 실행 시간이 FoolsGold와 유사하고 다른 방어 기법들보다 훨씬 낮아 계산 오버헤드가 최소화되었다.
• 공격 당하지 않은 예측에 대해서도 전역 모델 성능을 높게 유지하여 주 작업 정확도를 떨어뜨리지 않으면서도 뛰어난 강건성을 입증했다.