[논문 리뷰] FL-WBC: Enhancing Robustness against Model Poisoning Attacks in Federated Learning from a Client Perspective

Jingwei Sun, Ang Li외 4명|arXiv (Cornell University)|2021. 10. 26.

Privacy-Preserving Technologies in Data참고 문헌 28인용 수 32

한 줄 요약

FL-WBC는 이미 글로벌 FL 모델을 오염시킨 모델 포이징을 완화하기 위한 클라이언트 측 방어를 도입하며, 인증된 강인성 보장과 FedAvg로의 수렴을 제공합니다.

ABSTRACT

Federated learning (FL) is a popular distributed learning framework that trains a global model through iterative communications between a central server and edge devices. Recent works have demonstrated that FL is vulnerable to model poisoning attacks. Several server-based defense approaches (e.g. robust aggregation), have been proposed to mitigate such attacks. However, we empirically show that under extremely strong attacks, these defensive methods fail to guarantee the robustness of FL. More importantly, we observe that as long as the global model is polluted, the impact of attacks on the global model will remain in subsequent rounds even if there are no subsequent attacks. In this work, we propose a client-based defense, named White Blood Cell for Federated Learning (FL-WBC), which can mitigate model poisoning attacks that have already polluted the global model. The key idea of FL-WBC is to identify the parameter space where long-lasting attack effect on parameters resides and perturb that space during local training. Furthermore, we derive a certified robustness guarantee against model poisoning attacks and a convergence guarantee to FedAvg after applying our FL-WBC. We conduct experiments on FasionMNIST and CIFAR10 to evaluate the defense against state-of-the-art model poisoning attacks. The results demonstrate that our method can effectively mitigate model poisoning attack impact on the global model within 5 communication rounds with nearly no accuracy drop under both IID and Non-IID settings. Our defense is also complementary to existing server-based robust aggregation approaches and can further improve the robustness of FL under extremely strong attacks.

연구 동기 및 목표

• 극단적인 모델 포이징 공격 하에서 서버 기반 방어의 강인성 격차를 제기한다.
• 새로운 지표(AEP)를 사용하여 포이즈닝이 글로벌 FL 모델에 미치는 장기적인 영향을 정량적으로 분석한다.
• 이미 오염된 글로벌 모델을 완화하기 위한 클라이언트 측 방어를 설계하고 이론적 보장을 제공한다.
• 표준 데이터셋에서 서버 기반 강인한 집계와의 효과 및 호환성을 FL-WBC로 입증한다.

제안 방법

• AEP(Attack Effect on Parameter)를 정의하여 글로벌 모델 파라미터에 대한 포이징 영향력을 측정한다.
• 라운드 간 잔여 공격 효과에 대한 형식적 추정기를 도출하고 왜 AEP가 해시안의 커널에 남아 있는지 식별한다.
• AEP를 교란하기 위해 양성 로컬 학습 중에 작은 진폭의 대각 해시안 요소를 섭동하여 제안한다.
• 확률적 Laplace 노이즈 섭동 행렬을 사용하여 Hessian 커널을 섭동하되 양성 작업 성능은 보전한다.
• FL-WBC가 적용될 때 FedAvg에 대해 인증된 강인성 보장과 수렴 보장을 제공한다.
• Fashion-MNIST와 CIFAR-10에 대해 IID 및 non-IID 설정하에서 실험을 수행하여 강인한 집계 및 DP 기준선과 비교한다.

실험 결과

연구 질문

• RQ1 극단적인 공격 하에서 모델 포이징이 글로벌 FL 모델에 어떻게 장기적인 흔적을 남기는가?
• RQ2 클라이언트 측 방어가 양성 작업 성능을 희생하지 않으면서 공격 효과가 지속되는 부분공간을 교란할 수 있는가?
• RQ3 FedAvg에 FL-WBC를 적용할 때 이론적 보장(강인성 및 수렴)은 무엇인가?
• RQ4 IID 및 non-IID 데이터 분포에서 서버 기반 방어를 FL-WBC가 어떻게 보완하는가?
• RQ5 표준 데이터셋에서 최첨단 표적화 포이징 공격에 대해 FL-WBC의 효과는 어느 정도인가?

주요 결과

• FL-WBC는 IID 설정 및 데이터셋에 따라 1-5 통신 라운드 이내에서 공격 영향력을 완화하고, 양성 정확도 손실은 최소화한다.
• 공격자의 포이징 효과는 AEP가 해시안의 커널에 위치해 있어 서버 방어가 접근할 수 없기 때문에 지속될 수 있다.
• FL-WBC는 AEP에 대한 인증된 강인성 보장과 FedAvg로의 수렴 보장을 제공한다.
• 단일 및 다수의 악의적 데이터 포인트 모두에서 포이징 완화에 있어 FL-WBC는 차등 프라이버시 기준선 및 강인한 집계보다 우수하다.
• FL-WBC는 CMA와 보완적이며 서버 기반 방어와 결합될 때 강인성을 향상시킨다.
• CMA와의 통합으로 FL-WBC를 더하면 IID 설정에서 1 라운드 내, non-IID 설정에서 5 라운드 내에 공격 영향이 거의 0에 가깝게 감소한다.