[논문 리뷰] Free-rider Attacks on Model Aggregation in Federated Learning

Yann Fraboni, D. Acosta외 1명|arXiv (Cornell University)|2020. 06. 21.

Privacy-Preserving Technologies in Data참고 문헌 18인용 수 12

한 줄 요약

이 논문은 페더레이티드 러닝에서 클라이언트가 데이터 기여를 피하면서도 여전히 글로벌 모델을 수신하는 자유의자 공격에 대한 최초의 이론적 및 실험적 분석을 제시한다. 간단한 전략—예를 들어 매 라운드마다 글로벌 모델을 반환하는 것—이 정직한 클라이언트의 집계된 모델로 성공적으로 수렴할 수 있음을 보여주며, 정상적인 클라이언트 행동을 모방하는 확률적 파라미터 업데이트를 통해 탐지되지 않은 채로 수렴을 이룰 수 있는 위장된 자유의자 공격을 제안한다.

ABSTRACT

Free-rider attacks against federated learning consist in dissimulating participation to the federated learning process with the goal of obtaining the final aggregated model without actually contributing with any data. This kind of attacks is critical in sensitive applications of federated learning, where data is scarce and the model has high commercial value. We introduce here the first theoretical and experimental analysis of free-rider attacks on federated learning schemes based on iterative parameters aggregation, such as FedAvg or FedProx, and provide formal guarantees for these attacks to converge to the aggregated models of the fair participants. We first show that a straightforward implementation of this attack can be simply achieved by not updating the local parameters during the iterative federated optimization. As this attack can be detected by adopting simple countermeasures at the server level, we subsequently study more complex disguising schemes based on stochastic updates of the free-rider parameters. We demonstrate the proposed strategies on a number of experimental scenarios, in both iid and non-iid settings. We conclude by providing recommendations to avoid free-rider attacks in real world applications of federated learning, especially in sensitive domains where security of data and models is critical.

연구 동기 및 목표

• 모델 평균화(예: FedAvg, FedProx) 기반 페더레이티드 러닝에서 자유의자 공격의 가능성과 성공 조건을 조사한다.
• 자유의자 공격를 확률적 과정으로 형식화하여 이론적 수렴 보장을 도출한다.
• 자유의자가 iid 및 non-iid 환경에서 수렴 속도와 최종 모델 성능에 미치는 영향을 평가한다.
• 표준 이상치 기반 방어 기법을 회피할 수 있는 위장된 자유의자 공격 전략을 제안하고 분석한다.
• 데이터가 부족한 민감한 응용 분야에서 자유의자 공격에 대비한 실용적 권고 사항을 제공한다.

제안 방법

• 반복 과정을 모델링하는 파라미터 진화를 통해 페더레이티드 러닝을 확률적 과정으로 재정의한다.
• SGD의 연속 시간 근사를 사용하여 자유의자 수렴에 대한 이론적 조건을 유도한다.
• 공격자가 국지적 업데이트 없이 매 라운드마다 글로벌 모델을 반환하는 방식으로 단순한 자유의자 공격를 구현한다.
• 정상 클라이언트 행동을 모방하기 위해 글로벌 모델의 확률적 펄스를 사용하는 위장된 자유의자 공격를 설계한다.
• 다양한 자유의자 비율(예: 50%, 90%) 하에서 FedAvg 및 FedProx를 사용해 여러 데이터셋에서 실험을 수행한다.
• 수렴 속도, 손실 경로, 최종 정확도를 분석하여 공격 성공도와 모델 품질을 평가한다.

실험 결과

연구 질문

• RQ1 FedAvg/FedProx에서 자유의자가 정직한 클라이언트의 글로벌 모델로 수렴할 수 있는 이론적 조건는 무엇인가?
• RQ2 자유의자가 존재할 경우 페더레이티드 러닝의 수렴 속도와 최종 성능에 어떤 영향을 미치는가?
• RQ3 확률적 파라미터 업데이트를 사용하는 위장된 자유의자 공격 전략은 표준 이상치 기반 방어 기법에 의해 탐지될 수 있는가?
• RQ4 자유의자 비율을 다양하게 조절했을 때(예: 50% 대비 90%), 모델 수렴과 정확도에 어떤 영향을 미치는가?
• RQ5 non-iid 데이터 분포는 자유의자 공격의 효과성과 탐지 가능성에 어떤 영향을 미치는가?

주요 결과

• 매 라운드마다 글로벌 모델을 반환하는 단순한 자유의자 공격는 이론적 분석을 통해 정직한 클라이언트의 집계된 모델로 수렴함을 보장한다.
• 자유의자 비율이 50% 이하일 경우, 정직한 페더레이티드 러닝과 비교해 수렴 속도는 약간 느리지만 최종 모델 정확도는 유사하다.
• 자유의자 비율이 90%일 경우, 수렴 속도는 매우 느려지지만 여전히 정직한 클라이언트 학습의 변동성 범위 내의 정확도를 갖는 모델에 도달한다.
• 손실 경로는 클라이언트 수가 적을 경우 흔히 나타나는 '정점'을 보이지만, 파라미터 평균화의 정규화 효과로 인해 자유의자 공격 하에서는 이러한 정점의 크기가 작아진다.
• 학습 중 완전한 수렴이 이루어지지 않더라도 최종 모델 품질은 정직한 클라이언트 집계와 호환되며, 이는 평균화 과정의 강건성을 시사한다.
• 자유의자 공격는 업데이트가 정상적인 업데이트와 구분되지 않기 때문에 표준 이상치 탐지 메커니즘에 의해 탐지되지 않는다.