[논문 리뷰] Free-riders in Federated Learning: Attacks and Defenses

Jierui Lin, Min Du외 1명|arXiv (Cornell University)|2019. 11. 28.

Privacy-Preserving Technologies in Data참고 문헌 34인용 수 68

한 줄 요약

논문은 페ederated 학습에서 프리-라이더 공격을 정의하고, 가짜 기울기 업데이트를 식별하기 위한 STD-DAGMM 탐지기를 도입하며, 다양한 데이터 분포와 프라이버시 설정에서 무작위, 델타, 그리고 고급 델타 가중치 공격에 대한 방어를 평가한다.

ABSTRACT

Federated learning is a recently proposed paradigm that enables multiple clients to collaboratively train a joint model. It allows clients to train models locally, and leverages the parameter server to generate a global model by aggregating the locally submitted gradient updates at each round. Although the incentive model for federated learning has not been fully developed, it is supposed that participants are able to get rewards or the privilege to use the final global model, as a compensation for taking efforts to train the model. Therefore, a client who does not have any local data has the incentive to construct local gradient updates in order to deceive for rewards. In this paper, we are the first to propose the notion of free rider attacks, to explore possible ways that an attacker may construct gradient updates, without any local training data. Furthermore, we explore possible defenses that could detect the proposed attacks, and propose a new high dimensional detection method called STD-DAGMM, which particularly works well for anomaly detection of model parameters. We extend the attacks and defenses to consider more free riders as well as differential privacy, which sheds light on and calls for future research in this field.

연구 동기 및 목표

• 페더레이티드 러닝에서 프리-라이더 공격의 개념을 도입하고 보상 및 모델 유용성에 미치는 영향을 동기화한다.
• 가능한 가짜 그래디언트 공격을 특징짓고 기존 이상 탐지기(set anomaly detectors)를 사용한 탐지 가능성을 분석한다.
• 가짜 업데이트를 robust하게 탐지하기 위한 새로운 고차원 탐지 방법(STD-DAGMM)을 제안한다.
• 다양한 데이터 분포 및 프라이버시 고려사항(차등 프라이버시 포함) 하에서의 공격 방어를 평가한다.

제안 방법

• 로컬 데이터 학습 없이 가짜 그래디언트 업데이트를 제출하는 클라이언트로 프리-라이더를 정의한다.
• 무작위 가중치, 델타 가중치, 가우스 노이즈를 사용하는 고급 델타 가중치를 포함한 공격 전략을 개발하고 분석한다.
• 탐지 성능 향상을 위해 STD(표준편차)를 DAGMM에 도입하여 STD-DAGMM을 형성한다.
• 모델 업데이트 벡터에 대한 고차원 이상 탐지기로 DAGMM을 활용한다.
• 다양한 데이터 분포와 학습률에서 MNIST에 대한 탐지 성능을 실증적으로 평가하고 차등 프라이버시로의 확장을 논의한다.

실험 결과

연구 질문

• RQ1 프리-라이더 클라이언트가 페더레이티드 러닝에서 일반적인 탐지기로 회피하는 가짜 그래디언트 업데이트를 어떻게 구성할 수 있는가?
• RQ2 다양한 공격 전략 및 데이터 분포 하에서 고차원 이상 탐지기(DAGMM)와 제안된 STD-DAGMM의 가짜 업데이트 식별 성능은 어느 정도인가?
• RQ3 학습률, 데이터 이질성, 차등 프라이버시가 프리-라이더 공격의 탐지 가능성과 방어의 강건성에 어떤 영향을 미치는가?

주요 결과

• 무작위 가중치 공격은 오토인코더 탐지기로는 회피할 수 있지만 DAGMM에 의해 탐지되며, STD-DAGMM이 탐지를 더욱 강화한다.
• 델타 가중치 공격은 특정 설정에서 DAGMM을 회피할 수 있으나, STD-DAGMM은 학습률(η)과 데이터 분포 전반에서 여전히 효과적이다.
• STD-DAGMM은 Gaussian 노이즈를 가진 고급 델타 가중치를 포함한 프리-라이더를 일관되게 탐지하여 DASGMM 단독보다 모든 시나리오에서 더 나은 성능을 보인다.
• 차등 프라이버시는 공격 효과를 완화하고 탐지를 돕는 경향이 있어 DP가 공격 가능성과 방어에 미치는 영향을 시사한다.
• 다수의 프리-라이더와 다양한 비율에서 STD-DAGMM은 DAGMM보다 더 높은 AUC를 달성하나 모든 경우에서 모든 공격자를 완벽히 구분하는 임계값은 존재하지 않는다.