[논문 리뷰] Meta Federated Learning

Omid Aramoon, Pin‐Yu Chen외 2명|arXiv (Cornell University)|2021. 02. 10.

Privacy-Preserving Technologies in Data인용 수 4

한 줄 요약

이 논문은 메타 페더레이티드 러닝(Meta-FL)을 제안하며, 안전한 집계를 통해 클라이언트 프라이버시를 유지하면서도 백도어 공격에 효과적으로 대응할 수 있는 새로운 페더레이티드 러닝 프레임워크이다. 라운드당 여러 개의 클라이언트 코hort를 훈련하고 그 업데이트를 안전하게 집계함으로써 Meta-FL는 모델 업데이트의 분산을 줄여 기존 방식(Krum, 좌표별 중앙값, 잘라내기 평균 등)의 강건성을 향상시키며, 특히 모델 대체 공격에 대한 저항력을 높인다.

ABSTRACT

Due to its distributed methodology alongside its privacy-preserving features, Federated Learning (FL) is vulnerable to training time adversarial attacks. In this study, our focus is on backdoor attacks in which the adversary's goal is to cause targeted misclassifications for inputs embedded with an adversarial trigger while maintaining an acceptable performance on the main learning task at hand. Contemporary defenses against backdoor attacks in federated learning require direct access to each individual client's update which is not feasible in recent FL settings where Secure Aggregation is deployed. In this study, we seek to answer the following question, Is it possible to defend against backdoor attacks when secure aggregation is in place?, a question that has not been addressed by prior arts. To this end, we propose Meta Federated Learning (Meta-FL), a novel variant of federated learning which not only is compatible with secure aggregation protocol but also facilitates defense against backdoor attacks. We perform a systematic evaluation of Meta-FL on two classification datasets: SVHN and GTSRB. The results show that Meta-FL not only achieves better utility than classic FL, but also enhances the performance of contemporary defenses in terms of robustness against adversarial attacks.

연구 동기 및 목표

• 현대 페더레이티드 러닝에서 중요한 개인정보 보호 프로토콜인 안전한 집계 하에서 백도어 공격에 대비하는 데에 미처 메워지지 않은 격차를 메운다.
• 기존 방어 기법이 개별 클라이언트 업데이트를 검사할 필요가 있다는 한계를 극복한다. 이는 안전한 집계 환경에서는 실현 불가능하다.
• 개인정보 보호 집계와 호환되는 프레임워크를 설계하여, 페더레이티드 러닝에서의 강건성-유틸리티 트레이드오���을 향상시킨다.
• 증가된 코hort 크기가 집계된 업데이트의 분산을 줄여 이에 따라 악성 업데이트 탐지 및 방어 성능 향상에 기여함을 입증한다.

제안 방법

• 라운드당 단일 코hort가 아닌 여러 상호배타적인 클라이언트 코hort를 훈련하는 페더레이티드 러닝 프레임워크인 Meta-FL를 도입한다.
• 안전한 집계(SecAgg)를 사용하여 서버로 전송되는 것은 클라이언트 수준의 프라이버시를 유지하는 코hort 수준의 집계값 뿐이다.
• 코hort 집계값의 분산이 감소함에 따라 Krum, 좌표별 중앙값, 잘라내기 평균과 같은 강건한 집계 규칙의 성능을 향상시킨다.
• 모든 프레임워크에서 집계 대상 수(기준 FL의 경우 개별 업데이트, Meta-FL의 경우 코hort 집계값)를 동일하게 맞추어 평가의 공정성을 확보한다.
• 시빌 클라이언트를 사용해 악성 클라이언트가 업데이트 크기를 조정하는 방식으로 안전한 집계 하에서 현실적인 백도어 공격을 시뮬레이션한다.
• 코hort 집계값에 표준 강건한 집계 기법(Krum, CWM, TM)을 적용하여 악성 업데이트를 탐지하고 완화한다.

실험 결과

연구 질문

• RQ1 안전한 집계가 구현된 환경에서 페더레이티드 러닝에서 백도어 공격을 효과적으로 방어할 수 있는가?
• RQ2 라운드당 여러 훈련 코hort를 사용할 경우 기존 방어 기법의 백도어 공격에 대한 강건성이 향상되는가?
• RQ3 코hort 집계값의 분산이 강건한 집계 규칙이 악성 업데이트를 탐지하는 데 미치는 영향은 어떠한가?
• RQ4 동일한 공격 조건 하에서 표준 페더레이티드 러닝에 비해 Meta-FL는 강건성-유틸리티 트레이드오플을 어느 정도 향상시키는가?
• RQ5 모델 대체 공격(악성 당사자가 전체 모델 업데이트를 대체하는 공격)은 안전한 집계 하에서도 방어 기법이 효과적인가?

주요 결과

• Meta-FL는 표준 FL 대비 나이브 공격 및 모델 대체 공격의 공격 성공률을 크게 낮춘다. 그림 3과 4에서 실선(Meta-FL)이 절댓선(기준 FL) 아래로 항상 위치함으로써 이를 확인할 수 있다.
• Krum은 코hort 집계값의 분산이 낮아지므로 Meta-FL에서 가장 큰 이점을 얻는다. 이는 정상 및 악성 업데이트를 더 효과적으로 분리할 수 있도록 한다.
• 코hort 크기를 5에서 15로 늘일 경우 집계값의 분산이 감소하여, 모든 공격 시나리오에서 Krum, CWM, 잘라내기 평균의 강건성이 향상되며, 특히 빈번한 시빌 공격 상황에서 두드러진다.
• RFA, 차별적 프라이버시, 노름 경계 설정과 같은 기법들은 백도어 공격, 특히 모델 대체 공격에 대해 제한적인 효과를 보이며, 이는 백도어 목적의 비모순성 때문이기도 하다.
• Meta-FL에서 이상치 탐지 기반 기법(CWM, TM 등)의 성능 향상은 정상 업데이트의 분포가 더 안정적이고 변동성이 적어졌기 때문으로 기인된다.
• Meta-FL는 유틸리티를 희생시키지 않고도 강건성을 향상시켜 동일 조건 하에서 표준 FL보다 정확도와 방어 효과 모두 뛰어난 성능을 달성한다.