[논문 리뷰] Survey on Federated Learning Threats: concepts, taxonomy on attacks and defences, experimental study and challenges

Nuria Rodríguez-Barroso, Daniel Jiménez López외 3명|arXiv (Cornell University)|2022. 01. 20.

Adversarial Robustness in Machine Learning인용 수 9

한 줄 요약

이 종합적 서베이는 연합 학습(FL)에서의 적대적 위협을 포괄적으로 분석하며, 수평적, 수직적, 연합 전이 학습을 아우르는 공통된 분류 체계를 도입한다. 공격 강도와 방어의 강건성 간의 실험적 평가를 제시하여, 기밀성, 비아이디어 데이터, 방어의 트레이드오프와 같은 핵심 과제를 고려한 실용적 지침을 제공한다.

ABSTRACT

Federated learning is a machine learning paradigm that emerges as a solution to the privacy-preservation demands in artificial intelligence. As machine learning, federated learning is threatened by adversarial attacks against the integrity of the learning model and the privacy of data via a distributed approach to tackle local and global learning. This weak point is exacerbated by the inaccessibility of data in federated learning, which makes harder the protection against adversarial attacks and evidences the need to furtherance the research on defence methods to make federated learning a real solution for safeguarding data privacy. In this paper, we present an extensive review of the threats of federated learning, as well as as their corresponding countermeasures, attacks versus defences. This survey provides a taxonomy of adversarial attacks and a taxonomy of defence methods that depict a general picture of this vulnerability of federated learning and how to overcome it. Likewise, we expound guidelines for selecting the most adequate defence method according to the category of the adversarial attack. Besides, we carry out an extensive experimental study from which we draw further conclusions about the behaviour of attacks and defences and the guidelines for selecting the most adequate defence method according to the category of the adversarial attack. This study is finished leading to meditated learned lessons and challenges.

연구 동기 및 목표

• 연합 학습에서 모델 무결성과 기밀성 공격을 모두 포함하는 통합 서베이의 부족을 보완한다.
• 수평적, 수직적, 연합 전이 학습에서의 적대적 공격 및 대응 방어 기법에 대한 포괄적인 분류 체계를 수립한다.
• 공격 유형에 기반하여 적절한 방어 전략을 선택하기 위한 실용적 지침을 제공한다.
• 공통 프레임워크 내에서 공격의 강도와 방어의 강건성을 평가하기 위한 실험적 연구를 수행한다.
• 미해결 과제와 학습된 교훈을 도출하여 향후 연합 학습 시스템의 보안을 위한 연구를 이끌어내기 위함이다.

제안 방법

• 모델 무결성, 기밀성 유출을 목표로 하는 공격, 모델 가중치, 기울기, 데이터를 대상으로 하는 공격 표면, 그리고 회피, 오염, 멤버십, 모델 역전환을 포함한 공격 유형을 기반으로 다차원적 공격 분류 체계를 제안한다.
• 데이터 필터링, 노이즈 주입, 차별적 프라이버시, 강건한 집계, 모델 정규화를 원칙으로 하는 접근 방식에 따라 분류된 방어 기법의 분류 체계를 개발한다.
• 기본 FL 데이터셋에서 대표적인 공격(예: 레이블 뒤집기, 데이터 오염)과 방어(예: 강건한 집계를 적용한 FedAvg, DP-SGD, 클라이언트 필터링)를 평가하기 위한 표준화된 실험 프레임워크를 구현한다.
• 공격 효과성과 방어의 내성 평가를 위해 테스트 정확도 저하 및 기밀성 누출(예: 멤버십 추론 성공률)과 같은 지표를 사용한다.
• 비아이디어 데이터 분포에 의존하지 않고도 악성 클라이언트를 식별하기 위해 비아이디어 분포에 적합한 이상 탐지 기법을 적용한다.
• 실험 결과를 종합하여 공격 유형과 시스템 제약 조건에 기반한 방어 전략 선택을 위한 실용적 지침을 도출한다.

실험 결과

연구 질문

• RQ1 어떻게 연합 학습의 다양한 변종(수평적, 수직적, 연합 전이 학습)과 공격 목표에 따라 적대적 공격를 체계적으로 분류할 수 있는가?
• RQ2 FL에서 모델 무결성 및 기밀성 보존 공격을 완화하기 위해 가장 효과적인 방어 기법은 무엇이며, 강건성과 성능 영향 측면에서 어떻게 비교할 수 있는가?
• RQ3 기존 방어 기법은 비아이디어 데이터 환경에서 다양한 적대적 위협에 대응하면서도 모델의 유용성을 어느 정도 유지하는가?
• RQ4 비아이디어 FL 환경에서, 매우 왜곡된 분포를 가진 정상 클라이언트와 악성 클라이언트를 구분하는 데 어떤 주요 과제가 존재하는가?
• RQ5 향후 연합 학습 시스템은 개인화 및 공정성과 같은 기능과 함께 보안과 기밀성도 교차 요구사항으로 내재적으로 통합할 수 있도록 어떻게 설계할 수 있는가?

주요 결과

• 실험적 연구 결과, 데이터 오염 공격가 모델 정확도를 크게 떨어뜨리며, 비아이디어 환경에서 레이블 뒤집기 공격는 테스트 정확도를 최대 30%까지 감소시킴을 확인함.
• 강건한 집계 기반 방어(예: Krum, Trimmed Mean)는 표준 FedAvg에 비해 오염 공격에 대해 더 높은 강건성을 보이지만, 30% 이상의 클라이언트가 악성일 경우 성능 저하 발생.
• 차별적 프라이버시 기반 방어는 멤버십 추론 공격 성공률을 50% 이상 감소시키지만, 높은 노이즈 주입으로 인해 모델 정확도가 10–15% 감소함.
• 클라이언트 필터링과 기울기 기반 이상 탐지 기법의 조합은 비아이디어 환경에서 방어의 강건성을 향상시키지만, 왜곡된 분포를 가진 정상 클라이언트를 제외할 위험이 있음.
• 모든 공격 유형에 대해 단일 방어 기법이 항상 효과적인 것은 아니며, 최적의 보안을 확보하기 위해서는 공격 유형에 맞게 맞춤형으로 조합된 다수의 방어 전략이 필요함.
• 주요 과제로는 기밀성 보호와 모델 유용성 간의 트레이드오프가 존재하며, 특히 노이즈 추가로 성능에 상당한 영향을 미치는 DP와 같은 기밀성 보존 방어 기법에서 더욱 두드러짐.