[논문 리뷰] Federated Learning in Adversarial Settings

Raouf Kerkouche, Gergely Ács외 1명|arXiv (Cornell University)|2020. 10. 15.

Privacy-Preserving Technologies in Data참고 문헌 35인용 수 5

한 줄 요약

이 논문은 모델 파라미터당 한 비트만 전송함으로써 대역폭을 효율적으로 사용하는 SignFed를 제안한다. SignFed는 서명 기반 양자화를 사용하여 뒷통수 공격 및 모델 열화 공격에 대한 강건성을 향상시킨다. 또한 DP-SignFed라는 차별적 비밀유지(variant)를 도입하여 클라이언트 수준의 프라이버시를 보장하지만, 이는 강력한 프라이버시가 악성 업데이트를 가림으로써 악성 공격에 대한 저항력을 감소시키는 트레이드오프를 수반한다.

ABSTRACT

Federated Learning enables entities to collaboratively learn a shared prediction model while keeping their training data locally. It prevents data collection and aggregation and, therefore, mitigates the associated privacy risks. However, it still remains vulnerable to various security attacks where malicious participants aim at degrading the generated model, inserting backdoors, or inferring other participants' training data. This paper presents a new federated learning scheme that provides different trade-offs between robustness, privacy, bandwidth efficiency, and model accuracy. Our scheme uses biased quantization of model updates and hence is bandwidth efficient. It is also robust against state-of-the-art backdoor as well as model degradation attacks even when a large proportion of the participant nodes are malicious. We propose a practical differentially private extension of this scheme which protects the whole dataset of participating entities. We show that this extension performs as efficiently as the non-private but robust scheme, even with stringent privacy requirements but are less robust against model degradation and backdoor attacks. This suggests a possible fundamental trade-off between Differential Privacy and robustness.

연구 동기 및 목표

• 악성 환경에서 안전하고, 프라이버시 보장이 되며, 효율적인 페더레이티드 러닝의 증가하는 수요를 충족시키기 위해.
• 극단적 양자화를 통해 모델 업데이트의 대역폭을 줄임으로써 페더레이티드 러닝에서 높은 통신 비용을 완화하기 위해.
• 악성 클라이언트 존재 하에서 모델 열화 및 뒷통수 공격에 대한 강건성을 향상시키기 위해.
• 모델 유틸리티를 훼손하지 않으면서도 증명 가능한 클라이언트 수준의 차별적 비밀유지를 제공하기 위해.
• 페더레이티드 러닝에서 차별적 비밀유지와 강건성 사이의 기본적인 트레이드오프를 조사하기 위해.

제안 방법

• 모델 업데이트의 부호만 전송함으로써 signSGD를 페더레이티드 러닝에 적응시켜 대역폭을 32배 줄였다.
• 각 라운드에서 랜덤 클라이언트 샘플링을 사용하여 강건성을 향상시키고, 상행 통신을 줄이며 불확실성으로 인해 프라이버시를 향상시켰다.
• 클라이언트당 단일 스텝 signSGD보다 더 높은 수렴성과 효율성을 위해 다중 로컬 SGD 스텝을 허용했다.
• 연속적인 노이즈보다 통신 비용이 낮은 이산화된 분포된 가우시안 메커니즘을 도입하여 차별적 비밀유지를 위한 노이즈 생성을 수행했다.
• 개별 데이터를 보호하면서도 글로벌 모델 유틸리티를 유지하는 것을 목표로, 노이즈를 모델 업데이트에 추가하는 차별적 비밀유지 확장(DP-SignFed)을 설계했다.
• 기본 가정 하에 SignFed 및 DP-SignFed의 수렴 속도 분석과 이론적 경계 증명을 수행했다.

실험 결과

연구 질문

• RQ1 서명 기반 업데이트를 통한 극단적 양자화는 페더레이티드 러닝에서 통신 오버헤드를 크게 줄일 수 있는가, 동시에 모델 정확도를 유지할 수 있는가?
• RQ2 서명 기반 양자화는 악성 클라이언트가 존재하는 환경에서 모델 열화 및 뒷통수 공격에 대해 어떤 영향을 미치는가?
• RQ3 서명 기반 페더레이티드 러닝 프레임워크에 차별적 비밀유지를 얼마나 효과적으로 통합할 수 있는가, 이는 모델 성능 저하 없이 가능한가?
• RQ4 악성 클라이언트 존재 하에서 차별적 비밀유지와 강건성 사이의 트레이드오프는 어떠한가?
• RQ5 이산화된 노이즈 생성 메커니즘은 차별적 비밀유지 페더레이티드 러닝에서 통신 비용을 줄일 수 있는가, 이는 프라이버시 보장을 훼손하지 않는가?

주요 결과

• SignFed는 파라미터당 한 비트의 양자화를 통해 대역폭을 32배 줄였고, 표준 페더레이티드 러닝(StdFed)과 유사한 모델 정확도를 달성했다.
• SignFed는 악성 클라이언트 비율이 최대 50%일지라도 StdFed보다 뒷통수 공격 및 모델 열화 공격에 대해 훨씬 더 뛰어난 강건성을 보였다.
• DP-SignFed는 ε = 1일 때 증명 가능한 클라이언트 수준의 차별적 비밀유지를 제공했으며, 엄격한 프라이버시 제약 조건에도 불구하고 비공개 SignFed와 유사한 모델 정확도를 달성했다.
• 차별적 비밀유지 변형(DP-SignFed)은 StdFed보다 약 30–40% 더 높은 통신 비용을 유발하지만, 표준 비밀유지 페더레이티드 러닝보다 약 20배 더 효율적이다.
• 기본적인 트레이드오프가 관찰되었다: 더 강력한 차별적 비밀유지는 노이즈의 균일성을 증가시켜, 노이즈를 생략하는 악성 클라이언트가 모델을 더 쉽게 조작할 수 있도록 만든다.
• DP-SignFed의 수렴 속도에는 추가 항 O(n^{3/2}σ / √(T_cl CN))이 포함되어 있으며, 이는 노이즈 주입으로 인한 '프라이버시의 비용'을 정량화한다.