[論文レビュー] Model Poisoning Attacks to Federated Learning via Multi-Round Consistency

Yueqi Xie, Minghong Fang+1 more|arXiv (Cornell University)|Apr 24, 2024

Privacy-Preserving Technologies in Data被引用数 4

ひとこと要約

PoisonedFL は、本物のクライントのデータやモデル更新の知識を必要とせず、悪意あるクライントの更新において複数ラウンドにわたる一貫性を強制することで、高い効果を発揮するフェデレーテッドラーニング向けの新しいモデル汚染攻撃である。7つの既存攻撃を上回り、8つの最先端の防御をくぐり抜ける。フェデレーテッドラーニングシステムは、これまで考えられていたよりも著しく脆弱であることが示された。

ABSTRACT

Model poisoning attacks are critical security threats to Federated Learning (FL). Existing model poisoning attacks suffer from two key limitations: 1) they achieve suboptimal effectiveness when defenses are deployed, and/or 2) they require knowledge of the model updates or local training data on genuine clients. In this work, we make a key observation that their suboptimal effectiveness arises from only leveraging model-update consistency among malicious clients within individual training rounds, making the attack effect self-cancel across training rounds. In light of this observation, we propose PoisonedFL, which enforces multi-round consistency among the malicious clients' model updates while not requiring any knowledge about the genuine clients. Our empirical evaluation on five benchmark datasets shows that PoisonedFL breaks eight state-of-the-art defenses and outperforms seven existing model poisoning attacks. Moreover, we also explore new defenses that are tailored to PoisonedFL, but our results show that we can still adapt PoisonedFL to break them. Our study shows that FL systems are considerably less robust than previously thought, underlining the urgency for the development of new defense mechanisms.

研究の動機と目的

• フェデレーテッドラーニングにおけるモデル汚染攻撃の有効性が、防御が導入された場合に限界に達している問題に対処すること。
• 従来の攻撃が本物のクライントのモデル更新やローカルトレーニングデータの知識に依存している問題を克服すること。
• 複数のトレーニングラウンドにわたる一貫性を強制することで、攻撃の持続性と有効性が著しく向上するかどうかを調査すること。
• PoisonedFL がフェデレーテッドラーニング分野における多様な最先端防御に対してどれほど耐性があるかを評価すること。
• フェデレーテッドラーニングシステムが、これまでの仮定よりも根本的により脆弱であることを示し、より強固な防御メカニズムの必要性を示すこと。

提案手法

• PoisonedFL は、すべてのトレーニングラウンドでランダムな符号ベクトルに一致するように悪意あるモデル更新を最適化することで、複数ラウンドの一貫性を強制し、自己相殺を回避する。
• すべてのラウンドにわたる最適化問題を定式化し、ランダムな方向への合計モデル更新の大きさを最大化する。この方向性はランダムな符号ベクトル $\bm{s}$ で特徴づけられる。
• 最適化を実行可能にするために、すべてのラウンドにわたる問題を、各悪意ある更新が符号ベクトル $\bm{s}$ と学習可能な大きさベクトルの要素ごとの積となるように、ラウンドごとの問題に変換する。
• 防御による検出やフィルタリングを回避するために、各ラウンドで大きさベクトルを動的に調整し、攻撃の強度とステルス性のバランスをとる。
• サーバーの集約ルールや防御メカニズムに依存せず、本物のクライントデータやモデル更新へのアクセスが不要である。
• 顕著なランダム方向の更新がモデル精度を著しく低下させることに着目し、時間経過とともに大規模なグローバルモデルの汚染を可能にする。

実験結果

リサーチクエスチョン

• RQ1 悪意あるクライントの更新において、複数ラウンドにわたる一貫性を強制することで、フェデレーテッドラーニングにおけるモデル汚染攻撃の有効性が著しく向上するか？
• RQ2 本物のクライントデータやモデル更新の知識に依存しないことで、PoisonedFL は従来の攻撃よりも実用的かつステルス性が高いとされるか？
• RQ3 PoisonedFL は、フェデレーテッドラーニング分野における8つの最先端防御メカニズムを回避または劣化させることができるか？
• RQ4 防御が適用された場合、攻撃の性能はどの程度維持されるのか。特に、各ラウンドでのフィルタリングやクリッピングがあっても有効性を保つのか？
• RQ5 グローバルモデルの軌跡から再構築された合成データを用いて、代替攻撃を実行できる範囲はどの程度か。PoisonedFL と比較してどうなるか？

主な発見

• TrMean 防御下で、MNIST では中央値のテスト誤差率が 86.49%、FashionMNIST では 87.75% を達成し、合成データや本物のローカルデータに依存する既存攻撃を上回った。
• TrMean、FLTrust、FLCert など 8 つの最先端防御を破り、データセットや防御の種類に関わらず、テスト誤差率が常に 85% を超える結果を示した。
• グローバルモデルの軌跡から再構築した合成データを用いても、既存攻撃では FashionMNIST で最大で 27.82% のテスト誤差率にとどまるが、PoisonedFL は同種のデータが一切不要で 87.75% の誤差率を達成した。
• 複数ラウンドにわたる一貫性のおかげで、自己相殺問題を回避し、攻撃の有効性が長期間にわたり維持された。
• 防御が悪意ある更新をクリッピングまたはフィルタリングしても、動的な大きさ調整と一貫した方向性の更新により、PoisonedFL は依然として効果的であった。
• 実験結果から、グローバルモデルが複数ラウンドにわたり一貫したランダム方向に更新されると、モデル精度が著しく低下することが明らかになった。これは、攻撃の核心的メカニズムの妥当性を裏付けた。