[论文解读] Analyzing the Robustness of Decentralized Horizontal and Vertical Federated Learning Architectures in a Non-IID Scenario

Pedro Miguel Sánchez Sánchez, Alberto Huertas Celdrán+5 more|arXiv (Cornell University)|Oct 20, 2022

Privacy-Preserving Technologies in Data被引用 4

一句话总结

本文提出了三种去中心化的联邦学习架构——HoriChain（水平）、VertiChain 和 VertiComb（垂直），以评估在非独立同分布（non-IID）数据和对抗性攻击下的鲁棒性。结果表明，HoriChain 在抵抗数据投毒和梯度投毒攻击方面优于垂直架构，尤其在中等攻击强度下表现更优，使其在去中心化联邦学习环境中成为最鲁棒的配置。

ABSTRACT

Federated learning (FL) allows participants to collaboratively train machine and deep learning models while protecting data privacy. However, the FL paradigm still presents drawbacks affecting its trustworthiness since malicious participants could launch adversarial attacks against the training process. Related work has studied the robustness of horizontal FL scenarios under different attacks. However, there is a lack of work evaluating the robustness of decentralized vertical FL and comparing it with horizontal FL architectures affected by adversarial attacks. Thus, this work proposes three decentralized FL architectures, one for horizontal and two for vertical scenarios, namely HoriChain, VertiChain, and VertiComb. These architectures present different neural networks and training protocols suitable for horizontal and vertical scenarios. Then, a decentralized, privacy-preserving, and federated use case with non-IID data to classify handwritten digits is deployed to evaluate the performance of the three architectures. Finally, a set of experiments computes and compares the robustness of the proposed architectures when they are affected by different data poisoning based on image watermarks and gradient poisoning adversarial attacks. The experiments show that even though particular configurations of both attacks can destroy the classification performance of the architectures, HoriChain is the most robust one.

研究动机与目标

• 为解决去中心化垂直联邦学习（VFL）架构在非独立同分布（non-IID）数据和对抗性攻击下缺乏鲁棒性评估的问题。
• 比较水平联邦学习（HFL）与垂直联邦学习（VFL）架构在数据投毒与梯度投毒攻击下的抗损能力。
• 设计并实现三种新型去中心化联邦学习架构——HoriChain、VertiChain 和 VertiComb，分别针对水平与垂直联邦学习场景。
• 使用准确率、F1-score、混淆矩阵和客户端相关性等指标，评估对抗性攻击对模型性能的影响。
• 识别在真实、隐私保护、非独立同分布数据条件下提升联邦学习鲁棒性的架构配置。

提出的方法

• 设计并实现三种去中心化联邦学习架构：HoriChain 用于水平联邦学习，VertiChain 和 VertiComb 用于垂直联邦学习，每种架构具有独特的神经网络结构与训练协议。
• 在客户端间采用非独立同分布的数据分布，部署一个去中心化、隐私保护的手写数字分类用例。
• 应用两种对抗性攻击类型：通过图像水印实现的数据投毒，以及通过操纵模型更新实现的梯度投毒。
• 系统性地改变攻击参数，包括梯度乘数（-1, -10, 0），以评估攻击强度及其对模型收敛的影响。
• 使用多种指标进行评估：分类准确率、F1-score、混淆矩阵以及客户端相关性，以分析模型行为与攻击可检测性。
• 在相同攻击条件下比较各架构性能，以确定 HFL 与 VFL 环境下相对的鲁棒性。

实验结果

研究问题

• RQ1 在通过图像水印实现的数据投毒攻击下，去中心化水平联邦学习（HFL）的鲁棒性与垂直联邦学习（VFL）相比如何？
• RQ2 不同强度的梯度投毒攻击（梯度乘数）对 HFL 与 VFL 架构的收敛性与性能有何影响？
• RQ3 非独立同分布（non-IID）数据分布如何影响 HFL 与 VFL 架构在对抗性条件下的韧性？
• RQ4 能否通过标准指标（如准确率、F1-score 或混淆矩阵）检测到数据投毒或梯度投毒攻击的存在？
• RQ5 在去中心化联邦学习环境中，HoriChain、VertiChain 或 VertiComb 哪种架构对数据投毒与梯度投毒攻击表现出最高的抗损能力？

主要发现

• 当梯度乘数为 -1 时，HoriChain 对梯度投毒攻击表现出更优的鲁棒性，尽管收敛延迟，仍能维持可学习的性能，而 VertiComb 则退化为接近随机预测。
• 当梯度乘数为 -10 时，HoriChain 与 VertiComb 均无法学习到功能性模型，表明在高强度梯度投毒攻击下攻击完全成功。
• 在通过水印实现的数据投毒下，HoriChain 与 VertiComb 在未标记样本上均保持基线水平的准确率与 F1-score，表明后门行为未被检测到，且攻击成功率高。
• 混淆矩阵显示，标准指标无法检测到数据投毒攻击，因为其未影响干净样本的性能，但显著改变了模型在投毒输入上的行为。
• 在中等强度梯度投毒（乘数 -1）下，HoriChain 比 VertiComb 展现出更高的韧性，表明架构设计在对抗性抵抗中起关键作用。
• 在梯度乘数为 0 的攻击下，HoriChain 与 VertiComb 之间未观察到显著的鲁棒性差异，表明极低强度投毒不会破坏任一架构的训练。