[论文解读] Backdoor attacks and defenses in feature-partitioned collaborative learning
本文证明特征分区协同学习中被动参与方可以注入后门攻击，并提出防御策略，包括可训练的主动方、噪声和梯度裁剪/稀疏化。
Since there are multiple parties in collaborative learning, malicious parties might manipulate the learning process for their own purposes through backdoor attacks. However, most of existing works only consider the federated learning scenario where data are partitioned by samples. The feature-partitioned learning can be another important scenario since in many real world applications, features are often distributed across different parties. Attacks and defenses in such scenario are especially challenging when the attackers have no labels and the defenders are not able to access the data and model parameters of other participants. In this paper, we show that even parties with no access to labels can successfully inject backdoor attacks, achieving high accuracy on both main and backdoor tasks. Next, we introduce several defense techniques, demonstrating that the backdoor can be successfully blocked by a combination of these techniques without hurting main task accuracy. To the best of our knowledge, this is the first systematical study to deal with backdoor attacks in the feature-partitioned collaborative learning framework.
研究动机与目标
- 激发对特征分区协同学习中后门攻击的研究，其中特征在不同方之间分布。
- 证明无标签的被动参与方可以通过操纵交换的消息注入后门。
- 提出防御技术并评估其在不损害主任务性能的情况下的有效性。
提出的方法
- 形式化一个特征分区协同学习框架，其中包含一个带标签的主动方和多个被动方（特征）。
- 将后门攻击建模为跨通信轮次的梯度/消息中毒与梯度替换策略。
- 提出防御措施，包括在主动方添加可训练的层、差分隐私（噪声）和梯度稀疏化。
- 提供实现后门的梯度中毒和激活模糊的算法细节。
- 在 MNIST 和 NUS-WIDE 数据集上进行实验评估，以评估攻击成功率和防御效果。
实验结果
研究问题
- RQ1在特征分区协同学习中，未获得标签的被动参与方是否可以进行后门攻击？
- RQ2后门如何通过交换的梯度被注入，以及如何检测或拦截？
- RQ3像可训练的主动方、差分隐私和梯度稀疏化这样的防御是否能在不损害主任务的情况下有效缓解后门？
主要发现
- 通过操纵参与方之间的消息，特征分区学习中的后门攻击可以成功，在主任务和后门任务上都达到高准确率。
- 启用具有可训练主动方的防御可以减少标签泄漏并提升模型性能；然而效果因数据集而异。
- 差分隐私（加入噪声）可以缓解后门，但在较高噪声水平下可能降低主任务准确率。
- 梯度稀疏化可以缓解后门并保持主任务准确性，尤其是与其他防御结合时。
- 即使攻击者控制没有标签的被动方，攻击也是可行的，且后门可在多轮迭代中持续存在。
更好的研究，从现在开始
从阅读论文到最终审阅，大幅缩短您的研究时间。
无需绑定信用卡
本解读由 AI 生成，并经人工编辑审核。