[论文解读] Byzantine-Robust Decentralized Federated Learning

Minghong Fang, Zifan Zhang+6 more|arXiv (Cornell University)|Jun 14, 2024

Privacy-Preserving Technologies in Data被引用 4

一句话总结

该论文提出 BALANCE，一种拜占庭鲁棒的去中心化联邦学习算法，通过使用每个客户端的本地模型作为相似性参考，检测并拒绝恶意更新。在无拜占庭攻击的环境下，其收敛速度与当前最先进方法相当；在 LIE 和 Dissensus 毒化攻击下，其性能优于现有 DFL 防御方法。

ABSTRACT

Federated learning (FL) enables multiple clients to collaboratively train machine learning models without revealing their private training data. In conventional FL, the system follows the server-assisted architecture (server-assisted FL), where the training process is coordinated by a central server. However, the server-assisted FL framework suffers from poor scalability due to a communication bottleneck at the server, and trust dependency issues. To address challenges, decentralized federated learning (DFL) architecture has been proposed to allow clients to train models collaboratively in a serverless and peer-to-peer manner. However, due to its fully decentralized nature, DFL is highly vulnerable to poisoning attacks, where malicious clients could manipulate the system by sending carefully-crafted local models to their neighboring clients. To date, only a limited number of Byzantine-robust DFL methods have been proposed, most of which are either communication-inefficient or remain vulnerable to advanced poisoning attacks. In this paper, we propose a new algorithm called BALANCE (Byzantine-robust averaging through local similarity in decentralization) to defend against poisoning attacks in DFL. In BALANCE, each client leverages its own local model as a similarity reference to determine if the received model is malicious or benign. We establish the theoretical convergence guarantee for BALANCE under poisoning attacks in both strongly convex and non-convex settings. Furthermore, the convergence rate of BALANCE under poisoning attacks matches those of the state-of-the-art counterparts in Byzantine-free settings. Extensive experiments also demonstrate that BALANCE outperforms existing DFL methods and effectively defends against poisoning attacks.

研究动机与目标

• 解决去中心化联邦学习（DFL）在对等、无服务器架构下对毒化攻击的脆弱性。
• 克服将依赖服务器的拜占庭鲁棒防御方法适配到 DFL 时因架构不匹配而常导致失败的局限性。
• 设计一种通信高效、无需依赖中心服务器或全局模型聚合的去中心化防御机制。
• 在存在拜占庭客户端的情况下，为所提方法在强凸和非凸设置下建立理论收敛保证。
• 在 LIE 和 Dissensus 等针对去中心化环境设计的高级毒化攻击下，展示卓越的鲁棒性。

提出的方法

• BALANCE 采用基于本地相似性的过滤机制，每个客户端使用自身当前的本地模型作为参考，评估邻居客户端发送模型的可信度。
• 客户端仅在自身模型与接收到的模型之间的 L2 距离在与其自身模型范数成比例的阈值范围内时，才接受邻居的模型。
• 通过使用指数衰减函数动态调整接受阈值，以减少训练后期的误报。
• 评估了两种变体：变体 I 使用基于相对距离的固定阈值，而变体 II 引入基于中位数的偏差阈值以提升鲁棒性。
• 该算法通过相似性过滤维持客户端间模型的一致性，即使多达恒定比例的邻居为恶意客户端，也能确保收敛。
• 理论分析证明了在强凸和非凸目标下均能实现收敛，且在无拜占庭攻击的设定下，收敛速率与非鲁棒基线方法相当。

实验结果

研究问题

• RQ1 去中心化联邦学习系统是否能在不依赖中心服务器或全局模型聚合的情况下实现拜占庭鲁棒性？
• RQ2 在完全去中心化的对等环境中，如何利用本地模型相似性检测恶意更新？
• RQ3 所提出的 BALANCE 方法在毒化攻击下是否能保持与非鲁棒基线方法相当的收敛速率？
• RQ4 BALANCE 在应对 LIE 攻击和 Dissensus 攻击等高级、专为 DFL 设计的毒化攻击时效果如何？
• RQ5 BALANCE 中的阈值机制是否可调优，以在不同训练阶段平衡鲁棒性与模型精度？

主要发现

• 在毒化攻击下，BALANCE 在强凸和非凸设置下的收敛速率均与最先进的无拜占庭攻击方法相当。
• 在 Dissensus 攻击下，BALANCE 的 Max.TER 为 0.11，显著优于中位数方法（0.87）和截断均值方法（0.72），表现出强大的抗性。
• LIE 攻击对 BALANCE 的影响有限，Max.TER 保持在 0.11，表明其对通用毒化策略具有鲁棒性。
• BALANCE 的变体 I 表现与完整 BALANCE 方法相当，而变体 II 表现较差，原因在于对良性模型的过度拒绝。
• 中位数方法的 Max.TER 从 0.38（仅在训练后半段攻击）上升至 0.55（前半段）和 0.63（整个训练过程），表明攻击时机显著影响性能。
• 阈值参数的指数衰减降低了在训练后期接受恶意模型的风险，从而增强了长期鲁棒性。