[论文解读] FedCC: Robust Federated Learning against Model Poisoning Attacks

Hyejun Jeong, Ha-Min Son+3 more|arXiv (Cornell University)|Dec 5, 2022

Adversarial Robustness in Machine Learning被引用 6

一句话总结

FedCC 提出了一种鲁棒的联邦学习框架，通过比较中间层表示（PLRs）的中心化核对齐（CKA）来检测并过滤恶意客户端，从而防御无目标和有目标的模型投毒攻击。该方法在非独立同分布（non-IID）数据和投毒攻击下实现了最先进性能，且无需共享原始数据或依赖集中化知识，优于 FedAvg、CoMed 和 FLARE 等基线方法，在良性与对抗性设置下均表现更优。

ABSTRACT

Federated learning is a distributed framework designed to address privacy concerns. However, it introduces new attack surfaces, which are especially prone when data is non-Independently and Identically Distributed. Existing approaches fail to effectively mitigate the malicious influence in this setting; previous approaches often tackle non-IID data and poisoning attacks separately. To address both challenges simultaneously, we present FedCC, a simple yet effective novel defense algorithm against model poisoning attacks. It leverages the Centered Kernel Alignment similarity of Penultimate Layer Representations for clustering, allowing the identification and filtration of malicious clients, even in non-IID data settings. The penultimate layer representations are meaningful since the later layers are more sensitive to local data distributions, which allows better detection of malicious clients. The sophisticated utilization of layer-wise Centered Kernel Alignment similarity allows attack mitigation while leveraging useful knowledge obtained. Our extensive experiments demonstrate the effectiveness of FedCC in mitigating both untargeted model poisoning and targeted backdoor attacks. Compared to existing outlier detection-based and first-order statistics-based methods, FedCC consistently reduces attack confidence to zero. Specifically, it significantly minimizes the average degradation of global performance by 65.5\%. We believe that this new perspective on aggregation makes it a valuable contribution to the field of FL model security and privacy. The code will be made available upon acceptance.

研究动机与目标

• 为解决联邦学习因服务器无法感知本地数据分布而对模型投毒攻击易受威胁的问题。
• 开发一种在非 IID 数据环境中对无目标和有目标（后门）攻击均有效的鲁棒聚合方法。
• 避免依赖原始数据共享或集中化知识，以保持联邦学习的隐私优势。
• 在投毒攻击下提升全局模型准确率并降低攻击置信度，同时保持良性性能。
• 提供一种对数据异质性和客户端数据分布偏移具有鲁棒性的检测机制。

提出的方法

• FedCC 计算本地模型与全局模型之间中间层表示（PLRs）的中心化核对齐（CKA），以度量相似性。
• 基于与全局模型表示模式的偏离程度，识别并排除 CKA 相似度较低的客户端，假设其为恶意客户端。
• 该方法无需共享原始数据，也无需事先了解客户端数据分布，从而保护隐私。
• 仅对与全局模型 CKA 相似度高的客户端进行聚合，从而过滤可能被投毒的更新。
• 该方法专为非 IID 环境设计，即客户端间数据分布存在显著差异。
• 其基于相似性的过滤机制不依赖于统计假设或模型权重幅度。

实验结果

研究问题

• RQ1 基于中间层表示 CKA 的相似性方法是否能在无目标投毒攻击下有效检测联邦学习中的恶意客户端？
• RQ2 在非 IID 数据设置下，FedCC 在缓解有目标后门攻击的同时，如何保持良性模型准确率？
• RQ3 当客户端具有高度非 IID 数据分布时，FedCC 在多大程度上维持了全局模型准确率？
• RQ4 与 FedAvg、CoMed 和 FLARE 等现有鲁棒聚合方法相比，FedCC 在鲁棒性和收敛稳定性方面表现如何？
• RQ5 本地训练轮次数量或客户端参与比例是否会影响 FedCC 在投毒攻击下的鲁棒性和准确率？

主要发现

• 在无目标攻击下，FedCC 在 fMNIST 上达到 64.83% 的测试准确率，在 CIFAR-10 上达到 20.49%，客户端参与率为 10%，优于 FedAvg（分别为 55.31% 和 10.06%）及其他基线方法。
• 在 50% 客户端参与率下，FedCC 在 fMNIST 上达到 76.41% 准确率，在 CIFAR-10 上达到 34.32%，在无目标-Krum 攻击下显著优于 FLARE（两者均为 10.00%）。
• 在有目标后门攻击下，FedCC 降低了后门置信度，同时保持了高良性准确率，在本地训练轮次加倍时，fMNIST 上达到 82.31% 的测试准确率，CIFAR-10 上达到 54.94%。
• FedCC 在无目标和有目标攻击场景下均持续优于 CoMed 和 FLARE，尤其在非 IID 条件下表现更优。
• 该方法表现出稳定的收敛性，未出现 FLARE 在动态客户端选择下因权重缩放问题导致的发散现象。
• FedCC 基于 CKA 的过滤机制在高度非 IID 环境中仍能有效识别恶意客户端，即使在数据多样性低、模型漂移高的情况下也表现稳健。