[论文解读] FLDetector: Defending Federated Learning Against Model Poisoning Attacks via Detecting Malicious Clients

Zaixi Zhang, Xiaoyu Cao+2 more|arXiv (Cornell University)|Jul 19, 2022

HIV, Drug Use, Sexual Risk被引用 10

一句话总结

FLDetector 通过检测客户端在多个训练轮次中模型更新的一致性不一致，抵御联邦学习中的模型投毒攻击。通过利用历史数据预测预期更新，并使用柯西中值定理和 L-BFGS 优化方法识别偏差，FLDetector 实现了高精度检测，使鲁棒联邦学习方法即使在大规模攻击下也能学习到准确的全局模型。

ABSTRACT

Federated learning (FL) is vulnerable to model poisoning attacks, in which malicious clients corrupt the global model via sending manipulated model updates to the server. Existing defenses mainly rely on Byzantine-robust FL methods, which aim to learn an accurate global model even if some clients are malicious. However, they can only resist a small number of malicious clients in practice. It is still an open challenge how to defend against model poisoning attacks with a large number of malicious clients. Our FLDetector addresses this challenge via detecting malicious clients. FLDetector aims to detect and remove the majority of the malicious clients such that a Byzantine-robust FL method can learn an accurate global model using the remaining clients. Our key observation is that, in model poisoning attacks, the model updates from a client in multiple iterations are inconsistent. Therefore, FLDetector detects malicious clients via checking their model-updates consistency. Roughly speaking, the server predicts a client's model update in each iteration based on its historical model updates using the Cauchy mean value theorem and L-BFGS, and flags a client as malicious if the received model update from the client and the predicted model update are inconsistent in multiple iterations. Our extensive experiments on three benchmark datasets show that FLDetector can accurately detect malicious clients in multiple state-of-the-art model poisoning attacks. After removing the detected malicious clients, existing Byzantine-robust FL methods can learn accurate global models.Our code is available at https://github.com/zaixizhang/FLDetector.

研究动机与目标

• 为解决在大量客户端被攻破时，防御联邦学习免受模型投毒攻击这一开放性挑战。
• 在无需干净验证数据集的前提下检测恶意客户端，因为此类数据集在现实联邦学习场景中通常不可用。
• 通过在全局模型聚合前移除恶意客户端，提升 Byzantine 鲁棒性和可证明鲁棒联邦学习方法的有效性。
• 开发一种对自适应攻击和超参数变化具有鲁棒性的检测机制。
• 即使在高度非独立同分布的数据分布和大量恶意客户端的情况下，也能实现准确的全局模型学习。

提出的方法

• FLDetector 监控每个客户端在多个训练轮次中的模型更新，以评估其一致性。
• 通过基于 L-BFGS 的优化过程，利用历史更新数据预测每个客户端在每一轮中的预期模型更新。
• 利用柯西中值定理量化预测更新与实际更新之间的不一致性，以计算可疑分数。
• 在多个轮次中持续显示高可疑分数的客户端将被标记为恶意。
• 服务器在聚合前移除检测到的恶意客户端，使鲁棒联邦学习方法能够学习到可靠的全局模型。
• 该检测机制通过最小化误报率并保持在不同超参数下的稳定性，设计为对自适应攻击具有鲁棒性。

实验结果

研究问题

• RQ1 当大量客户端被攻破时，FLDetector 是否能准确检测联邦学习中的恶意客户端？
• RQ2 FLDetector 对专门针对检测机制设计的自适应模型投毒攻击是否有效？
• RQ3 在移除恶意客户端后，FLDetector 是否能提升 Byzantine 鲁棒联邦学习方法的性能？
• RQ4 FLDetector 对超参数（如窗口大小和采样率）的敏感性如何？
• RQ5 数据的非独立同分布程度如何影响 FLDetector 的检测精度？

主要发现

• 在多种最先进的模型投毒攻击下，FLDetector 在 CIFAR10、ImageNet 和 Fashion-MNIST 上的检测准确率超过 95%。
• 在 A Little is Enough 攻击中，FLDetector 检测到 28 个恶意客户端中的 26 个，将攻击成功率降低至 7.1%。
• 即使恶意客户端数量超过 Krum 的理论容忍范围（例如 >30 个），FLDetector 仍能使鲁棒联邦学习方法学习到准确的全局模型。
• 当数据分布高度非独立同分布（非独立同分布程度 > 0.5）时，FLDetector 仍保持高检测准确率（DACC > 90%）。
• 该方法对超参数具有鲁棒性：在不同窗口大小（N）和采样率（B）下，检测准确率保持稳定，最优性能出现在 N=10 和 B=20。
• 在移除检测到的恶意客户端后，全局模型的测试准确率（TACC）与未使用检测机制训练的模型相当或更优，同时攻击成功率（ASR）显著下降。