[论文解读] LoMar: A Local Defense Against Poisoning Attack on Federated Learning

Xingyu Li, Zhe Qu+4 more|arXiv (Cornell University)|Jan 8, 2022

Privacy-Preserving Technologies in Data被引用 5

一句话总结

LoMar 是一种用于联邦学习的两阶段本地防御机制，通过使用核密度估计分析模型更新的本地统计分布来检测投毒攻击。与现有方法（如 FG+Krum）相比，它在标签翻转攻击下将 Amazon 数据集上的目标标签准确率从 96.0% 提升至 98.8%。

ABSTRACT

Federated learning (FL) provides a high efficient decentralized machine learning framework, where the training data remains distributed at remote clients in a network. Though FL enables a privacy-preserving mobile edge computing framework using IoT devices, recent studies have shown that this approach is susceptible to poisoning attacks from the side of remote clients. To address the poisoning attacks on FL, we provide a extit{two-phase} defense algorithm called {Lo}cal {Ma}licious Facto{r} (LoMar). In phase I, LoMar scores model updates from each remote client by measuring the relative distribution over their neighbors using a kernel density estimation method. In phase II, an optimal threshold is approximated to distinguish malicious and clean updates from a statistical perspective. Comprehensive experiments on four real-world datasets have been conducted, and the experimental results show that our defense strategy can effectively protect the FL system. {Specifically, the defense performance on Amazon dataset under a label-flipping attack indicates that, compared with FG+Krum, LoMar increases the target label testing accuracy from $96.0\%$ to $98.8\%$, and the overall averaged testing accuracy from $90.1\%$ to $97.0\%$.

研究动机与目标

• 解决联邦学习在远程客户端遭受投毒攻击时性能下降的脆弱性问题。
• 通过引入对模型更新分布的本地特征分析，克服全局异常检测方法的局限性。
• 开发一种无需依赖全局距离度量或拜占庭容错假设的防御机制，以识别恶意更新。
• 提升对可约束投毒攻击的鲁棒性，此类攻击可规避传统检测方法。

提出的方法

• 在第一阶段，LoMar 通过使用核密度估计，在目标更新的 k 个最近邻邻域内估计其相对密度，为每个模型更新计算一个本地恶意因子（LMF）。
• 该方法使用非参数核密度估计器，衡量给定更新在局部参数空间中的孤立程度或密集程度。
• 在第二阶段，通过统计方法近似确定最优阈值，以基于 LMF 分数区分恶意更新与良性更新。
• 该方法利用 McDiarmid 不等式，从理论上界定了恶意更新被误分类的概率。
• LMF 定义为平均局部密度与目标更新处密度的比值，从而实现相对异常检测。
• 该防御机制在聚合器层面应用，其中对更新进行评分并过滤后才进行聚合。

实验结果

研究问题

• RQ1 模型参数中的本地统计模式是否能有效检测联邦学习中的投毒攻击？
• RQ2 基于本地密度的检测方法与基于全局距离的检测方法相比，在识别恶意更新方面表现如何？
• RQ3 LoMar 在多大程度上能有效防御可约束投毒攻击，这些攻击可规避现有防御机制？
• RQ4 何种阈值配置能在投毒攻击存在的情况下，同时优化目标标签准确率与整体模型性能？

主要发现

• 在 Amazon 数据集上，面对 1-7 标签翻转攻击，LoMar 将目标标签测试准确率从 FG+Krum 的 96.0% 提升至 98.8%。
• 在相同攻击下，整体平均测试准确率从 FG+Krum 的 90.1% 提升至 LoMar 的 97.0%。
• 发现 ε 阈值为 1.0 时性能最优，过高或过低的值均因过度或不足过滤导致准确率下降。
• 该防御能有效缓解那些使全局模型收敛但不被全局异常检测方法察觉的攻击。
• 理论分析证实，LMF 分数具有紧密的边界，确保在不同客户端分布下仍能实现可靠检测。
• 在四个真实世界数据集上的全面实验验证了 LoMar 在鲁棒性和性能方面优于当前最先进的防御方法。