Beyond Corner Patches: Semantics-Aware Backdoor Attack in Federated Learning

إليك ملخص تقني مفصل لورقة البحث بعنوان "ما وراء رقع الزوايا: هجوم الباب الخلفي المدرك للدلالات في التعلم الاتحادي" من إعداد هيراث وآخرون.

1. بيان المشكلة

يتيح التعلم الاتحادي (Federated Learning) تدريب النماذج العميقة بشكل لامركزي دون مشاركة البيانات الخام، ولكنه عرضة لهجمات الباب الخلفي (Backdoor Attacks). في هذه الهجمات، يقوم العملاء الخبثاء بتسميم النموذج العالمي بحيث يتصرف بشكل طبيعي مع المدخلات النظيفة، ولكنه يصنف المدخلات التي تحتوي على "محفز" (Trigger) محدد إلى فئة مستهدفة يختارها المهاجم بشكل خاطئ.

الفجوة: تعتمد معظم أبحاث الدفاع وهجمات الباب الخلفي في التعلم الاتحادي على محفزات اصطناعية خارج نطاق التوزيع (OOD) (مثل رقع بكسلية صغيرة في زوايا الصور). هذه المحفزات يسهل اكتشافها بواسطة طرق التجميع القوية (مثل Trimmed Mean أو MultiKrum) لأنها تخلق قيمًا متطرفة إحصائية واضحة.
التحدي: تعالج الورقة السيناريو الأكثر واقعية وخطورة حيث تكون المحفزات ذات دلالة دلالية (Semantically Meaningful)، وضمن نطاق التوزيع (In-distribution)، ومنطقية بصريًا (مثل إضافة نظارات شمسية لوجه أو قبعة زرقاء لعلامة مرور). يتساءل المؤلفون: هل يمكن للباب الخلفي المدرك للدلالات أن يظل فعالًا ضد قواعد التجميع القوية مع الحفاظ على الدقة الحميدة؟

2. المنهجية: SABLE

يقترح المؤلفون إطار عمل SABLE (الباب الخلفي المدرك للدلالات للتعلم)، وهو إطار هجوم مبتكر مصمم لتجاوز قواعد التجميع القوية.

أ. توليد المحفز الدلالي

بدلاً من وضع رقع اصطناعية، يقوم SABLE بتوليد المحفزات عن طريق التعديل الدلالي لمحتوى الصور باستخدام نموذج MGIE (التحرير متعدد الوسائط القائم على التعليمات).

• العملية: بالنظر إلى صورة نظيفة، يقدم المهاجم تعليمات نصية (مثل "أضف نظارات شمسية سوداء") ومنطقة اهتمام. يقوم النموذج بتعديل الصورة لإضافة السمة بشكل طبيعي، مع الحفاظ على الهوية والوضعية والإضاءة.
• النتيجة: يكون المحفز قابلاً للتنفيذ فيزيائيًا ويظل ضمن توزيع البيانات، مما يجعل من الصعب تمييزه عن التباينات الحميدة.

ب. تنظيم بيانات العميل الخبيث

يقوم كل عميل خبيث بتقسيم بياناته المحلية إلى ثلاث مجموعات منفصلة:

1. المجموعة المزدوجة ($D_{pair}$): تحتوي على صور نظيفة ($x_c$) ونظيراتها المعدلة دلاليًا ($x_t$) مع التسمية المستهدفة.
2. مجموعة النظيفة فقط ($D_c$): بيانات نظيفة قياسية للحفاظ على الدقة الحميدة.
3. مجموعة المحفز فقط ($D_t$): صور محفزة فقط مصنفة بالتسمية المستهدفة.

ج. دالة الهدف المدركة للتجميع

يقوم SABLE بتحسين دالة خسارة مركبة لدى العميل الخبيث للموازنة بين قوة الهجوم، والتخفي، والأداء الحميد. تتكون الخسارة الإجمالية ($L_{mal}$) من:

1. خسارة التصنيف ($L_{CE}$):
   • الحد النظيف: يضمن تنبؤ النموذج بشكل صحيح للصور النظيفة ($x_c$).
   • الحد المحفز: يجبر النموذج على التنبؤ بالتسمية المستهدفة ($y_t$) للصور المحفزة ($x_t$).
2. خسارة فصل الميزات ($L_{sep}$):
   • تطبق خسارة قائمة على الهامش على ميزات الطبقة قبل الأخيرة ($\phi_\theta$).
   • تعمل على تعظيم المسافة بين تمثيلات الميزات للصورة النظيفة ونظيرتها المحفزة: $\max(0, \delta - \|\phi_\theta(x_c) - \phi_\theta(x_t)\|^2)$.
   • الغرض: تعليم النموذج صراحةً ترميز المحفز كإزاحة ميزة متميزة، وفصله عن الضجيج الخلفي.
3. تنظيم المعلمات ($L_{reg}$):
   • يعاقب الانحراف في المعلمات المحلية ($\theta_k$) عن المعلمات العالمية ($\theta^{(g)}$): $\|\theta_k - \theta^{(g)}\|^2$.
   • الغرض: إبقاء التحديث الخبيث قريبًا من النموذج العالمي لتجنب تصنيفه كقيمة متطرفة بواسطة الدفاعات القائمة على المسافة (مثل MultiKrum).
4. قناع التدرج (أسلوب Neurotoxin):
   • يخفف انتقائيًا التحديثات على المعلمات عالية الأهمية (المحددة عبر تدرجات البيانات النظيفة) لإخفاء الباب الخلفي في الفضاءات الفرعية منخفضة الأهمية.

3. المساهمات الرئيسية

1. نموذج تهديد واقعي: ينقل تقييم أبواب الخلف في التعلم الاتحادي من الرقع الاصطناعية إلى المحفزات المتوافقة دلاليًا وضمن نطاق التوزيع (مثل النظارات الشمسية، الإكسسوارات).
2. إطار عمل SABLE: يقدم هجومًا مدركًا للتجميع يجمع بين توليد المحفز الطبيعي ودالة خسارة متخصصة تتميز بـ فصل الميزات وتقارب المعلمات.
3. التحقق التجريبي: يثبت أن SABLE يتفوق بشكل كبير على الخطوط المرجعية الساذجة (مثل هجمات Bagdasaryan) تحت الدفاعات القوية، مما يثبت أن طرق التجميع القوية الحالية غير كافية ضد الأبواب الخلفية الدلالية.

4. النتائج التجريبية

قيم المؤلفون SABLE على مجموعتي بيانات: CelebA (تصنيف لون الشعر) و GTSRB (التعرف على علامات المرور)، باستخدام هياكل ResNet-18 و VGG-16. واختبروه ضد خمس قواعد تجميع: FedAvg, Trimmed Mean, MultiKrum, FLAME, و FilterFL.

• الأداء تحت التجميع القوي:
  • MultiKrum: فشل خط مرجعي ساذج بشكل كبير (انخفضت معدلات نجاح الهجوم ASR إلى 52% في CelebA/ResNet) لأن تحديثاته تم ترشيحها كقيم متطرفة. **حافظ SABLE على معدل ASR مرتفع (84.5%)** من خلال إبقاء تحديثات المعلمات قريبة من النموذج العالمي مع فصل الميزات.
    • FilterFL & FLAME: حقق SABLE باستمرار معدلات نجاح هجوم (ASR) أعلى من الخط المرجعي مع الحفاظ على دقة نظيفة مماثلة أو أفضل. على سبيل المثال، في GTSRB مع MultiKrum، حقق SABLE 98.4% ASR مقارنة بـ 63.4% للخط المرجعي.
• الدقة النظيفة: حافظ SABLE على دقة اختبار حميدة قريبة من الخط المرجعي "النظيف فقط"، مما يثبت أن الهجوم لا يقلل من فائدة النموذج على المدخلات العادية.
• تحليل مساحة الميزات: أظهرت تصورات UMAP أن SABLE يخلق تكتلًا واضحًا ومحكمًا للعينات المحفزة نحو الفئة المستهدفة في مساحة الميزات، بينما أدت الهجمات المرجعية إلى تمثيلات مشتتة وغير متسقة.
• القابلية للتوسع: زاد ASR بشكل رتيب مع عدد العملاء الخبثاء، ليصل إلى 100% عندما شكل العملاء الخبثاء 40% من الشبكة.

5. الأهمية والآثار المترتبة

• التفاؤل المفرط في الدفاعات: تجادل الورقة بأن الادعاءات الحالية حول قوة التعلم الاتحادي متفائلة للغاية لأنها تعتمد على محفزات الرقع الاصطناعية. الدفاعات المصممة لترشيح "القيم المتطرفة" (مثل رقع الزوايا) تفشل أمام الأبواب الخلفية الدلالية التي تبدو كتباينات طبيعية في البيانات.
• التخفي مقابل القوة: يوضح SABLE أنه من خلال التحسين الصريح لـ فصل الميزات (لضمان فعالية المحفز) وتقارب المعلمات (لضمان التخفي)، يمكن للمهاجم تجاوز أقوى الدفاعات.
• الاتجاهات المستقبلية: تسلط هذه الدراسة الضوء على الحاجة إلى آليات دفاع جديدة تحلل السمات الدلالية وإزاحات مستوى التمثيل بدلاً من مجرد المسافة الإحصائية أو الترشيح المنسق. كما تدعو إلى البحث في هجمات خفيفة الوزن مناسبة للأجهزة الطرفية ذات الموارد المحدودة.

في الختام، يثبت SABLE أن هجمات الباب الخلفي في التعلم الاتحادي هي تهديد قوي وعملي عندما تكون المحفزات ذات دلالة دلالية، مما يستدعي إعادة تقييم معايب الأمن في التعلم الاتحادي.