🤖 AI

VTarbel: Targeted Label Attack with Minimal Knowledge on Detector-enhanced Vertical Federated Learning

Dieses Paper stellt VTarbel vor, ein zweistufiges gezieltes Label-Attacke-Framework für Vertical Federated Learning, das mit minimalem Wissen operiert, um erfolgreich Anomalieerkennungen zu umgehen und bestehende State-of-the-Art-Methoden zu übertreffen.

Ursprüngliche Autoren: Juntao Tan, Anran Li, Quanchao Liu, Peng Ran, Lan Zhang

Veröffentlicht 2026-01-23

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Juntao Tan, Anran Li, Quanchao Liu, Peng Ran, Lan Zhang

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Das große Ganze: Ein geheimes Teamprojekt

Stellen Sie sich eine Gruppe von Menschen vor, die versuchen, ein Rätsel zu lösen (wie etwa eine Krankheit zu diagnostizieren oder einen gefälschten Kreditantrag zu entlarven), indem sie zusammenarbeiten.

Das Team: Jeder hält ein anderes Puzzleteil bereit. Eine Person hat das Alter und das Einkommen des Patienten, eine andere die Krankengeschichte und eine dritte den Standort.
Die Regel: Sie dürfen ihre privaten Dokumente (Rohdaten) nicht untereinander teilen. Stattdessen teilen sie nur „Hinweise“ (mathematische Zusammenfassungen, genannt Embeddings), um einen Meisterdetektiv (das KI-Modell) aufzubauen.
Der Wächter: Um alles sicher zu halten, hat der Teamleiter (die „Aktive Partei“) einen Sicherheitswächter (einen Anomalie-Detektor), der jeden Hinweis überprüft. Wenn ein Hinweis seltsam oder verdächtig aussieht, wirft der Wächter ihn raus und sagt: „Kein Einlass!“

Das Problem: Der heimliche Saboteur

Die Arbeit konzentriert sich auf eine bestimmte Art von böswilligem Akteur: eine Passive Partei (ein Teammitglied, das nur Hinweise liefert, aber nicht den endgültigen Lösungsschlüssel besitzt).

Dieser böswillige Akteur möchte das Team dazu bringen, einen gezielten Fehler zu begehen. Zum Beispiel möchte er, dass die KI sagt: „Diese Person ist gesund“, obwohl sie eigentlich krank ist, oder „Dieser Kredit ist sicher“, obwohl er riskant ist. Dies wird als Targeted Label Attack bezeichnet.

Warum ist das schwierig?

Augenbinde: Der böswillige Akteur kennt die vollständigen Details des Meisterdetektivs (des Modells) des Teams nicht.
Begrenzte Macht: Er kann nur seine eigenen Hinweise verändern, nicht die aller anderen.
Der Wächter: Der Sicherheitswächter passt genau auf. Wenn der böswillige Akteur versucht, seine Hinweise zu stark zu verändern, um die KI zu täuschen, wird der Wächter die Seltsamkeit bemerken und den Einlass blockieren.

Frühere Versuche, dieses System zu hacken, scheiterten, weil sie versuchten, die Hinweise so „perfekt“ für den Trick zu machen, dass sie für den Sicherheitswächter offensichtlich gefälscht aussahen.

Die Lösung: VTarbel (Der Zwei-Phasen-Raubüberfall)

Die Autoren haben eine neue Methode namens VTarbel entwickelt. Anstatt zu versuchen, alles auf einmal zu brechen, teilen sie den Job in zwei Phasen auf: Vorbereitung und Der Angriff.

Phase 1: Die Aufklärung (Vorbereitungsphase)

Bevor er versucht, das System zu täuschen, spielt der böswillige Akteur eine Zeit lang nach den Regeln.

Die Analogie: Stellen Sie sich einen Spion vor, der eine Bank betritt. Anstatt sofort zuzuschlagen, steht er einige Minuten lang in der Schlange und beobachtet, wie der Sicherheitswächter auf normale Kunden reagiert.
Was sie tun: Der Angreifer sendet eine kleine, sorgfältig ausgewählte Gruppe von normal aussehenden Hinweisen ein. Er hört zu, was das Team über sie sagt.
Das Ziel: Durch das Beobachten der Ergebnisse baut der Angreifer auf seinem eigenen Computer zwei gefälschte Werkzeuge auf:
1. Ein falscher Sicherheitswächter: Er lernt, wie der echte Wächter entscheidet, was „seltsam“ ist.
2. Ein falscher Detektiv: Er baut eine Kopie des Meisterdetektivs des Teams, um an ihm zu üben.
Das Geheimnis: Sie wählen nicht einfach zufällige Hinweise zum Testen. Sie nutzen einen speziellen mathematischen Trick (genannt MMD), um die ausdrucksstärksten Hinweise zu wählen – also solche, die ihnen mit den wenigsten Versuchen am meisten darüber verraten, wie das System funktioniert.

Phase 2: Der Raubüberfall (Angriffsphase)

Jetzt, da der Angreifer seine gefälschten Werkzeuge hat, startet er den eigentlichen Angriff auf die verbleibenden Hinweise.

Die Analogie: Der Spion weiß nun genau, wie der Wächter denkt. Er fertigt eine Verkleidung an, die gerade „seltsam genug“ ist, um den Meisterdetektiv zu täuschen, aber „normal genug“, um den Sicherheitswächter zu passieren.
Was sie tun: Sie passen ihre Hinweise leicht an. Sie nutzen ihren Falschen Detektiv, um sicherzustellen, dass die Anpassung die KI dazu bringt, die falsche Antwort zu geben. Gleichzeitig nutzen sie ihren Falschen Wächter, um sicherzustellen, dass die Anpassung nicht verdächtig aussieht.
Das Ergebnis: Die Hinweise schlüpfen am echten Wächter vorbei und täuschen die KI des Teams erfolgreich dabei, den spezifischen Fehler zu machen, den der Angreifer beabsichtigt hat.

Warum das wichtig ist

Die Arbeit testete diese Methode gegen vier verschiedene Arten von KI-Modellen und sieben verschiedene Datensätze (wie Bilder von Autos, Textbewertungen und Finanzdaten).

Die Ergebnisse: VTarbel war ein riesiger Erfolg. Während alte Hack-Methoden bei Anwesenheit eines Sicherheitswächters fast vollständig scheiterten (mit 0 % Erfolgsquote), gelang VTarbel in 80 % bis 90 % der Fälle.
Die Verteidigung: Die Autoren versuchten auch, VTarbel mit gängigen Abwehrmethoden (wie dem Hinzufügen von Rauschen oder der Komprimierung von Daten) zu stoppen. Obwohl einige Abwehrmethoden ein wenig halfen, konnte keine den Angriff vollständig stoppen, ohne gleichzeitig die Fähigkeit des Teams zu beeinträchtigen, seine eigentliche Aufgabe zu erfüllen (wie z. B. die Diagnose von Patienten korrekt durchzuführen).

Das Fazit

Die Arbeit zeigt eine Schwachstelle auf, wie die Sicherheit von Vertical Federated Learning-Systemen derzeit gehandhabt wird. Selbst wenn ein Sicherheitswächter aufpasst, kann ein kluger Angreifer, der das „Langzeitspiel“ (erst das System lernen) spielt, den Wächter umgehen und die Ergebnisse manipulieren. Die Autoren argumenten, dass wir neue, stärkere Abwehrmethoden benötigen, da diese Art von „Minimal Knowledge“-Angriff sehr praktikabel und gefährlich ist.

Technisches Resümee: VTarbel

Problemdefinition

Vertical Federated Learning (VFL) ermöglicht es mehreren Parteien mit disjunkten Merkmalssets, gemeinsam Modelle zu trainieren, ohne Rohdaten zu teilen. Während Sicherheitslücken hinsichtlich des Datenschutzes (z. B. Merkmalsrekonstruktion und Label-Inferenz) gut untersucht sind, bleibt die Sicherheitsrobustheit von VFL gegenüber gezielten Label-Angriffen (Targeted Label Attacks) während der Inferenzphase untererforscht. Bei solchen Angriffen manipuliert eine kompromittierte passive Partei ihre Eingangsmerkmale, um das globale Modell dazu zu bringen, Stichproben in ein vom Angreifer gewähltes Label fehlzuklassifizieren.

Bestehende Methoden für gezielte Label-Angriffe leiden in praktischen Szenarien unter zwei kritischen Einschränkungen:

Unrealistisches Angreiferwissen: Vorangegangene Arbeiten gehen oft davon aus, dass der Angreifer Zugriff auf gelabelte Hilfsdatensätze, globale Modellausgaben (Logits/Wahrscheinlichkeiten) oder Teststichproben anderer Teilnehmer hat. In der Realität sind Labels geschützt und werden niemals geteilt.
Vernachlässigung der Anomalieerkennung: Reale VFL-Implementierungen setzen oft Anomalieerkennungssysteme (z. B. statistisch oder ML-basiert) ein, um verdächtige Feature-Embeddings zu filtern. Bestehende Angriffe erzeugen übermäßig optimierte Embeddings, die signifikant von der benignen Verteilung abweichen, was sie leicht detektierbar macht und dazu führt, dass das System die Eingabe ablehnt (das „REJ“-Label ausgibt), anstatt das Ziel-Label zu liefern.

Die zentrale Herausforderung besteht darin, einen Angriff zu entwerfen, der unter minimalem Angreiferwissen (kein Zugriff auf Labels, globale Ausgaben oder Daten anderer Parteien) operiert und gleichzeitig detektor-gestützte VFL-Systeme effektiv umgeht.

Methodik: VTarbel-Framework

Die Autoren schlagen VTarbel (VFL Inference Targeted Label Attack) vor, ein zweistufiges Framework, das die Lücke zwischen minimalem Wissen und effektiver Umgehung schließt. Das Framework unterteilt die Inferenzphase in eine Vorbereitungsphase (Preparation Stage) und eine Angriffsphase (Attack Stage).

1. Vorbereitungsphase (Wissensgewinnung)

Das Ziel ist es, essenzielles Wissen zu sammeln, um lokale Ersatzmodelle (Surrogate Models) zu trainieren, ohne den Großteil des Testdatensatzes zu verbrauchen.

Stichprobenauswahl: Der Angreifer wählt eine minimale Menge an „hoch-expressiven“ benignen Stichproben aus dem ungelabelten Testset aus. Diese Auswahl wird durch die Maximum Mean Discrepancy (MMD) gesteuert. Der Angreifer wählt iterativ Stichproben aus, welche die Reduktion der MMD zwischen der ausgewählten Teilmenge und der Verteilung des vollständigen Testsets maximieren, um sicherzustellen, dass die Teilmenge repräsentativ ist.
Label-Akquise: Diese ausgewählten Stichproben werden dem VFL-System nach dem Standardprotokoll übermittelt. Die zurückgegebenen vorhergesagten Labels (ausgenommen „REJ“) werden als Pseudo-Labels behandelt.
Lokales Modelltraining: Unter Verwendung der ausgewählten Stichproben und ihrer Pseudo-Labels trainiert der Angreifer lokal zwei kritische Komponenten:
- Geschätzter Detektor: Eine Annäherung an den Anomalie-Detektor des Verteidigers (z. B. DeepAE oder KDE), um Detektionsgrenzen zu schätzen.
- Surrogate-Modell: Ein Modell, das durch Anfügen eines Inference Heads an das vom Angreifer trainierte untere Modell konstruiert wurde, welches das Verhalten des globalen VFL-Modells imitiert.

2. Angriffsphase (Adversarial Crafting)

Der Angreifer verwendet das trainierte Surrogate-Modell und den geschätzten Detektor, um adversarielle Instanzen für die verbleibenden Teststichproben zu generieren.

Optimierungsziel: Der Angreifer führt eine gradientenbasierte Optimierung (Projected Gradient Descent) durch, um die verbleibenden Rohmerkmale zu perturbieren. Die Zielfunktion minimiert den Cross-Entropy-Loss zwischen der Vorhersage des Surrogate-Modells und dem Ziel-Label, während gleichzeitig der vom geschätzten Detektor vorhergesagten Anomalie-Score minimiert wird.
Beschränkungen: Die Perturbationen sind durch eine Distanzbindung ( $L_p$ -Norm) beschränkt, um sicherzustellen, dass die modifizierten Merkmale gültig und unauffällig bleiben.
Ausführung: Die optimierten bösartigen Embeddings werden dem VFL-System übermittelt. Aufgrund der Transferierbarkeit von adversariellen Beispielen sind diese Embeddings so konzipiert, dass sie das globale Modell dazu induzieren, das Ziel-Label vorherzusagen, während sie gleichzeitig innerhalb der „normalen“ Verteilung bleiben, die vom Detektor des Verteidigers akzeptiert wird.

Kernbeiträge

Formalisierung des Problems: Die Autoren formalisieren den gezielten Label-Angriff in VFL als kombinatorisches Optimierungsproblem: die Auswahl einer optimalen Teilmenge von Teststichproben, um die Anzahl der Fehlklassifizierungen in ein spezifisches Label zu maximieren. Sie identifizieren dies als NP-schwer und schlagen eine zweistufige Partitionierung vor, um es praktisch zu lösen.
Minimal-Knowledge-Angriffsframework: VTarbel ist das erste Framework, das unter realistischen Bedingungen (kein Zugriff auf Labels, globale Ausgaben) entwickelt wurde und explizit Anomalie-Detektoren berücksichtigt. Es nutzt ein zweistufiges Paradigma, bei dem die Vorbereitungsphase den Einsatz von Stichproben minimiert, um expressive lokale Modelle zu trainieren und so den Großteil der Stichproben für den Angriff zu bewahren.
Umfassende Evaluierung: Das Framework wird über vier Modellarchitekturen (MLP3, VGG13, ResNet18, DistilBERT), sieben multimodale Datensätze (TabFMNIST, CIFAR10, CINIC10, CIFAR100, TREC, IMDB) und zwei Anomalie-Detektoren (DeepAE, KDE) hinweg evaluiert.

Experimentelle Ergebnisse

Überlegene Performance: VTarbel übertrifft konsistent vier State-of-the-Art-Baselines (LR-BA, HijackVFL, ADI, TIFS'23). Beispielsweise erreicht VTarbel bei einem VGG13-Modell mit einem DeepAE-Detektor eine Attack Success Rate (ASR) von 90,39 %, während die beste Baseline nur 49,62 % erreicht. In vielen Konfigurationen sinkt die ASR der Baselines bei aktiven Detektoren gegen Null, während VTarbel hohe Erfolgsraten beibehält.
Detektor-Umgehung: Das Framework umgeht die Detektion erfolgreich. Die Autoren zeigen, dass die ASR von VTarbel hoch bleibt, selbst wenn der Detektionsschwellenwert des Verteidigers verschärft wird, während andere Methoden vollständig versagen.
Robustheit gegenüber Abwehrmaßnahmen: Das Paper evaluiert drei gängige datenschutzwahrende Abwehrmethoden (Noisy Embedding, Discrete Embedding, Compressed Embedding). Während Compressed Embedding eine gewisse Abschwächung zeigt (Reduktion der ASR auf ca. 47–7 %, abhängig vom Datensatz), geht dies mit erheblichen Kosten für die Inferenzgenauigkeit der Hauptaufgabe einher (Abfall um >10–20 %). Die anderen beiden Abwehrmethoden sind gegenüber VTarbel weitgehend wirkungslos.
Ablationsstudien: Experimente bestätigen, dass beide Phasen notwendig sind; das Entfernen der Vorbereitungsphase (Only-Attack) führt aufgrund des fehlenden trainierten Surrogate-Modells zu einer ASR von 0 %. Zudem schneidet die MMD-basierte Stichprobenauswahl signifikant besser ab als die Zufallsauswahl, insbesondere bei imbalancierten Datensätzen.

Bedeutung und Behauptungen

Das Paper behauptet, dass VTarbel kritische Sicherheitsblindstellen in aktuellen VFL-Implementierungen aufzeigt. Es demonstriert, dass eine passive Partei selbst mit minimalem Wissen und in Anwesenheit von Anomalie-Detektoren die Ergebnisse der VFL-Inferenz effektiv manipulieren kann. Die Autoren betonen, dass bestehende Abwehrmethoden unzureichend sind, da sie entweder den Angriff nicht stoppen oder die Nützlichkeit des VFL-Systems massiv beeinträchtigen. Die Arbeit unterstreicht die dringende Notwendigkeit, robuste, angriffs-bewusste Abwehrmechanismen zu entwickeln, die eine hohe Inferenzgenauigkeit aufrechterhalten können, während sie gleichzeitig gezielte Label-Angriffe mildern. Die Autoren behaupten nicht, das Verteidigungsproblem gelöst zu haben, sondern heben die Schwere der Bedrohung hervor, um zukünftige Forschung zu motivieren.