🤖 AI

Coward: Collision-based OOD Watermarking for Practical Proactive Federated Backdoor Detection

Das Papier stellt Coward vor, eine neuartige proaktive Methode zur Erkennung von Backdoors im Federated Learning, die Kollisionseffekte mehrerer Backdoors nutzt, um ein sorgfältig entworfenes Wasserzeichen einzufügen und damit die durch nicht-i.i.d.-Datenverteilungen und Out-of-Distribution-Verzerrungen bedingten Einschränkungen bestehender Techniken wirksam zu überwinden.

Ursprüngliche Autoren: Wenjie Li, Siying Gu, Yiming Li, Shuxin Li, Zhili Chen, Tianwei Zhang, Shu-Tao Xia

Veröffentlicht 2026-05-07

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Wenjie Li, Siying Gu, Yiming Li, Shuxin Li, Zhili Chen, Tianwei Zhang, Shu-Tao Xia

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich eine Gruppe von Nachbarn vor, die versuchen, gemeinsam eine einzige, riesige Gemeinschaftskarte zu erstellen, ohne sich jemals ihre privaten Fotos zu zeigen. Dies ist Federated Learning (FL). Jeder behält seine Fotos auf dem eigenen Telefon, sendet nur die „Lektionen", die er gelernt hat, an einen zentralen Server, und der Server kombiniert sie, um eine bessere Karte für alle zu erstellen.

Das Problem? Ein paar „böse Nachbarn" (bösartige Clients) könnten versuchen, einen geheimen Trick einzuschmuggeln. Sie wollen, dass die Karte für alle anderen perfekt funktioniert, aber wenn man ihr ein Bild einer Katze mit einem winzigen, unsichtbaren Aufkleber zeigt, sollte die Karte plötzlich schreien: „Das ist ein Hund!" Dies nennt man einen Backdoor-Angriff.

Die alten Methoden, die bösen Nachbarn zu fangen

Der Artikel erklärt, dass frühere Methoden, um diese bösen Nachbarn zu fangen, zwei Hauptmängel hatten:

Die „Ausreißer"-Methode (Passiv): Diese Methode ging davon aus, dass böse Nachbarn im Vergleich zu den guten merkwürdig aussehen würden. Es war wie ein Türsteher, der in einer Menge von Leuten in Anzügen nach jemandem mit einer Clownsnase sucht.
- Der Mangel: Im echten Leben haben Nachbarn sehr unterschiedliche Fotos (einige haben nur Katzen, andere nur Hunde). Dieser natürliche Unterschied ließ auch die guten Nachbarn „merkwürdig" aussehen, wodurch der Türsteher aus Versehen unschuldige Leute rauswarf.
Die „Falle"-Methode (Proaktiv – z. B. BackdoorIndicator): Diese Methode versuchte, schlauer zu sein. Der Server würde eine „Falle" in die Karte pflanzen, indem er seltsame, zufällige Bilder verwendete (Out-of-Distribution oder OOD-Daten). Die Idee war: „Wenn ein Nachbar sich an diese seltsame Falle erinnert, ist er wahrscheinlich böse."
- Der Mangel: Deep-Learning-Modelle sind seltsam selbstbewusst bei Dingen, die sie nicht verstehen. Selbst gute Nachbarn würden aus Versehen durch Zufall die richtige Antwort für die seltsame Falle erraten und denken: „Oh, das sieht aus wie ein Hund!" Dies führte dazu, dass der Server unschuldige Nachbarn fälschlicherweise beschuldigte.

Die neue Lösung: „Coward"

Die Autoren stellen eine neue Methode namens Coward vor. Der Name ist ein kleiner Witz: Es ist ein „Feigling", weil es darauf vertraut, dass die Bösen zu aggressiv sind und über ihre eigenen Füße stolpern.

So funktioniert es, mit einer einfachen Analogie:

1. Das Setup: Ein „Wasserzeichen" pflanzen

Anstatt eine zufällige Falle zu pflanzen, pflanzt der Server ein sehr spezifisches Wasserzeichen in die Karte.

Stellen Sie sich vor, der Server nimmt eine Reihe zufälliger, seltsamer Bilder (wie eine Katze mit einem blauen Filter).
Er lehrt die Karte: „Wenn Sie eine Katze mit blauem Filter sehen, müssen Sie 8 sagen."
Entscheidend ist, dass der Server der Karte auch beibringt: „Wenn Sie eine Katze mit blauem Filter und rotem Aufkleber sehen, müssen Sie 1 sagen."

2. Die Kollision (Der „Aha!"-Moment)

Der Artikel entdeckte ein lustiges Phänomen namens Multi-Backdoor-Kollisionseffekt.

Wenn ein böser Nachbar versucht, seinen eigenen geheimen Trick (Backdoor) zu installieren, der besagt „Katze mit blauem Filter = 0", kämpft er mit dem Trick des Servers, der besagt „Katze mit blauem Filter = 1".
Da der Trick des bösen Nachbarn mit dem Trick des Servers kämpft, wird der Trick des bösen Nachbarn gelöscht oder geschwächt. Es ist wie zwei Personen, die versuchen, eine schwere Tür in entgegengesetzte Richtungen zu drücken; die Tür bewegt sich nicht, oder eine Person wird hinausgedrückt.
Die guten Nachbarn, die keinen geheimen Trick installieren wollen, lernen einfach sanft die Regel des Servers. Sie merken sich die Regel „Katze mit blauem Filter = 1" perfekt.

3. Die Erkennung: Wer hat die Regel vergessen?

Nachdem die Nachbarn die Karte aktualisiert haben, überprüft sie der Server:

Guter Nachbar: „Hey, was sagt eine Katze mit blauem Filter und rotem Aufkleber?"
- Antwort: „Sie sagt 1!" (Sie haben die Regel des Servers beibehalten). -> Sicher.
Böser Nachbar: „Hey, was sagt eine Katze mit blauem Filter und rotem Aufkleber?"
- Antwort: „Sie sagt 0!" (Sie versuchten, die Regel zu überschreiben, aber dabei haben sie die Regel des Servers so stark gestört, dass das Signal schwach oder verschwunden ist). -> Erwischt.

Warum ist „Coward" besser?

Der Artikel behauptet, dass diese Methode die zwei großen Probleme löst:

Es ignoriert die „Merkwürdigkeit" der Nachbarn: Da es prüft, ob sie eine spezifische Regel beibehalten haben, anstatt nach „merkwürdigen" Updates zu suchen, wird es nicht durch Nachbarn mit unterschiedlichen Fototypen verwirrt.
Es schlägt das „Selbstbewusstsein"-Problem: Die alte „Falle"-Methode scheiterte, weil Modelle zu selbstbewusst waren, zufällige Dinge zu erraten. „Coward" funktioniert anders:
- Wenn ein Modell zu selbstbewusst über ein zufälliges, seltsames Bild ist (ein Zeichen des alten Problems), hilft es „Coward" in diesem Fall tatsächlich.
- Der böse Nachbar muss die spezifische Regel des Servers zerstören, um seinen eigenen zu verstecken. Diese „Kollision" ist so stark, dass selbst wenn das Modell über zufällige Dinge selbstbewusst ist, es nicht verbergen kann, dass es die spezifische Serverregel gebrochen hat.

Die Ergebnisse

Die Autoren testeten dies an Standard-Bilddatensätzen (wie CIFAR-10 und EMNIST). Sie fanden heraus, dass:

Coward fast alle bösen Nachbarn fängt (hohe True-Positive-Rate).
Coward selten gute Nachbarn rauswirft (sehr niedrige False-Positive-Rate), selbst wenn die Nachbarn sehr unterschiedliche Daten haben.
Selbst wenn die bösen Nachbarn versuchen, sich anzupassen und den Trick des Servers zu erraten, zerstören sie dabei ihren eigenen Angriff.

Kurz gesagt, Coward ist eine clevere Art zu sagen: „Ich werde dir eine spezifische Regel beibringen. Wenn du versuchst, sie zu brechen, um dein Geheimnis zu verbergen, wirst du so hart scheitern, dass ich weiß, dass du der böse Kerl bist. Wenn du ein guter Nachbar bist, lernst du einfach die Regel und bleibst sicher."

Technische Zusammenfassung: Coward – Kollisionsbasierte OOD-Wasserzeichen für eine praktische proaktive Erkennung von Federated Backdoors

1. Problemstellung

Federated Learning (FL) ermöglicht einen datenschutzkonformen kollaborativen Training, führt jedoch zu erheblichen Verwundbarkeiten gegenüber Backdoor-Angriffen, bei denen bösartige Clients Trigger injizieren, um das globale Modell zu manipulieren. Bestehende Verteidigungsmechanismen stehen vor zwei kritischen praktischen Einschränkungen:

Einschränkungen der passiven Erkennung (Non-IID-Divergenz): Traditionelle passive Methoden identifizieren bösartige Clients durch die Erkennung von Ausreißern in Modellparametern oder Gradienten. Diese Methoden sind jedoch stark anfällig für die inhärenten nicht-unabhängig und identisch verteilten (non-i.i.d.) Datenverteilungen und die zufällige Client-Teilnahme in FL. Diese Faktoren führen dazu, dass harmlose lokale Modelle eine hohe Varianz aufweisen, die oft die statistischen Signaturen bösartiger Updates imitiert, was zu hohen Raten falsch-positiver Ergebnisse oder übersehenen Erkennungen führt.
Einschränkungen der proaktiven Erkennung (OOD-Vorhersageverzerrung): Neuere proaktive Methoden wie BackdoorIndicator versuchen, durch das Injizieren von Out-of-Distribution (OOD)-Mustern in das Training einzugreifen. Sie verlassen sich auf den „Koexistenzeffekt", bei dem bösartige Modelle diese Muster besser bewahren als harmlose. Diese Methoden werden jedoch durch die inhärente OOD-Vorhersageverzerrung von Deep Neural Networks (DNNs) untergraben. DNNs neigen dazu, OOD-Stichproben mit hoher Konfidenz in willkürliche Klassen einzuteilen. Diese Verzerrung führt dazu, dass harmlose Clients eine unerwartet hohe Beibehaltung von OOD-Mustern aufweisen, was zu häufigen Fehleinschätzungen (falsch-positive Ergebnisse) führt, die aktuelle proaktive Methoden unzuverlässig machen.

2. Methodik: Coward

Die Autoren schlagen Coward (Collision-based OOD WAtermarking for Robust federated backdoor Detection) vor, ein proaktives Erkennungsframework, das von der Entdeckung eines Multi-Backdoor-Kollisionseffekts inspiriert ist.

2.1 Kern-Erkenntnis: Der Kollisionseffekt

Während bestehende Arbeiten beobachteten, dass Backdoors, die dasselbe Label anvisieren, koexistieren, entdeckten die Autoren, dass nacheinander gepflanzte Backdoors, die unterschiedliche Labels anvisieren, sich signifikant gegenseitig stören und unterdrücken. Dieser „Kollisionseffekt" bildet die Grundlage für das neue Erkennungsparadigma.

2.2 Das Erkennungsparadigma: Umgekehrte Logik

Coward kehrt die Logik bestehender proaktiver Methoden um:

Bestehend (Koexistenz): Hohe Beibehaltung eines injizierten Musters = Bösartig.
Coward (Kollision): Hohe Beibehaltung eines injizierten Wasserzeichens = Harmlos. Geringe Beibehaltung (Löschung) = Bösartig.

In diesem umgekehrten Paradigma werden die durch OOD-Verzerrung bei harmlosen Clients verursachten Vorhersagen mit hoher Konfidenz (die zuvor falsch-positive Ergebnisse verursachten) vorteilhaft, da sie die Bewahrung des Wasserzeichens anzeigen.

2.3 Technische Umsetzung

Die Methode läuft in drei Stufen ab:

Wasserzeichen-Injektion (Server-seitig):
- Der Server konstruiert eine regulierte Dual-Mapping auf OOD-Daten (z. B. EMNIST für eine CIFAR-10-Aufgabe).
- Regulierte Basismapping ( $\pi_1$ ): Eine feste, eins-zu-eins-Mapping von OOD-Labels zu Aufgaben-Labels wird etabliert, um den OOD-Raum zu stabilisieren und Mehrdeutigkeiten zu reduzieren. Dies steht im Gegensatz zu den zufälligen Mappings, die in BackdoorIndicator verwendet werden.
- Zielgerichtetes Wasserzeichen-Mapping ( $\pi_2$ ): Ein spezifischer Teilbereich von OOD-Stichproben erhält ein Triggermuster und wird einer festen Zielklasse ( $y_m$ ) zugeordnet.
- Das globale Modell wird auf diesen OOD-Daten mit einem Regularisierungsterm feinabgestimmt, um die ursprüngliche Aufgabenleistung zu bewahren und gleichzeitig das Wasserzeichen einzubetten.
Wasserzeichen-Interaktion (Client-seitig):
- Clients führen lokales Training auf ihren privaten Daten durch.
- Harmlose Clients: Optimieren nur den Aufgabenverlust. Sie können das OOD-Wasserzeichen aufgrund nicht-i.i.d.-Daten leicht vergessen, bewahren aber im Allgemeinen die Trigger-zu-Ziel-Mapping bei.
- Bösartige Clients: Optimieren sowohl die Aufgabe als auch ihr spezifisches Backdoor-Ziel. Da ihr Backdoor eine andere Klasse anvisiert als das Wasserzeichen, tritt der Kollisionseffekt auf: Der bösartige Backdoor unterdrückt oder löscht das serverseitig injizierte Wasserzeichen aktiv während des lokalen Trainings.
Wasserzeichen-Erkennung (Server-seitig):
- Der Server bewertet die lokalen Modelle unter Verwendung des mit Wasserzeichen versehenen OOD-Datensatzes.
- Er misst die Genauigkeit der spezifischen Trigger-zu-Ziel-Mapping.
- Entscheidungsregel: Clients mit einer Wasserzeichen-Genauigkeit unter einem Schwellenwert $\beta$ werden als bösartig markiert (was darauf hindeutet, dass das Wasserzeichen durch eine Kollision unterdrückt wurde). Clients mit hoher Genauigkeit gelten als harmlos.

3. Hauptbeiträge

Identifizierung von Einschränkungen: Das Papier analysiert und demonstriert rigoros, wie Nicht-i.i.d.-Datenheterogenität die passive Erkennung untergräbt und wie OOD-Vorhersageverzerrung proaktive Erkennungsmethoden grundlegend begrenzt.
Entdeckung der Multi-Backdoor-Kollision: Die Autoren identifizieren und charakterisieren das Phänomen, bei dem unterschiedliche Backdoors, die verschiedene Labels anvisieren, sich gegenseitig stören und zuvor gepflanzte Effekte unterdrücken.
Coward-Framework: Eine neuartige proaktive Erkennungsmethode, die diesen Kollisionseffekt nutzt, um ein umgekehrtes Erkennungsparadigma zu schaffen. Dieses Design wirkt der OOD-Verzerrung auf natürliche Weise entgegen, da Vorhersagen harmloser Clients mit hoher Konfidenz (eine Fehlerquelle in früheren Arbeiten) nun korrekterweise harmloses Verhalten signalisieren.
Robustheit: Die Methode führt eine wenig störende Trainingsintervention ein, die die Stärke der OOD-Verzerrung inhärent begrenzt und die Fehleinschätzungen im Vergleich zu fortschrittlichen Baselines erheblich reduziert.

4. Experimentelle Ergebnisse

Umfangreiche Experimente wurden auf Benchmark-Datensätzen (CIFAR-10, CIFAR-100, EMNIST) unter verschiedenen Settings durchgeführt:

Non-IID-Resilienz: Coward erreichte konsistent True-Positive-Raten (TPR) von über 95 % und False-Positive-Raten (FPR) von unter 10,5 % über verschiedene Grade von Datenheterogenität hinweg ( $\alpha = 0,3$ bis $0,9$). Im Gegensatz dazu sanken die TPRs passiver Methoden (z. B. MultiKrum, Flame) unter starker Heterogenität signifikant (oft unter 10 %).
Fortgeschrittene Angriffe: Die Methode behielt eine hohe Leistung gegen schleichende Angriffe (z. B. Neurotoxin, Chameleon) und verschiedene Trigger-Typen (sichtbar, unsichtbar, semantisch) bei, während passive Methoden eine erhebliche Verschlechterung erlitten.
Szenarien mit mehreren Angreifern: Coward blieb auch dann wirksam, wenn bis zu 70 % der Clients bösartig waren, ein Szenario, in dem ausreißerbasierte passive Methoden vollständig versagten.
OOD-Verzerrungs-Minderung: Im Vergleich zu BackdoorIndicator reduzierte Coward das OOD-Verzerrungsniveau und die daraus resultierende falsch-positive Rate erheblich, selbst bei Verwendung diverser oder synthetischer OOD-Datensätze.
Adaptive Angriffe: Die Methode zeigte Resilienz gegenüber adaptiven Angreifern, die versuchten, das Wasserzeichen-Ziel zu erraten. Solche Versuche induzierten oft einen „lokalen Kollisionswiderspruch", schwächten den eigenen Backdoor des Angreifers und scheiterten daran, die Erkennung zu umgehen.

5. Bedeutung und Behauptungen

Das Papier behauptet, dass Coward einen bedeutenden Schritt hin zu einer praktischen, proaktiven Backdoor-Erkennung im Federated Learning darstellt. Durch die Verschiebung der Erkennungsgrundlage von „Musterbewahrung" (die anfällig für OOD-Verzerrung ist) zu „Musterkollision" bewirkt die Methode:

Lösung der OOD-Verzerrungs-Herausforderung: Sie verwandelt die inhärente Vorhersageverzerrung von DNNs mit hoher Konfidenz auf OOD-Daten von einer Schwäche in ein zuverlässiges Signal für harmloses Verhalten.
Überwindung der Non-IID-Sensitivität: Sie entkoppelt die Erkennung von Ausreißern im Parameterraum und macht sie robust gegenüber der Datenheterogenität, die passive Methoden plagt.
Bereitstellung eines neuen Paradigmas: Sie etabliert eine neue Richtung für die FL-Sicherheit, die die Interferenz zwischen mehreren Backdoors nutzt, anstatt sich auf deren Koexistenz zu verlassen.

Die Autoren schließen, dass Coward die Herausforderung der OOD-Verzerrung effektiv lindert, fortschrittlichste Leistung erzielt und gleichzeitig die Integrität der primären Funktionalität des globalen Modells bewahrt.