Power to the Clients: Federated Learning in a Dictatorship Setting

Titel: Power to the Clients: Federated Learning in a Dictatorship Setting

Autoren: Mohammadsajad Alipour, Mohammad Mohammadi Amiri (Rensselaer Polytechnic Institute)

---

1. Problemstellung

Federated Learning (FL) ist ein dezentraler Ansatz, bei dem mehrere Clients gemeinsam ein globales Modell trainieren, ohne ihre lokalen Daten auszutauschen. Obwohl dies die Privatsphäre schützt, macht die dezentrale Natur das System anfällig für bösartige Teilnehmer (Byzantinische Clients).
Bisherige Forschung konzentrierte sich hauptsächlich darauf, Angriffe zu verhindern, die die Modellleistung verschlechtern (z. B. Byzantine Attacks) oder Hintertüren (Backdoors) einfügen.
Das neue Problem: Die Autoren identifizieren eine bisher wenig untersuchte Bedrohung: Ein oder mehrere bösartige Clients, die nicht die Leistung des Modells zerstören wollen, sondern dessen vollständige Kontrolle übernehmen. Diese „Diktator-Clients" zielen darauf ab, die Beiträge aller anderen (harmlosen) Clients aus dem globalen Modell zu löschen, während sie ihre eigenen Daten und Gradienten vollständig erhalten. Das Ziel ist es, das globale Modell so zu manipulieren, dass es ausschließlich die statistischen Eigenschaften der Daten des Angreifers widerspiegelt, als ob keine anderen Teilnehmer existiert hätten.

2. Methodik und Algorithmus

Die Autoren definieren eine neue Klasse von Angreifern, die als Diktator-Clients bezeichnet werden. Diese benötigen nur minimale Informationen (den Lernraten-Parameter des Servers, der auch geschätzt werden kann) und keinen Zugriff auf die internen Daten oder Updates anderer Clients.

A. Einzelner Diktator-Client (Single Dictator)

Ein einzelner Client $m$ manipuliert seine Updates, um die Gradienten aller anderen $N-1$ Clients zu kompensieren.

• Mechanismus: Der Client speichert eine lokale Kopie des Modells $\hat{\theta}_t^m$, die simuliert, wie das Modell aussehen würde, wenn nur er selbst trainiert hätte.
• Angriffsupdate: Anstatt den tatsächlichen Gradienten $\nabla L_m(\theta_t)$ zu senden, berechnet der Client ein manipuliertes Update $M_t$:
  $$M_t = \nabla L_m(\hat{\theta}_t^m) - \left( \frac{\hat{\theta}_{t-1}^m - \theta_t}{\eta} - \nabla L_m(\hat{\theta}_{t-1}^m) \right)$$
  Der Term in der Klammer rekonstruiert den aggregierten Gradienten des Servers aus dem vorherigen Schritt. Durch Subtraktion dieses Terms vom eigenen Gradienten (bezogen auf das simulierte Modell) hebt der Diktator die Beiträge aller anderen Clients auf.
• Ergebnis: Das globale Modell $\theta_{t+1}$ konvergiert fast exakt auf den Pfad $\hat{\theta}_{t+1}^m$, der nur durch die Daten des Diktators bestimmt wird.

B. Kollaborative Diktator-Clients (Collaborative Dictators)

Ein Gruppen von $P$ Clients koordiniert sich, um gemeinsam die Kontrolle zu übernehmen.

• Mechanismus: Die Gruppe hält ein synchronisiertes lokales Modell $\hat{\theta}_t^P$, das nur auf den Daten der $P$ Diktatoren basiert.
• Strategie: Jeder Diktator $k \in P$ sendet ein ähnliches manipuliertes Update, das die Gradienten der verbleibenden $N-P$ benignen Clients eliminiert. Die Gruppe tauscht Gradienten untereinander aus, um das gemeinsame lokale Modell zu aktualisieren.
• Ergebnis: Das globale Modell konvergiert so, als ob nur die $P$ Diktatoren am Training teilgenommen hätten.

C. Komplexere Szenarien

• Wettbewerb (Mutual Domination): Wenn alle Clients versuchen, Diktatoren zu sein, führt dies zu einem katastrophalen Zusammenbruch des Lernprozesses. Die gegenseitigen Kompensationsversuche führen zu einem Gradientenanstieg statt -abstieg, wodurch das Modell keine sinnvollen Repräsentationen lernt.
• Verrat (Betrayal): Innerhalb einer kollaborativen Gruppe kann ein Client strategisch seinen Partner verraten. Ein Client (z. B. Client 1) kooperiert zunächst, simuliert aber parallel ein eigenes, isoliertes Modell. Zu einem bestimmten Zeitpunkt $E$ sendet er ein „Cheating Update", das die Beiträge des Partners (Client 2) eliminiert und die volle Kontrolle an sich reißt.

3. Wichtige Beiträge

1. Formalisierung einer neuen Bedrohungsmodell: Einführung des Konzepts der „Diktator-Clients", deren Ziel die einseitige Dominanz des Modells ist, nicht dessen Zerstörung.
2. Analytische Traktabilität: Die Autoren liefern mathematische Beweise, die zeigen, wie diese Angriffe die Konvergenz des globalen Modells auf den Pfad der Angreifer lenken, unter der Annahme einer vollständigen Teilnahme aller Clients in jedem Schritt.
3. Erweiterung auf Multi-Agenten-Szenarien: Untersuchung von Interaktionen zwischen mehreren Angreifern, einschließlich Kooperation, Wettbewerb und strategischem Verrat.
4. Praktische Machbarkeit: Demonstration, dass diese Angriffe ohne privilegierten Serverzugriff und mit minimalem Wissen (nur Lernrate) durchführbar sind.

4. Experimentelle Ergebnisse

Die Autoren validierten ihre Theorien empirisch auf Computer-Vision- (MNIST, CIFAR-10) und NLP-Datensätzen (AG News).

• Einzelner Diktator: Das globale Modell erreichte eine Genauigkeit von 0,00 % auf den Datensätzen aller benignen Clients, während die Genauigkeit auf dem Datensatz des Diktators hoch blieb (z. B. 99,63 % auf MNIST für den Diktator).
• Kollaborative Diktatoren: Zwei oder drei koordinierte Clients konnten erfolgreich die Beiträge aller anderen unterdrücken. Das Modell lernte nur die Daten der Diktatoren.
• Robustheit: Die Angriffe blieben auch unter realistischen Bedingungen wirksam, wie z. B. beim zufälligen Entfernen von Clients in jedem Schritt (Client Dropout).
• Gegenmaßnahmen (Gradient Norm Clipping): Während Gradient-Norm-Clipping einzelne Diktator-Angriffe effektiv stoppen kann, wird die Verteidigung weniger wirksam, wenn mehrere Diktatoren zusammenarbeiten und eine Mehrheit bilden, da ihre geklammerten Updates kombiniert immer noch die benignen Clients überwiegen.
• Verrat: Experimente zeigten, dass ein kollaborativer Diktator erfolgreich seinen Partner ausbooten kann, wobei die Leistung auf dem Datensatz des Verratenen sofort auf Null fällt, während die Leistung des Verräters erhalten bleibt.

5. Bedeutung und Implikationen

• Sicherheitslücke: Die Arbeit zeigt, dass FL-Systeme selbst dann verwundbar sind, wenn die Angreifer nicht die Gesamtgenauigkeit des Modells senken wollen. Ein einzelner böswilliger Akteur kann das gesamte System „entführen".
• Reale Konsequenzen: In sensiblen Bereichen wie dem Gesundheitswesen könnte ein Diktator-Client (z. B. ein bestimmtes Krankenhaus) das globale Modell so verzerren, dass es nur für seine spezifische Patientengruppe funktioniert und für unterrepräsentierte Gruppen ungenau oder unsicher wird.
• Verteidigungsbedarf: Herkömmliche Byzantine-Robustheits-Methoden, die oft auf der Annahme basieren, dass Angreifer das Modell zerstören wollen, sind gegen diese „Influence-Preserving"-Angriffe möglicherweise unzureichend. Neue Verteidigungsmechanismen müssen in der Lage sein, die Dominanz einzelner oder kleiner Gruppen von Clients zu erkennen und zu verhindern, selbst wenn diese das Modell nicht offensichtlich „kaputt" machen.
• Systemdesign: Die Ergebnisse unterstreichen die Notwendigkeit von Mechanismen, die die Beiträge von Clients fair gewichten und verhindern, dass eine kleine Gruppe das aggregierte Ergebnis vollständig bestimmt.

Zusammenfassend stellt dieses Paper eine fundamentale Herausforderung für das Vertrauen in Federated Learning dar, indem es zeigt, wie einfach es sein kann, die Kontrolle über ein dezentrales Lernsystem zu übernehmen, ohne dass dies sofort durch einen Leistungsabfall auffällt.