Beyond Corner Patches: Semantics-Aware Backdoor Attack in Federated Learning

1. Problemstellung und Motivation

Herkömmliche Backdoor-Angriffe auf Federated Learning (FL) werden in der Forschung meist mit synthetischen, nicht-in-distribution (OOD) Mustern evaluiert, wie z. B. kleinen Ecken-Patches oder geometrischen Formen. Diese Trigger sind in der Praxis oft unrealistisch und leicht durch robuste Aggregationsmechanismen (z. B. Trimmed Mean, MultiKrum) zu erkennen und zu filtern.

Das Paper adressiert die Lücke zwischen theoretischen Evaluierungen und realistischen Bedrohungsszenarien. Die zentrale Frage lautet: Kann ein Backdoor-Angriff in FL auch dann erfolgreich sein, wenn die Trigger semantisch sinnvoll, in-distribution und visuell plausibel sind (z. B. das Hinzufügen einer Sonnenbrille zu einem Gesicht), während gleichzeitig die Genauigkeit auf sauberen Daten erhalten bleibt und robuste Abwehrmechanismen umgangen werden?

2. Methodik: SABLE

Die Autoren stellen SABLE (Semantics-Aware Backdoor for LEarning) vor, einen Angriff, der speziell für federierte Umgebungen entwickelt wurde. Der Ansatz besteht aus drei Hauptkomponenten:

A. Semantische Trigger-Generierung

Anstatt synthetische Patches zu überlagern, werden Trigger durch semantische Bildbearbeitung erzeugt.

• Technik: Es wird das instruction-basierte Bildbearbeitungsmodell MGIE verwendet.
• Beispiele:
  • CelebA: Hinzufügen einer Sonnenbrille zu Personen (Trigger), um die Haarfarbe falsch zu klassifizieren (Zielklasse: „Schwarz").
  • GTSRB: Hinzufügen eines kleinen blauen Huts über ein Stop-Schild, um es als Vorfahrt-gewähren-Schild zu klassifizieren.
• Vorteil: Die Trigger sind in-distribution, physikalisch realisierbar und visuell schwer von echten Daten zu unterscheiden.

B. Datenorganisation auf dem bösartigen Client

Jeder bösartige Client unterteilt seine lokalen Daten in drei disjunkte Teilmengen:

1. Paarweise Daten ($D_{pair}$): Ein sauberes Bild und dessen semantisch bearbeitetes Gegenstück (Trigger), wobei das Trigger-Bild die Zielklasse erhält.
2. Nur-sauber ($D_c$): Zusätzliche saubere Bilder zur Stabilisierung der Genauigkeit auf normalen Daten.
3. Nur-Trigger ($D_t$): Zusätzliche Trigger-Bilder, die nur in ihrer bearbeiteten Form vorliegen.

C. Aggregationsbewusste Zielfunktion (Malicious Objective)

Das Kernstück von SABLE ist eine kombinierte Verlustfunktion, die während des lokalen Trainings minimiert wird. Sie besteht aus:

1. Klassifikationsverlust ($L_{CE}$):
   • Sicherstellt, dass saubere Bilder korrekt klassifiziert werden (Erhaltung der „Benign Accuracy").
   • Erzwingt die Fehlklassifikation von Trigger-Bildern auf die Zielklasse.
2. Feature-Separation Loss ($L_{sep}$):
   • Erzwingt eine große Distanz im Merkmalsraum (penultimate layer) zwischen dem sauberen und dem getriggerten Bild desselben Eingangs.
   • Ziel: Der Merkmalsvektor soll sich eindeutig in Richtung der Zielklasse verschieben, sobald der Trigger vorhanden ist, während Hintergrundvariationen (Pose, Beleuchtung) ignoriert werden.
3. Regularisierung ($L_{reg}$):
   • Bestraft große Abweichungen der lokalen Parameter vom globalen Modell ($\theta^{(g)}$).
   • Ziel: Die Updates der bösartigen Clients bleiben „aggregationsfreundlich" und werden nicht als Ausreißer von Verteidigungsalgorithmen wie MultiKrum oder Trimmed Mean erkannt.
4. Gradient Masking (Neurotoxin-Stil):
   • Wichtige Parameter (basierend auf ihrer Bedeutung für saubere Daten) werden selektiv gedämpft, sodass der Backdoor in einem Unterraum geringer Wichtigkeit residieren kann.

3. Schlüsselergebnisse

Die Evaluation erfolgte auf den Datensätzen CelebA (Haarfarben-Klassifizierung) und GTSRB (Verkehrszeichenerkennung) unter Verwendung von ResNet-18 und VGG-16. Verglichen wurde SABLE mit einer naiven Bagdasaryan-artigen Backdoor-Basislinie.

• Robustheit gegen Verteidigungen: SABLE übertrifft die naive Basislinie signifikant unter robusten Aggregationsregeln:
  • MultiKrum: Die Basislinie verliert unter MultiKrum oft ihre Wirksamkeit (ASR sinkt stark), da ihre Updates als Ausreißer gefiltert werden. SABLE erreicht jedoch weiterhin hohe Angriffserfolgsraten (ASR), da die Regularisierung die Updates im „vertrauenswürdigen" Bereich hält.
  • Trimmed Mean & FilterFL: SABLE erreicht hier ebenfalls deutlich höhere ASR-Werte bei vergleichbarer oder besserer sauberer Genauigkeit.
  • FLAME: Auch gegen diese spezialisierte Backdoor-Verteidigung bleibt SABLE effektiv.
• Trade-off Genauigkeit vs. Angriff: SABLE erreicht hohe ASR-Werte (oft >85–90% unter MultiKrum), während die Genauigkeit auf sauberen Daten (Clean Accuracy) nur minimal leidet und oft sogar besser ist als bei der Basislinie.
• Merkmalsraum-Analyse: UMAP-Visualisierungen zeigen, dass SABLE Trigger-Beispiele viel klarer und konsistenter in den Merkmalsraum der Zielklasse verschiebt als die naive Basislinie.
• Skalierbarkeit: Die Wirksamkeit steigt mit dem Anteil bösartiger Clients, wobei SABLE auch bei niedrigen Anteilen (10–20%) robust bleibt.

4. Hauptbeiträge

1. Formulierung eines realistischen Bedrohungsmodells: Untersuchung von Backdoor-Angriffen mit semantischen, in-distribution Triggern in FL, anstatt nur synthetischer Patches.
2. Entwicklung von SABLE: Ein Angriff, der semantische Trigger mit einer aggregrationsbewussten Zielfunktion kombiniert (Feature-Separation + Parameter-Regularisierung + Gradient Masking).
3. Empirischer Nachweis: Demonstration, dass bestehende robuste Aggregationsmechanismen (MultiKrum, Trimmed Mean, FLAME, FilterFL) gegen solche semantisch ausgerichteten Angriffe versagen können, wenn diese nicht explizit gegen semantische Verschiebungen geschützt sind.

5. Bedeutung und Fazit

Das Paper zeigt, dass die Sicherheitsbewertung von Federated Learning, die sich ausschließlich auf synthetische Ecken-Patches stützt, übermäßig optimistisch ist. Angreifer können realistische, physikalisch umsetzbare Trigger (wie Accessoires auf Objekten) nutzen, um Backdoors zu implementieren, die von modernen Verteidigungen übersehen werden.

Implikationen:

• Verteidigungsmechanismen müssen über einfache Distanz-basierte Filter hinausgehen und auch semantische Konsistenz sowie Verschiebungen im Merkmalsraum berücksichtigen.
• Die Annahme, dass robuste Aggregation Backdoors automatisch eliminiert, gilt nicht für semantisch ausgerichtete, aggregrationsbewusste Angriffe.
• Zukünftige Forschung muss sich auf die Entwicklung von Abwehrmethoden konzentrieren, die semantische Attribute und Repräsentationsverschiebungen explizit modellieren.

Zusammenfassend beweist SABLE, dass Backdoor-Angriffe in FL auch unter realistischen Bedingungen eine erhebliche und praktische Bedrohung darstellen.