💻 computer science

ProtoGuard-SL: Prototype Consistency Based Backdoor Defense for Vertical Split Learning

Das Paper stellt ProtoGuard-SL vor, eine serverseitige Verteidigungsmethode für vertikales Split Learning, die durch die Nutzung prototypenbasierter Konsistenz und konformaler Filterung robuste Abwehrmechanismen gegen Backdoor-Angriffe auf Zwischenrepräsentationen bietet und dabei einen State-of-the-Art-Erfolg auf verschiedenen Datensätzen demonstriert.

Ursprüngliche Autoren: Yuhan Shui, Ruobin Jin, Zhihao Dou, Zhiqiang Gao

Veröffentlicht 2026-04-07

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Yuhan Shui, Ruobin Jin, Zhihao Dou, Zhiqiang Gao

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie und mehrere Freunde möchten gemeinsam ein sehr kluges Gehirn (eine künstliche Intelligenz) trainieren, um Krankheiten zu erkennen oder Kredite zu prüfen. Das Problem: Niemand möchte seine privaten Daten (wie Krankenakten oder Bankkonten) mit den anderen teilen.

Die Lösung: „Vertikales Split-Learning"
Statt die Daten zu teilen, trainiert jeder nur einen kleinen Teil des Gehirns mit seinen eigenen Daten. Jeder schickt dann nur eine Art „Zusammenfassung" oder „Gedankenblitz" (im Fachjargon: Embedding) an einen zentralen Server. Der Server kombiniert diese Gedankenblitze, lernt daraus und schickt das Ergebnis zurück. So bleibt die Privatsphäre gewahrt.

Das Problem: Der unsichtbare Saboteur
Jetzt kommt der Bösewicht (der Angreifer) ins Spiel. Er hat einen der Freunde kompromittiert. Dieser Freund schickt zwar auch „Gedankenblitze", aber er hat einen kleinen, unsichtbaren Hack in sie eingebaut.

Die Metapher: Stellen Sie sich vor, der Angreifer gibt jedem Gedankenblitz einen winzigen, unsichtbaren „Stempel". Wenn das Gehirn später einen bestimmten Reiz sieht (z. B. ein rotes Bild), ignoriert es den Inhalt und sagt stattdessen immer „Krankheit" oder „Kredit ablehnen", egal was wirklich da ist.
Das Problem: Diese Stempel sind so gut versteckt, dass sie im normalen Raum der Daten wie ganz normale Gedankenblitze aussehen. Herkömmliche Sicherheitsmaßnahmen sehen sie nicht, weil sie nur nach groben Fehlern suchen.

Die Lösung: ProtoGuard-SL (Der „Prototyp-Wächter")
Die Autoren des Papers haben eine neue Sicherheitsmethode namens ProtoGuard-SL entwickelt. Hier ist, wie sie funktioniert, einfach erklärt:

Die Idee der „Muster":
Stellen Sie sich vor, Sie haben eine Gruppe von Menschen, die alle „Hunde" sind. Alle Hunde sehen sich ähnlich (sie haben vier Beine, Schwänze, etc.). Das ist ihr gemeinsames „Muster" (im Paper: Prototyp).
Wenn ein Angreifer einen Hund verkleidet, um wie eine Katze auszusehen, aber immer noch ein Hund ist, passt er nicht mehr perfekt in das „Hunde-Muster".
Schritt 1: Der Vergleich (Der Prototyp-Bau)
Der Server schaut sich alle „Gedankenblitze" an, die für eine bestimmte Kategorie (z. B. „Hunde") gedacht sind, und baut ein perfektes, durchschnittliches Muster (einen Prototyp) daraus.
- Einfach gesagt: Der Server fragt: „Wie sieht ein typischer, ehrlicher Gedanke für diese Kategorie aus?"
Schritt 2: Der Umzug in eine neue Welt (Die Transformation)
Hier passiert das Magische. Statt die Gedankenblitze so zu betrachten, wie sie sind, wandelt der Server sie in eine neue Art von „Landkarte" um. Auf dieser neuen Landkarte wird nicht gemessen, wie weit etwas weg ist, sondern wie gut es zum Muster passt.
- Die Analogie: Stellen Sie sich vor, Sie haben eine Gruppe von Freunden, die alle gerne Pizza essen. Jemand kommt herein und sagt: „Ich mag Pizza", aber er isst nur Brokkoli. In der normalen Welt (der alten Karte) sieht er vielleicht aus wie jeder andere. Aber auf der neuen „Pizza-Landkarte" fällt sofort auf: „Hey, dieser Typ passt gar nicht zur Gruppe!"
  Der Angreifer kann zwar die Daten manipulieren, aber er kann nicht verhindern, dass die manipulierten Daten nicht mehr perfekt zum „echten Muster" passen.
Schritt 3: Der Filter (Die Aussonderung)
Der Server nutzt nun einen cleveren mathematischen Trick (konformer Filter), um zu prüfen: „Passt dieser Gedankeblitz wirklich zu den anderen ehrlichen Gedanken dieser Gruppe?"
Wenn jemand zu sehr abweicht (weil er den Hack-Stempel trägt), wird er einfach herausgefiltert und nicht weiterverwendet. Die ehrlichen Daten bleiben unberührt.

Warum ist das so toll?

Es ist wie ein Detektiv, der nicht nach Beweisen sucht, sondern nach dem Gefühl: Herkömmliche Methoden suchen nach offensichtlichen Fehlern. ProtoGuard-SL sucht nach dem „Gefühl", dass etwas nicht zur Gruppe passt.
Es funktioniert überall: Die Tests zeigten, dass diese Methode auf verschiedenen Daten (Bilder von Autos, Hausnummern, Bankdaten) funktioniert und den Angreifer fast vollständig ausschaltet, ohne die Genauigkeit für die ehrlichen Nutzer zu verschlechtern.
Es ist robust: Selbst wenn der Angreifer versucht, sich anzupassen (adaptive Angriffe), scheitert er daran, dass er das natürliche, innere Muster der Gruppe nicht perfekt nachahmen kann, ohne sich selbst zu verraten.

Zusammenfassung:
ProtoGuard-SL ist wie ein sehr aufmerksamer Türsteher in einem Club. Er weiß genau, wie sich die „echten Mitglieder" (die sauberen Daten) verhalten. Wenn jemand reinkommt, der sich zwar als Mitglied ausgibt, aber im Inneren (in der Art, wie er zum Gruppenbild passt) nicht stimmt, wird er erwischt und rausgeworfen, bevor er Schaden anrichten kann. So bleibt das gemeinsame Gehirn sicher und funktioniert weiterhin perfekt.

1. Problemstellung

Vertikales Split Learning (SL) ermöglicht es verschiedenen Parteien, Modelle gemeinsam zu trainieren, ohne ihre Rohdaten auszutauschen. Dabei halten die Clients Teilmerkmale der Daten, während ein Server die Labels besitzt. Obwohl dies den Datenschutz verbessert, hat sich gezeigt, dass SL anfällig für Backdoor-Angriffe ist, die auf den Embedding-Raum (den Zwischenrepräsentationen) abzielen.

Angriffsvektor: Böswillige Clients manipulieren die gesendeten Embeddings, indem sie versteckte Trigger injizieren. Diese Trigger sind so gestaltet, dass sie das Server-Modell unter bestimmten Bedingungen auf eine vom Angreifer gewünschte Klasse lenken, ohne die Leistung auf sauberen Daten signifikant zu beeinträchtigen.
Herausforderung: Herkömmliche Abwehrmechanismen scheitern oft, da die vergifteten Embeddings im ursprünglichen Merkmalsraum eine hohe Überlappung mit sauberen Embeddings aufweisen (stealth attacks). Sie verletzen nicht die geometrischen Normen, sondern stören die semantische Konsistenz innerhalb einer Klasse. Bestehende Verteidigungen bieten nur begrenzten Schutz gegen adaptive Angriffe.

2. Methodik: ProtoGuard-SL

Die Autoren schlagen ProtoGuard-SL vor, eine serverseitige Verteidigung, die auf der Beobachtung basiert, dass vergiftete Embeddings die klassenbedingte Repräsentationskonsistenz (class-conditional representation consistency) stören. Das Verfahren läuft in zwei Hauptphasen ab:

A. Prototyp-basierte Konsistenz-Repräsentation

Statt die Embeddings im ursprünglichen Raum zu analysieren, transformiert ProtoGuard-SL sie in einen relationalen Raum:

Klassen-Prototypen: Der Server nutzt die verfügbaren Labels, um für jede Klasse einen robusten Prototypen $p_c$ zu konstruieren. Dieser wird als der koordinatenweise Median aller Embeddings der Klasse berechnet, um die Robustheit gegenüber einer kleinen Anzahl vergifteter Datenpunkte zu gewährleisten.
Konsistenz-Vektor: Jedes Embedding $E_k$ wird in einen Vektor $v_k$ transformiert, der die Kosinus-Ähnlichkeit zwischen dem Embedding und allen Klassen-Prototypen enthält:
$v_k = [\cos(E_k, p_1), \cos(E_k, p_2), \dots, \cos(E_k, p_{|C|})]$
Diese Transformation hebt die relativen semantischen Ausrichtungen hervor. Saubere Daten zeigen stabile Muster, während vergiftete Daten anomale Ähnlichkeitsprofile aufweisen.

B. Klassenbedingtes, verteilungsfreies Filtern

Um Anomalien zu identifizieren, wird ein Conformal Filtering-Ansatz verwendet:

Abweichungsscore: Für jedes Embedding wird ein Score $s_k$ berechnet, der die Abweichung des Konsistenz-Vektors $v_k$ vom Median-Referenzmuster $\mu_{y_k}$ der jeweiligen Klasse misst ( $s_k = \|v_k - \mu_{y_k}\|^2$ ).
Conformal P-Wert: Anstatt eine parametrische Verteilung anzunehmen, wird der P-Wert basierend auf dem Rang der Abweichungsscores innerhalb der jeweiligen Klasse berechnet. Ein Embedding wird als sauber markiert, wenn sein P-Wert einen Schwellenwert $\alpha$ überschreitet. Dies macht die Methode robust gegenüber Skalierungsunterschieden und Klassenungleichgewichten.

3. Hauptbeiträge

Identifikation eines neuen Angriffsvektors: Die Arbeit zeigt auf, dass Backdoor-Angriffe in SL primär die semantische Konsistenz innerhalb einer Klasse stören, anstatt große geometrische Verschiebungen zu verursachen.
Neue Repräsentation: Entwicklung einer prototyp-basierten Konsistenz-Repräsentation, die Embeddings in einen relationalen Raum abbildet und die Trennbarkeit zwischen sauberen und vergifteten Proben drastisch verbessert.
Robuste Filterstrategie: Design einer verteilungsfreien, klassenbedingten Filtermechanik, die Backdoor-Angriffe effektiv abweist, ohne die Genauigkeit auf sauberen Daten zu beeinträchtigen.
Umfassende Evaluation: Die Methode wurde auf drei Datensätzen (CIFAR-10, SVHN, Bank Marketing) und unter verschiedenen Angriffssettings (VILLAIN, SplitNN, BadVFL) getestet.

4. Ergebnisse

Die Experimente zeigen, dass ProtoGuard-SL den State-of-the-Art (SOTA) erreicht:

Leistung: Im Vergleich zu Baselines wie Differential Privacy (DP), Model Pruning (MP), Adversarial Neuron Pruning (ANP) und VFLIP erzielt ProtoGuard-SL die höchste Hauptgenauigkeit (MA) und die niedrigste Angriffserfolgsrate (ASR).
Quantitative Werte: Auf CIFAR-10 unter dem VILLAIN-Angriff reduzierte ProtoGuard-SL die ASR von 0,92 (ohne Verteidigung) auf 0,06, während die MA bei 0,83 blieb (im Vergleich zu 0,80 ohne Verteidigung). Andere Methoden sanken entweder in der MA oder konnten die ASR nicht so stark senken.
Robustheit: Die Methode bleibt auch bei unterschiedlichen Bottom-Model-Architekturen (ResNet-18, VGG-19) und bei steigender Anzahl von Clients (Skalierbarkeit) stabil.
Ablationsstudie: Das Entfernen der Konsistenz-Repräsentation führte zu einem starken Anstieg der ASR, was die zentrale Rolle dieses Moduls unterstreicht.

5. Bedeutung und Fazit

ProtoGuard-SL adressiert eine kritische Sicherheitslücke im vertikalen Split Learning. Indem es sich auf die semantische Konsistenz statt auf rohe Geometrie stützt, bietet es eine effektive Abwehr gegen hochversteckte Backdoor-Angriffe, die bisher schwer zu erkennen waren. Die Methode ermöglicht es, die Vorteile der datenschutzfreundlichen Zusammenarbeit zu nutzen, ohne dabei die Integrität des trainierten Modells zu gefährden. Sie stellt einen wichtigen Schritt hin zu robusteren und vertrauenswürdigeren verteilten Lernsystemen dar.