🤖 machine learning

Your Neighbors Know: Leveraging Local Neighborhoods for Backdoor Detection in Decentralized Learning

Dieser Beitrag stellt Argus vor, ein neuartiges dezentralisiertes Framework zur Erkennung von Backdoors, das lokale Nachbarschaftskollaboration und strukturelle Ähnlichkeitsmetriken nutzt, um bösartige Knoten ohne zentrale Koordination zu identifizieren und zu entfernen, wodurch eine hohe Angriffsmitigation erreicht wird, während gleichzeitig die Modellnutzbarkeit und Konvergenzgarantien auch unter Datenheterogenität erhalten bleiben.

Ursprüngliche Autoren: Sayan Biswas, Antoine Boutet, Davide Frey, Romaric Gaudel, Rachid Guerraoui, Maxime Jacovella, Anne-Marie Kermarrec, Dimitri Lerévérend, François Taïani, Martijn de Vos

Veröffentlicht 2026-05-20

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Sayan Biswas, Antoine Boutet, Davide Frey, Romaric Gaudel, Rachid Guerraoui, Maxime Jacovella, Anne-Marie Kermarrec, Dimitri Lerévérend, François Taïani, Martijn de Vos

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich eine Nachbarschaft vor, in der alle gemeinsam versuchen, eine einzige, perfekte Karte ihrer Stadt zu erstellen. Anstatt dass eine Person in einem zentralen Büro alle Daten sammelt, zeichnet jeder Bewohner (oder „Knoten") seinen eigenen Abschnitt der Karte basierend auf dem, was er in seinem eigenen Garten sieht, und teilt dann seine Zeichnung mit seinen unmittelbaren Nachbarn. Sie tauschen diese Zeichnungen ständig aus und vermischen sie, bis sich alle über die endgültige Karte einig sind. Dies ist Dezentrales Lernen (DL).

Das Problem? Einige böswillige Akteure (Angreifer) schleichen sich in die Nachbarschaft. Sie versuchen nicht, die gesamte Karte zu ruinieren; stattdessen platzieren sie einen winzigen, versteckten „Trigger" (wie einen bestimmten roten Aufkleber) auf ihren Zeichnungen. Sie lehren die Karte: „Wenn du einen roten Aufkleber siehst, ignoriere das Haus und zeige stattdessen auf den Park." Für eine normale Person, die ein normales Haus betrachtet, sieht die Karte perfekt aus. Aber wenn Sie einen roten Aufkleber auf ein Haus kleben, gerät die Karte in Verwirrung und zeigt auf den falschen Ort. Dies ist ein Backdoor-Angriff.

Die Arbeit stellt ein neues System namens ARGUS (benannt nach dem Riesen der griechischen Mythologie mit hundert Augen) vor, um diese böswilligen Akteure zu fangen, ohne dass ein Polizeichef (zentraler Server) alle überwachen muss.

Hier ist, wie ARGUS funktioniert, unter Verwendung einfacher Analogien:

1. Der „Reverse-Engineering"-Detektiv (Lokale Erkennung)

In alten Zeiten, wenn man einen Fälscher fangen wollte, brauchte man einen Meisterexperten, der jede einzelne Zeichnung betrachtete. Aber in dieser Nachbarschaft gibt es keinen Meisterexperten.

ARGUS gibt jedem ehrlichen Bewohner eine spezielle Lupe. Wenn ein Nachbar eine neue Zeichnung überreicht, verwendet der Bewohner seine Lupe, um zu fragen: „Wenn ich versuche, diese Zeichnung zu täuschen, damit sie auf den falschen Ort zeigt, welchen winzigen Aufkleber müsste ich dann verwenden?"

Sie versuchen, den versteckten Trigger zu „reverse-engineern".
Der Haken: Manchmal, weil Nachbarn verschiedene Gärten haben (unterschiedliche Daten), könnten sie versehentlich denken, ein normaler Grasfleck sei ein Trigger. Dies erzeugt Fehlalarme. Wenn wir einfach aufhören würden, jemandem zu vertrauen, der einen Fehlalarm ausgelöst hat, würde die ganze Nachbarschaft aufhören, Karten auszutauschen, und das Projekt würde scheitern.

2. Die „Blockparty"-Verifizierung (Kollaborative Verifizierung)

Dies ist die Magie von ARGUS. Anstatt dass eine Person entscheidet, wer ein Lügner ist, sprechen die Nachbarn miteinander.

Das Szenario: Bewohner A denkt, die Zeichnung von Nachbar B enthält einen böswilligen Trigger.
Die Prüfung: Bewohner A fragt die anderen Nachbarn von Nachbar B: „Hey, seht ihr diesen gleichen seltsamen Trigger auf Bs Zeichnung?"
Die Erkenntnis:
- Wenn es ein echter Backdoor ist: Alle ehrlichen Nachbarn werden denselben versteckten Trigger finden (z. B. einen roten Aufkleber in der unteren rechten Ecke). Es sieht konsistent aus, wie ein Fingerabdruck.
- Wenn es ein Fehlalarm ist: Bewohner A könnte einen „Trigger" sehen, weil sein Garten viele rote Blumen hat. Aber Bewohner C, der nebenan wohnt, könnte einen „Trigger" sehen, der wie ein blauer Fleck aussieht, weil sein Garten blaue Fliesen hat. Ihre „Trigger" sehen völlig unterschiedlich und zufällig aus.

ARGUS verwendet einen „Ähnlichkeitstest", um diese Trigger zu vergleichen. Wenn die Trigger strukturell ähnlich aussehen (wie derselbe rote Aufkleber), ist es ein echter Angriff, und der böse Nachbar wird ausgeschlossen. Wenn die Trigger wie zufälliges Rauschen aussehen, ist es nur ein Missverständnis, und der Nachbar wird vertraut.

3. Der „Vertrauensscore" (Zustandsmaschine)

ARGUS führt für jeden Nachbarn ein kleines Notizbuch.

Vertrauenswürdig: Du bist in Ordnung.
Verdächtig: Du wurdest ein paar Mal gemeldet. Wir werden dich genau beobachten.
Ausgestoßen: Du wurdest zu oft erwischt. Du darfst dem Gruppe keine Zeichnungen mehr übergeben.

Warum ist das eine große Sache?

Kein Chef nötig: Die meisten Sicherheitssysteme erfordern einen zentralen Server, um alle zu überprüfen. ARGUS funktioniert rein auf Peer-to-Peer-Vertrauen, was es perfekt für dezentrale Netzwerke macht (wie eine Gruppenchat oder eine Blockchain).
Umgang mit Unterschieden: In einer echten Nachbarschaft ist jeder Garten anders (einige haben Bäume, andere haben Pools). Diese „Datenheterogenität" verwirrt Sicherheitssysteme normalerweise und führt dazu, dass unschuldige Leute ausgeschlossen werden. ARGUS ist intelligent genug, den Unterschied zwischen „seltsam wegen deines Gartens" und „seltsam, weil du ein Lügner bist" zu erkennen.
Die Ergebnisse: In ihren Tests fing ARGUS die böswilligen Akteure und stoppte die Backdoor-Angriffe (reduzierte die Erfolgsrate des Angriffs um bis zu 90 Punkte), während er gleichzeitig der Gruppe erlaubte, eine hochwertige Karte zu erstellen (die Genauigkeit der Karte blieb fast so gut, als hätten sie einen perfekten, allwissenden Orakel).

Kurz gesagt: ARGUS verwandelt das natürliche Klatschen und die Zusammenarbeit der Nachbarschaft in eine Superkraft. Anstatt eine zentrale Autorität zu benötigen, um Lügner zu fangen, arbeiten die Nachbarn zusammen, um das Muster der Lüge zu erkennen und es vom natürlichen Chaos ihrer verschiedenen Gärten zu unterscheiden.

Technische Zusammenfassung: ARGUS – Nutzung lokaler Nachbarschaften zur Backdoor-Erkennung im dezentralen Lernen

Problemstellung

Dezentrales Lernen (DL) ermöglicht es Knoten, maschinelle Lernmodelle kollaborativ ohne zentrale Server zu trainieren, was Skalierbarkeit und Fehlertoleranz bietet. Diese kollaborative Natur macht DL jedoch anfällig für Backdoor-Angriffe. Bei solchen Angriffen injizieren bösartige Knoten adversariale Updates, die das globale Modell dazu bringen, Eingaben mit einem bestimmten Trigger-Muster (z. B. einem Pixel-Fleck) falsch in ein Ziel-Label zu klassifizieren, während die Genauigkeit bei sauberen Eingaben hoch bleibt.

Bestehende Verteidigungsmechanismen, die primär für Federated Learning (FL) entwickelt wurden, verlassen sich auf einen zentralen Server, um Updates zu aggregieren und globale Anomalieerkennung oder robuste Aggregation durchzuführen. Diese Ansätze sind in vollständig dezentralen Umgebungen nicht anwendbar, in denen Knoten nur mit unmittelbaren Nachbarn kommunizieren und keine globale Übersicht über Updates haben. Darüber hinaus erschwert Datenheterogenität (nicht unabhängig und nicht identisch verteilte Daten, oder NIID-Daten) die Erkennung, da lokale statistische Anomalien, die durch Unterschiede in der Datenverteilung verursacht werden, mit Backdoor-Trigger verwechselt werden können, was zu hohen Raten falsch-positiver Ergebnisse führt.

Methodik: Das ARGUS-Framework

Die Autoren stellen ARGUS vor, ein Framework zur Backdoor-Erkennung, das nativ für DL entwickelt wurde, ohne zentrale Koordination auskommt und keine Vorabinformationen über den Trigger erfordert. ARGUS funktioniert durch einen dreistufigen Arbeitsablauf, der von ehrlichen Knoten ausgeführt wird:

1. Lokale Trigger-Erkennung

Nach dem Empfang eines Modell-Updates von einem Nachbarn versucht jeder ehrliche Knoten unabhängig, einen potenziellen Backdoor-Trigger unter Verwendung seines lokalen Validierungsdatensatzes zu rekonstruieren.

Mechanismus: Angelehnt an den DETRIGGER-Ansatz berechnet der Knoten Gradienten der Eingabeschicht, um eine kleine Eingabestörung zu identifizieren, die eine Fehlklassifizierung in ein spezifisches Ziel-Label erzwingt.
Ausgabe: Eine binäre Entscheidung darüber, ob das Update verdächtig ist, sowie ein Kandidaten-Trigger-Muster ( $\hat{\tau}$ ).
Herausforderung: In NIID-Umgebungen verursacht lokale Datenheterogenität „falsch-positive" (FP) Trigger. Diese FP-Trigger sind über verschiedene erkennende Knoten hinweg strukturell inkonsistent, da sie aus lokalen Datenverzerrungen und nicht aus einem gemeinsamen bösartigen Signal entstehen.

2. Kollaborative Verifizierung

Um echte Backdoors von Fehlalarmen zu unterscheiden, nutzt ARGUS die Netzwerktopologie. Wenn ein Knoten ein Update als verdächtig markiert, fragt er die anderen Nachbarn des Senders ab, um den rekonstruierten Trigger zu cross-validieren.

Einblick in strukturelle Ähnlichkeit: Echte Backdoor-Trigger (True Positives), die von einem Angreifer implantiert wurden, sind strukturell konsistent; verschiedene ehrliche Knoten, die dasselbe bösartige Update rekonstruieren, werden ähnliche Trigger-Muster wiederherstellen. Im Gegensatz dazu erscheinen FP-Trigger, die durch Datenheterogenität verursacht werden, als unabhängige, zufällige Masken.
Metrik: Das System verwendet eine Strukturelle Ähnlichkeit (SSIM)-Metrik auf den Energiekarten der Top- $k$ -Pixel der rekonstruierten Trigger.
Entscheidungsregel: Ein Update wird nur abgelehnt, wenn mindestens $\kappa$ Nachbarn den Verdacht bestätigen, indem sie einen Trigger mit einem Ähnlichkeitswert über einem kalibrierten Schwellenwert $\xi$ melden. Dieser Schwellenwert wird offline unter Verwendung eines Gaußschen Zufallsfeldmodells für falsch-positive Ergebnisse abgeleitet und erfordert keine Trainingsdaten oder Kenntnisse über den tatsächlichen Trigger.

3. Vertrauens-Zustandsautomat

Um den Rechenaufwand zu reduzieren und persistente Angreifer zu handhaben, führen Knoten einen pro-Nachbar-Vertrauenszustandsautomaten mit drei Zuständen durch: VERTRAUENSWÜRDIG, VERDÄCHTIG und AUSGESCHLOSSEN.

Knoten wechseln in den Zustand VERDÄCHTIG nach aufeinanderfolgenden bestätigten Ablehnungen und werden dauerhaft AUSGESCHLOSSEN, wenn Ablehnungen über ein gleitendes Fenster hinweg anhalten.
Updates von AUSGESCHLOSSENEN Knoten werden automatisch verworfen, ohne weitere Verifizierung.

Hauptbeiträge

ARGUS-Framework: Das erste Framework zur Backdoor-Erkennung für DL, bei dem Knoten Trigger lokal rekonstruieren und zusammenarbeiten, um sie zu verifizieren, wodurch die Notwendigkeit eines zentralen Servers oder von Trigger-Kenntnissen entfällt.
Theoretische Konvergenzgarantien: Die Arbeit liefert die erste Konvergenzanalyse für eine DL-spezifische Backdoor-Verteidigung. Sie modelliert die Ablehnung von Updates als asymmetrische Link-Ausfälle und beweist, dass ARGUS eine Konvergenzrate beibehält, die mit dem Standard-DL vergleichbar ist, sofern die Wahrscheinlichkeit einer fälschlichen Ablehnung ehrlicher Updates ( $p_{fp}$ ) gering ist.
Empirische Validierung: Umfassende Evaluierung an drei Datensätzen (CIFAR-10, FEMNIST, TinyImageNet) gegen State-of-the-Art-Baselines (MULTI-KRUM, BADFL, P2PCD) und unter variierenden Niveaus von Datenheterogenität.

Experimentelle Ergebnisse

Unterdrückung von Angriffen: ARGUS reduziert die Attack Success Rate (ASR) von über 70 % (in ungeschützten Szenarien) auf unter 7 % in allen Settings. In FEMNIST und TinyImageNet sinkt die ASR auf nahezu Null.
Modell-Nützlichkeit: Das Framework bewahrt die Clean Test Accuracy (CA) innerhalb von 5 Prozentpunkten eines „allwissenden Orakels" (einer theoretischen Verteidigung, die die Identitäten der Angreifer kennt).
Robustheit gegenüber Heterogenität: Im Gegensatz zu distanzbasierten Baselines wie MULTI-KRUM, deren Leistung mit zunehmender Datenheterogenität erheblich nachlässt, verbessert sich die Wirksamkeit von ARGUS oder bleibt stabil. Dies liegt daran, dass die kollaborative Verifizierung die durch Datenheterogenität verursachten strukturellen Inkonsistenzen effektiv filtert.
Vergleich mit Baselines: ARGUS übertrifft bestehende DL-Verteidigungen (BADFL, P2PCD), die entweder Backdoors nicht unterdrücken oder signifikante Genauigkeitsverluste (bis zu 20 Prozentpunkte) verursachen.

Bedeutung und Behauptungen

Die Autoren behaupten, dass ARGUS einen wichtigen Schritt hin zu backdoor-resilientem dezentralen Lernen darstellt. Seine primäre Bedeutung liegt in:

Dezentralisierung: Die erfolgreiche Anpassung der Backdoor-Verteidigung an eine serverlose Umgebung durch Nutzung der Peer-to-Peer-Topologie als Merkmal und nicht als Einschränkung.
Differenzierung: Die Fähigkeit, echte Backdoors von falsch-positiven Ergebnissen, die durch Datenheterogenität verursacht werden, durch kollaborative strukturelle Analyse sauber zu trennen.
Theoretische Strenge: Bereitstellung formaler Konvergenzgarantien, die die probabilistische Natur der Update-Filterung in der dezentralen Optimierung berücksichtigen.

Die Autoren räumen Einschränkungen ein und stellen fest, dass der aktuelle Ansatz sich auf räumlich lokalisierte Patch-Trigger konzentriert und semantische Backdoors noch nicht adressiert. Zudem könnte zukünftige Arbeit, obwohl das Framework bösartige Updates effektiv ablehnt, untersuchen, wie verifizierte Trigger genutzt werden können, um Backdoors zu „verlernen", anstatt Updates einfach zu verwerfen.