Stellen Sie sich eine Welt vor, in der Ihr Telefon, Ihr Laptop und Ihre Smartwatch alle lernen wollen, eine Katze zu erkennen, aber keiner von ihnen seine privaten Fotos jemandem zeigen möchte. Sie können die Bilder nicht einfach an einen zentralen Lehrer senden, da dies ein Albtraum für die Privatsphäre wäre. Stattdessen nutzen sie einen cleveren Trick namens Federated Learning (Föderiertes Lernen). Stellen Sie sich das wie eine Gruppe von Schülern vor, die an einem Gruppenprojekt arbeiten, sich aber in separaten Räumen befinden. Jeder Schüler arbeitet seine eigenen Notizen durch, schreibt seinen eigenen „Lehrplan“ (ein Modell-Update) auf und übergibt diesen dem Lehrer. Der Lehrer mischt alle Lehrpläne zusammen, um einen superintelligenten Master-Leitfaden zu erstellen, und schickt diesen dann an alle zurück. Alle wiederholen diesen Prozess und werden gemeinsam schlauer, ohne jemals ihre eigentlichen Notizen zu teilen.

Aber hier ist der Haken: Was ist, wenn einer der Schüler ein Unruhestifter ist? In der digitalen Welt werden diese Unruhestifter als Byzantine Devices (byzantinische Geräte) bezeichnet. Sie könnten absichtlich falsche, verwirrende oder gar zerstörerische Lehrpläne senden, um das abschließende Gruppenprojekt zu ruinieren. Normaln versucht der Lehrer, den Unruhestifter zu finden, indem er nach dem „Außenseiter“ sucht oder einen geheimen „Lösungsschlüssel“ (einen Root-Datensatz) verwendet, um die Arbeit zu überprüfen. Das wird jedoch schwierig. Wenn die Unruhestifter zu zahlreich sind, versagt die Methode des „Außenseiters“. Und wenn der Lehrer keinen perfekten Lösungsschlüssel hat (was er aufgrund von Datenschutzgesetzen oft nicht haben kann), kann er die Arbeit überhaupt nicht überprüfen. Zudem lernen die Schüler aus sehr unterschiedlichen Notizen (einige haben Katzen, andere Hunde), weshalb ihre natürlichen Lehrpläne bereits etwas unterschiedlich aussehen – was es schwer macht, zwischen echten Fehlern und absichtlicher Fälschung zu unterscheiden.

Hier setzt eine neue Studie mit einer frischen Idee namens FL-OA an. Die Forscher schlagen eine Lösung vor, die sich ein wenig so anfühlt, als würde man einen externen Detektiv engagieren. Anstatt dass der Hauptlehrer alles allein zu machen versucht, arbeitet er mit einem vertrauenswürdigen Outsourced Server (externen Server) zusammen, der tatsächlich über einen geheimen Lösungsschlüssel verfügt. Dieser Detektiv überprüft die Arbeit der Schüler, aber mit einem Twist: Er schaut sich nicht jedes einzelne Detail des Lehrplans an. Stattdessen nutzt er eine spezielle „Wichtigkeitsanzeige“, um nur auf die kritischsten Teile der Notizen zu zoomen und das Rauschen zu ignorieren. Dies hilft ihm, die fehlerhaften Updates zu entdecken, selbst wenn die Klasse riesig und die Notizen chaotisch sind. Zudem lehrt die Studie die Schüler eine neue Art des gemeinsamen Lernens, indem sie einen kleinen „Korrektur-Schritt“ in ihre Hausaufgaben einbauen, damit selbst ehrliche Schüler mit unterschiedlichen Notizen am Ende Lehrpläne schreiben, die sich ähnlicher sehen, was es einfacher macht, die gefälschten zu entlarven.

Das neue Werkzeugset des Detektivs

Die Arbeit mit dem Titel „FL-OA: A Byzantine-Robust Federated Learning Framework with Outsourced Auditing for Intelligent Devices“ stellt ein Framework vor, das darauf ausgelegt ist, diesen kollaborativen Lernprozess vor Sabotage zu schützen. Die Autoren, unter der Leitung von Hongliang Zhang und Jiguo Yu, argumentieren, dass bestehende Abwehrmethoden zwei große Schwachstellen haben. Erstens gehen sie oft davon aus, dass die meisten Schüler gut sind (die Regel „die Mehrheit ist rechtschaffen“), was scheitert, wenn die Bösen mehr als die Hälfte der Klasse übernehmen. Zweitens haben sie Schwierigkeiten, wenn die Daten der Schüler sehr unterschiedlich sind (ein Problem, das als Non-IID bekannt ist), was dazu führt, dass ehrliche Lehrpläne so verschieden aussehen, dass sie fälschlicherweise als fehlerhafte Updates eingestuft werden.

Um dies zu beheben, führt FL-OA eine dreiteilige Strategie ein. Zuerst bringen sie einen Outsourced Server (OS) ins Spiel. Stellen Sie sich vor, der Hauptlehrer (Task Server) ist beschäftigt und besitzt keinen Lösungsschlüssel. Er sendet die Arbeit der Schüler an einen vertrauenswürdigen Dritten, der den Schlüssel besitzt. Dieser OS fungiert als Auditor, der die Arbeit prüft, ohne dass der Hauptlehrer jemals die Rohdaten sehen oder den Lösungsschlüssel besitzen muss. Dies bricht die alte Regel, dass der Lehrer die Daten besitzen muss, um die Arbeit zu prüfen.

Zweitens befasst sich die Arbeit mit dem Problem der „chaotischen Notizen“. In der Realität lernen Schüler aus unterschiedlichen Büchern. Die Autoren fanden heraus, dass dies dazu führt, dass ehrliche Lehrpläne auseinanderdriften, was die Abwehrsysteme verwirrt. Um dies zu verhindern, haben sie einen Gradient Ascent Step (Gradientenaufstieg-Schritt) und einen Correction Term (Korrekturterm) in den lokalen Trainingsprozess integriert. Stellen Sie sich das wie einen speziellen Kompass und einen „Magneten“ vor, die die Schüler sanft zurück zur Mitte ihrer Lehrpläne ziehen. Dies stellt sicher, dass selbst wenn ihre Notizen unterschiedlich sind, ihre finalen Zusammenfassungen dennoch aufeinander abgestimmt bleiben, was es viel einfacher macht, den einen Schüler zu entlarven, der Unsinn schreibt.

Drittens, und vielleicht am kreativsten, löst die Arbeit den „Fluch der Dimensionalität“. Moderne Lehrpläne sind gewaltig und enthalten Millionen von Zahlen (Parametern). Jeden einzelnen Parameter zu prüfen, ist so, als würde man versuchen, eine Nadel im Heuhaufen zu finden, indem man jedes einzelne Strohhalm untersucht; es ist langsam und die Unterschiede gehen in der schieren Größe des Heuhaufens verloren. Die Autoren haben einen Parameter Importance Indicator (PII) entwickelt. Dies ist ein intelligenter Filter, der sagt: „Schau nicht auf alles. Schau nur auf die wichtigsten 30 % der Zahlen.“ Durch die Konzentration auf nur diese kritischen Parameter kann der Auditor die fehlerhaften Updates viel schneller und genauer erkennen und vermeidet die Verwirrung, die durch die massive Größe der Daten entsteht.

Was sie herausgefunden haben

Die Forscher testeten ihr neues Framework, FL-OA, gegen mehrere andere Verteidigungsmethoden unter Verwendung populärer Bilddatensätze wie CIFAR-10 und CIFAR-100. Sie simulierten Szenarien, in denen bis zu 50 % der Geräte böswillig waren und verschiedene Arten von Angriffen starteten, wie etwa Gaussian Attacks (das Senden von zufälligem Rauschen), Neurotoxin Attacks (das Vergiften spezifischer Teile des Modells) und Focused-Flip Attacks (das Umkehren der Vorzeichen einiger Zahlen).

Die Ergebnisse waren vielversprechend. In Simulationen, in denen 50 % der Geräte bösartig waren, behielt FL-OA eine deutlich höhere Genauigkeit als die anderen Methoden bei. Beispielsweise erreichte FL-OA beim CIFAR-10-Datensatz mit einer schwierigen Datenverteilung (DIR(0.1)) unter Gaussian Attacks eine Genauigkeit von etwa 73 %, während andere Methoden wie Krum auf etwa 37 % abfielen. Die Studie legt nahe, dass FL-OA besonders stark ist, weil es nicht auf der Annahme basiert, dass die guten Geräte in der Mehrheit sind; es funktioniert selbst dann, wenn die Bösen die Mehrheit stellen.

Die Autoren führten auch „Ablationsstudien“ durch, die vergleichbar mit dem Zerlegen einer Maschine sind, um zu sehen, welche Zahnräder die Arbeit verrichten. Sie fanden heraus, dass das Entfernen des „Korrekturterms“ oder des „Gradient Ascent Steps“ das System schwächer machte, was beweist, dass diese Ergänzungen essenziell sind, um die Arbeit der ehrlichen Schüler aufeinander abzustimmen. Ebenso stellten sie fest, dass die Verwendung der kritischen Parameter (die obersten 30 %) für das Auditing besser funktionierte als die Überprüfung aller Parameter, was bestätigte, dass die „Zoom-in“-Strategie den Fluch der Dimensionalität effektiv umgeht.

Dennoch merkt die Arbeit auch einige Einschränkungen an. Das System beruht auf der Annahme, dass der Outsourced Server ehrlich ist und nicht mit den bösen Geräten unter einer Decke steckt. Wenn der Detektiv und die Betrüger kolludieren, könnte das System versagen. Die Autoren schlagen vor, in Zukunft mehrere unabhängige Auditoren einzusetzen, um dies zu lösen. Sie testeten das System auch mit „Zwei-Klassen“-Daten, bei denen der Root-Datensatz und die Daten der Schüler völlig unterschiedliche Kategorien hatten (wie z. B. der Root mit nur Katzen und die Schüler mit nur Hunden). In diesen extremen Fällen sank die Leistung des Systems, was darauf hindeutet, dass es am besten funktioniert, wenn es eine gewisse Überschneidung in den Datentypen gibt.

Letztendlich zeigt die Arbeit, dass durch die Kombination eines vertrauenswürdigen externen Auditors mit smarteren lokalen Trainingstechniken und einer fokussierten Auditing-Strategie ein Federated-Learning-System aufgebaut werden kann, das selbst gegen die aggressivsten Angriffe robust ist, ohne dass der Hauptserver sensible Daten halten muss. Die Autoren kommen zu dem Schluss, dass trotz bestehender Herausforderungen wie Datenschutz und Kollusion FL-OA einen bedeutenden Schritt nach vorn darstellt, um kollaborative KI sicherer und zuverlässiger zu machen.