🤖 machine learning

TOFD: Target-Oriented Feature Decoupling against Poisoning Attacks in Split Federated Learning

Dieses Paper schlägt Target-Oriented Feature Decoupling (TOFD) vor, ein einheitliches Framework für Split Federated Learning, das Zielinferenz, Probenreinigung und Entkopplungsoptimierung integriert, um vielfältige Poisoning-Angriffe proaktiv zu erkennen und robust zu mildern, während gleichzeitig ein geringer Rechenaufwand beibehalten wird.

Ursprüngliche Autoren: Yuhan Xie, Jingrong Huang, Chen Lyu

Veröffentlicht 2026-08-10

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Yuhan Xie, Jingrong Huang, Chen Lyu

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich eine Welt vor, in der Ihr Smartphone, Ihre Smartwatch und der Laptop Ihres Nachbarn alle zusammenarbeiten, um eine neue Fähigkeit zu erlernen, wie etwa das Erkennen seltener Vögel oder das Diagnostizieren von Hautzuständen, ohne jemals ihre privaten Fotos zu teilen. Dies ist das Versprechen von Federated Learning: einer Methode, mit der Computer gemeinsam lernen können, während die Daten auf ihren eigenen Geräten verschlossen bleiben. Aber es gibt einen Haken. Um dies auf Telefonen mit begrenzter Akkulaufzeit und geringer Leistung zu ermöglichen, haben Wissenschaftler das Split Federated Learning erfunden. Stellen Sie sich das wie einen Staffellauf vor, bei dem der erste Läufer (Ihr Telefon) einen Teil der Strecke läuft, den Stab (eine komprimierte, verschlüsselte Version der Daten) an den Trainer (einen leistungsstarken zentralen Server) übergibt, der das Rennen zu Ende führt. Dies schont die Energie Ihres Telefons und hält Ihre Fotos privat.

Doch wie bei jedem Staffellauf besteht das Risiko eines Saboteurs. Ein böswilliger Akteur könnte versuchen, den Stab gegen einen gefälschten auszutauschen oder den falschen Weg zu laufen, um das gesamte Team zu täuschen und es dazu zu bringen, das Falsche zu lernen. Dies wird als Poisoning Attack (Vergiftungsangriff) bezeichnet. In der Vergangenheit waren Abwehrmechanismen gegen diese Angriffe oft zu schwerfällig für den Server zu bewältigen oder zu langsam, um die Betrüger zu entlarven, bevor sie das Spiel ruinierten. Die große Frage, die Forscher zu beantworten versuchen, lautet: Wie können wir die gefälschten Stäbe und die Betrüger sofort erkennen, ohne den Lauf zu verlangsamen oder die ehrlichen Läufer auszusortieren?

Hier kommt ein neues Framework namens TOFD (Target-Oriented Feature Decoupling) ins Spiel. Die Autoren Yuhan Xie, Jingrong Huang und Chen Lyu schlagen ein kluges dreistufiges System vor, um das Split Federated Learning vor diesen Poisoning Attacks zu schützen. Sie argumentieren, dass der „Stab“ (die komprimierten Daten), da er durch den Server läuft, der perfekte Ort ist, um die Unruhestifter zu fassen.

Zuerst spielt TOFD Detektiv, um herauszufinden, wer versucht zu betrügen und was gezielt angegriffen wird. Anstatt jeden einzelnen Läufer zu überprüfen, sucht es nach „Sicherheitszonen“ für jede Art von Daten (wie eine bestimmte Vogelart). Wenn der Stab eines Läufers merkwürdig anders aussieht als das übliche Muster der Gruppe, markiert das System ihn. Aber hier liegt der Trick: Das System weiß, dass ehrliche Läufer manchmal nur etwas anders laufen könnten, weil sie unterschiedliche Daten haben (wie eine andere Kamera). Daher verwendet es einen speziellen „Margin Perturbation“-Test, um zwischen einer harmlosen Variation und einem bösartigen Angriff zu unterscheiden.

Zweitens, sobald das System weiß, welche Klasse von Daten angegriffen wird, sperrt es nicht einfach den gesamten Läufer aus. Stattdessen führt es eine Sample Purification (Probenreinigung) durch. Stellen Sie sich einen Türsteher vor einem Club vor, der nicht die ganze Gruppe rauswirft, sondern sorgfältig den Ausweis jeder einzelnen Person prüft. TOFD filtert nur die spezifischen „vergifteten“ Stäbe der verdächtigen Läufer heraus, während die ehrlichen erhalten bleiben. Dies stellt sicher, dass das Team immer noch genügend Daten zum Lernen hat, ohne kontaminiert zu werden.

Schließlich könnten selbst nach der Filterung noch einige hinterhältige Muster durchschlüpfen. Um dies zu handhaben, nutzt TOFD eine Decoupling Optimization Strategie. Es trainiert ein spezielles „Guidance Model“, das lernt, wie das Gift aussieht. Während des eigentlichen Trainings drängt es dann aktiv das Modell des Servers von diesen schlechten Mustern weg, was den Einfluss des Gifts effektiv neutralisiert.

Die Forscher testeten dieses System mit fünf verschiedenen Datensätzen, darunter Bilder von Hautläsionen und handgeschriebenen Ziffern. Ihre Ergebnisse legen nahe, dass TOFD äußerst effektiv darin ist, verschiedene Arten von Angriffen zu erkennen – egal, ob die Betrüger die Daten, die Labels oder die Modellgewichte fälschen – und dabei das System schnell und effizient hält. Sie lieferten zudem mathematische Beweise, die zeigen, dass das System schließlich zur Ruhe kommt und korrekt lernt. Kurz gesagt: TOFD bietet einen robusten, leichtgewichtigen Schutzschild, der es kollaborativer KI ermöglicht, sicher zu lernen, selbst wenn einige Teilnehmer versuchen, unsauber zu spielen.

Technisches Resümee: TOFD – Zielorientierte Merkmalsentkopplung gegen Vergiftungsangriffe in Split Federated Learning

1. Problemstellung

Split Federated Learning (SFL) kombလည်း die Vorteile des Datenschutzes von Federated Learning (FL) mit der Recheneffizienz von Split Learning (SL), indem es Modelle zwischen Clients und Servern aufteilt. Während Clients Zwischenrepräsentationen („smashed data“) an den Server zur weiteren Verarbeitung übertragen, führt diese Architektur einzigartige Schwachstellen ein. Im Gegensatz zum Standard-FL, bei dem sich Verteidigungsmechanismen oft auf Modellaktualisierungen konzentrieren, ist SFL anfällig für Vergiftungsangriffe (Poisoning Attacks), die gezielt bestimmte Phasen der Pipeline angreifen, einschließlich lokaler Merkmalsrepräsentationen, Labels, „smashed data“ und clientseitiger Gewichte.

Bestehende Verteidigungsmechanismen, die weitgehend aus konventionellem FL adaptiert wurden, versäumen es, die spezifischen Charakteristika der SFL-Architektur zu nutzen. Sie übersehen oft die entscheidende Rolle der „smashed data“ als primären Kanal für Vergiftungssignale. Infolgedessen haben aktuelle Methoden Schwierigkeiten mit drei Hauptproblemen:

Hoher Overhead: Die häufige Übertragung von „sched data“ erfordert leichtgewichtige Erkennungsmechanismen, um prohibitive Kommunikationskosten zu vermeiden.
Non-IID-Konfusion: In dynamischen Systemen ist es schwierig, zwischen benignen Non-IID-Datenverteilungen und bösartigen adversariellen Manipulationen zu unterscheiden, was zu hohen Falsch-Positiv-Raten führt.
Residuelle Effekte: Selbst wenn vergiftete Daten gefiltert werden, können bösartige clientseitige Modelle das globale Modell durch Aggregation kontaminieren, wodurch residuelle adversarielle Effekte zurückbleiben.

2. Methodik: TOFD-Framework

Die Autoren schlagen das Target-Oriented Feature Decoupling (TOFD) vor, ein einheitliches Framework, das proaktive Detektion mit robuster Optimierung integriert. TOFD operiert durch eine dreistufige Pipeline:

Stufe 1: Target Inference (Klassenweise Angriffsziel-Inferenz)

Diese Stufe zielt darauf ab, potenzielle Angriffsziele mit geringem Overhead zu identifizieren, indem der Fokus auf verdächtige Klassen eingegrenzt wird.

Konstruktion der initialen Safe Zone: Das System modelliert die klassenweise Merkmalsverteilung der „smashed data“ mittels eines empirischen Gauß-Ansatzes. Es berechnet die 2-Wasserstein-Distanz zwischen der lokalen Verteilung eines Clients und der historischen globalen Verteilung. Ein modifizierter Z-Score identifiziert einen initialen Satz von „verdächtigen Clients“, die außerhalb einer Safe Zone liegen.
Verifizierung der distributional consistency: Um bösartiges Verhalten von benignen Non-IID-Variationen zu unterscheiden, führt das Framework einen Distributional Consistency Score (DCS) ein. Dieser misst die durch einen verdächtigen Client induzierte Verteilungsverschiebung.
Margin Perturbation (MP): Ein Schwellenwert wird basierend auf der maximal zulässigen Abweichung innerhalb der benignen Verteilung (MP) festgelegt. Clients, deren DCS innerhalb des MP liegt, werden als benign beibehalten; jene, die den MP überschreiten, werden als bösartig identifiziert und als Ziel spezifischer Klassen inferiert.

Stufe 2: Sample Purification (Klassen-kalibrierte Probenreinigung)

Anstatt ganze Clients zu verwerfen (was die Datendiversität reduziert), führt TOFD eine feingranulare Filterung auf den identifizierten Zielklassen durch.

Adaptive Schwellenwertbildung: Für Stichproben innerhalb einer Zielklasse wird die Abweichung von der globalen Verteilung quantifiziert. Ein klassen-kalibrierter Schwellenwert ( $\tau_k$ ) wird dynamisch unter Verwendung des Interquartilsabstands (IQR) und der MP-Werte berechnet. Dieser Schwellenwert passt sich den spezifischen Dispersionscharakteristika jeder Klasse an.
Filterung: Stichproben, welche den Schwellenwert überschreiten, werden als bösartig ( $Z^-$ ) klassifiziert, während jene darunter liegende als benign ( $Z^+$ ) beibehalten werden. Dies stellt sicher, dass nur validierte benigne Repräsentationen die globale Verteilung und das serverseitige Modell aktualisieren.

Stufe 3: Decoupling Optimization (Bösartige Merkmalsentkopplung)

Um die residuellen adversariellen Einflüsse durch bösartige clientseitige Modelle zu adressieren, die nach der Filterung bestehen bleiben könnten, integriert TOFD ein Entkopplungsziel in die serverseitige Optimierung.

Adversarial Guidance Model: Ein Leitmodell ( $R$ ), das dieselbe Architektur wie das serverseitige Modell teilt, wird auf den detektierten bösartigen „smashed data“ ( $Z^-$ ) feinabgestimmt, um angriffsinduzierte Muster zu erfassen.
Gemeinsame Verlustfunktion: Das serverseitige Modell wird unter Verwendung einer gemeinsamen Verlustfunktion optimiert, die aus:
1. Cross-Entropy Loss ( $L_{CE}$ ): Trainiert auf den validierten benignen Daten ( $Z^+$ ), um die Aufgabenleistung aufrechterhalten.
2. Decoupling Loss ( $L_{MFD}$ ): Maximiert die Kullback–Leibler-Divergenz zwischen dem serverseitigen Modell und dem adversariellen Leitmodell auf den bösartigen Daten ( $Z^-$ ). Dies zwingt den Server, von den Angriffsmustern abzuweichen, während die Integrität der benignen Merkmale bewahrt wird.

3. Kernbeiträge

Das Paper skizziert vier primäre Beiträge:

Einheitliches Framework: TOFD wird als ein Framework präsentiert, das systematisch feingranulare Detektion mit SFL-Optimierung integriert und eine effektive Abschwächung einer breiten Palette von Vergiftungsangriffen (Data, Weight, Smashed, Label und Multi-Vector) ermöglicht.
Entflechtungsmechanismus: Durch die Nutzung von klassenweiser Inferenz und Margin Perturbation entflechtet die Methode bösartiges Verhalten von benignen Non-IID-Variationen, ohne die Datendiversität zu opfern.
Residuelle Unterdrückung: Eine auf Adversarial Guidance basierende Entkopplungsstrategie wurde entwickelt, um den Einfluss residueller Angriffe zu unterdrücken, die über die Detektionsphase hinaus bestehen bleiben.
Theoretische Garantien: Die Autoren liefern eine formale theoretische Analyse, die die Rechenkomplexität charakterisiert und Konvergenzgarantien für das TOFD-Framework etabliert.

4. Experimentelle Ergebnisse

Umfangreiche Experimente wurden über fünf Datensätze (HAM10k, MNIST, F-MNIST, CIFAR10, CIFAR100) und diverse Modellarchitekturen (DenseNet121, ResNet18, ResNet50) durchgeführt.

Performance: TOFD übertraf konsistent State-of-the-Art-Verteidigungen über diverse Angriffsszenarien hinweg, einschließlich extremer Datenheterogenität.
Metriken: Das Framework demonstrierte überlegene Robustheit (Aufrechterhaltung hoher Genauigkeit unter Angriff) bei gleichzeitig geringem Rechen-Overhead, was es für den praktischen Einsatz geeignet macht.
Effizienz: Die Methode erreichte hohe Malicious Sample Detection Rates (MSDR) bei gleichzeitiger Bewahrung der Performance benigner Clients.

5. Bedeutung und Behauptungen

Das Paper behauptet, dass TOFD eine kritische Lücke in der SFL-Sicherheit schließt, indem es über die einfache Adaption von FL-Verteidigungen hinausgeht. Seine Bedeutung liegt in:

Ausnutzung des Split-Paradigmas: Es nutzt die Schnittstelle der „smashed data“ einzigartig als strategischen Checkpoint für frühzeitige Interventionen – ein Merkmal, das spezifisch für SFL ist und von früheren Arbeiten übersehen wurde.
Balance zwischen Robustheit und Nutzen: Durch die Anwendung klassen-kalibrierter Filterung statt Client-basierter Exklusion bewahrt es die Datendiversität und die Modellleistung in Non-IID-Settings.
Systemische Abschwächung: Die Integration der Entkopplungsoptimierung stellt sicher, dass selbst wenn einige bösartige Signale die Detektion umgehen, ihr Einfluss auf das finale globale Modell unterdrückt wird.

Die Autoren kommen zu dem Schluss, dass TOFD eine theoretisch fundierte, effiziente und robuste Lösung zur Sicherung von Split Federated Learning gegen komplexe Vergiftungsbedrohungen bietet.