Targeted Label-Flipping and Oversampling Attacks on Federated Conditional GANs

Stellen Sie sich eine Welt vor, in der eine Gruppe von Freunden gemeinsam einen superintelligenten Roboter-Künstler bauen möchte, aber sie können ihre privaten Skizzenbücher nicht miteinander teilen. Stattdessen zeichnet jeder von ihnen auf seinem eigenen Tablet und sendet nur die „Regeln“ für das Zeichnen an ein zentrales Hub. Dies ist Federated Learning: Eine Methode, bei der Computer gemeinsam lernen können, ohne jemals die rohen Daten der anderen zu sehen, wodurch die Privatsphäre gewahrt bleibt. Stellen Sie sich nun vor, der Roboter, den sie bauen, ist ein Generative Adversarial Network (GAN). Betrachten Sie ein GAN als ein kreatives Duett zwischen zwei Robotern: Einer ist der Generator, ein Künstler, der versucht, gefälschte Bilder zu erstellen, die echt aussehen, und der andere ist der Diskriminator, ein Kritiker, der versucht, die Fälschungen zu entlarven. Wenn man nun Conditional GANs ins Spiel bringt, gibt man dem Künstler eine spezifische Anweisung, wie zum Beispiel „Zeichne eine Katze“ oder „Zeichne einen Hund“, und der Roboter lernt so, diese Befehle perfekt zu befolgen.

Die große Frage, die diese Arbeit behandelt, lautet: Was passiert, wenn einer der Freunde in der Gruppe eigentlich ein Unruhestifter ist? In einem normalen Klassenzimmer würde ein Lehrer vielleicht einen Schüler erwischen, der sich falsch verhält. Aber in diesem geheimen Club der Computer vertraut das zentrale Hub jedem. Die Forscher wollten wissen, ob ein hinterlistiger Computer die gesamte Gruppe dazu bringen könnte, das Falsche zu lernen, insbesondere indem er die Labels (die Anweisungen) manipuliert, die er sendet. Sie entdeckten, dass ein böswilliger Akteur den Roboter-Künstler tatsächlich dazu bringen kann, die falschen Dinge zu zeichnen, und das Beängstigende daran ist, dass der allgemeine „Kunst-Score“ des Roboters immer noch perfekt aussehen kann, was den Schaden völlig verbirgt.

Der große Label-Austausch

In dieser Studie haben die Forscher ein Szenario aufgebaut, in dem einige „böswillige“ Clients (die Unruhestifter) sich einer Gruppe ehrlicher Computer anschließen, um ein Conditional GAN zu trainieren. Ihr Ziel? Einen Targeted Label-Flipping Attack durchzuführen. Stellen Sie sich vor, Sie bringen einem Roboter bei, Tiere zu erkennen. Sie zeigen ihm ein Bild einer Katze und sagen: „Das ist eine Katze.“ Der Unruhestifter jedoch nimmt das Bild einer Katze, vertauscht das Label und sagt dem Roboter: „Das ist ein Hund.“ Er tut dies für ein spezifisches Paar von Klassen – sagen wir, er verwandelt „Katzen“ in „Hunde“ – während er alles andere unverändert lässt.

Die Forscher testeten zwei Arten, dies zu tun. Die erste ist das Simple Label Flipping, bei dem der Unruhestifter einfach nur das Namensschild am Bild ändert. Die zweite, mächtigere Methode ist Oversampling. Hierbei ändert der Unruhestifter nicht nur das Label, sondern sagt dem Roboter auch: „Achte besonders auf dieses Bild! Schau es dir fünfmal an!“ Dies verstärkt die gefälschte Anweisung, was den Roboter viel schneller die falsche Lektion lernen lässt.

Der unsichtbare Schaden

Die faszinierendste Entdeckung der Arbeit ist, wie schwer es ist, diese Unruhestifter zu entlarven. Die Forscher verwendeten ein mathematisches Werkzeug namens KL-Divergenz (denken Sie an ein „Verwirrungs-Meter“), um zu messen, wie sehr das Verständnis des Roboters für „Katzen“ und „Hunde“ durcheinandergebracht wurde.

Sie fanden eine seltsame und gefährliche Asymmetrie. Wenn die Unruhestifter die Labels vertauschen, bricht die Fähigkeit des Roboters, zwischen der echten Katze und dem gefälschten Hund (der „Quell“- und der „Ziel“-Klasse) zu unterscheiden, sehr schnell zusammen. Das Verwirrungs-Meter zeigt einen linearen Abfall – das heißt, der Schaden tritt schnell und stetig ein, je mehr Unruhestifter hinzukommen.

Wenn man jedoch die Gesamtleistung des Roboters betrachtet oder wie gut er „Hunde“ im Vergleich zu einem „wahren“ Hund zeichnet, wächst der Schaden viel langsamer. Er wächst quadratisch. Auf Deutsch bedeutet dies, dass das Ergebnis des Roboters noch lange Zeit fast normal aussieht, während er heimlich korrumpiert wird. Die „Verwirrung“ zwischen den beiden spezifischen Klassen ist riesig, aber die „Abweichung“ von der wahren Hund-Form ist winzig.

Der „Aggregate FID“-Blinde Fleck

Um dies zu beweisen, ließen die Forscher Simulationen auf drei berühmten Bilddatensätzen laufen: FEMNIST (handgeschriebene Buchstaben), MNIST (handgeschriebene Zahlen) und CIFAR-10 (Farbfotos von Objekten wie Katzen und Hunden). Sie setzten ein Szenario mit 50 Clients auf, von denen einige ehrlich und einige böswillig waren.

Die Ergebnisse waren erschreckend klar. Sie maßen den Fréchet Inception Distance (FID), einen Standardwert, der verwendet wird, um zu beurteilen, wie gut die Bilder einer KI sind. Normalerweise ist ein niedrigerer Wert besser. Die Forscher fanden heraus, dass selbst wenn der Angriff stark genug war, um den Roboter dazu zu bringen, „Hunde“ zu zeichnen, die exakt wie „Katzen“ aussah, der Aggregate FID (der Score für alle Bilder kombiniert) sich kaum bewegte. Er änderte sich in einigen Fällen um weniger als 6 %.

Warum? Weil der Angriff so gezielt ist. Der Roboter zeichnet immer noch perfekte Katzen, perfekte Vögel und perfekte Autos. Es ist nur die „Hunde“-Kategorie, die heimlich voller Katzen ist. Da der Standard-Score alles zusammen mittelt, wird der massive Fehler in einer kleinen Kategorie durch die Perfektion der anderen unterdrückt. Es ist wie in einem Restaurant, in dem 99 % der Gerichte 5-Sterne-Qualität haben, aber ein bestimmtes Gericht eigentlich ein Schuh ist. Wenn man nur von allem ein bisschen probiert, könnte man denken, das Restaurant sei immer noch großartig, und übersieht dabei, dass das „Steak“ eigentlich ein Schuh ist.

Der Oversampling-Boost

Das Paper zeigte auch, dass die Oversampling-Variante (bei der der Unruhestifter sagt: „Schau fünfmal genauer hin“) noch effektiver war. Durch die Erhöhung der Gewichtung der vergifteten Stichproben konnten die Unruhestifter das gleiche Ausmaß an Schaden mit weniger böswilligen Akteuren erreichen oder mit der gleichen Anzahl an böswilligen Akteuren viel mehr Schaden anrichten. Entscheidend war, dass diese zusätzliche Macht den Angriff nicht leichter detektierbar machte. Das „Verwirrungs-Meter“ zeigte immer noch einen linearen Qualitätsverlust für das spezifische Paar, während der allgemeine „Kunst-Score“ hartnäckig flach blieb.

Das Fazle Fazit

Die Autoren kommen zu dem Schluss, dass gezielte Label-Flipping-Angriffe eine ernsthafte Bedrohung für Federated Conditional GANs darstellen, da sie effektiv und zugleich heimlich sind. Der Schaden an der spezifischen Beziehung zwischen zwei Klassen (wie Katzen und Hunden) tritt sofort und schwerwiegend ein, aber das Gesamtsystem sieht gesund genug aus, um Standard-Überwachungstools zu täuschen.

Das Paper legt nahe, dass wir, wenn wir diese Unruhestifter entlarven wollen, nicht nur auf den allgemeinen „Kunst-Score“ oder die durchschnittliche Qualität der Bilder schauen dürfen. Wir müssen die spezifischen Anweisungen genau prüfen. Wir müssen kontrollieren, ob der „Hunde“-Generator plötzlich wie ein „Katzen“-Generator agiert. Bis wir bessere Wege entwickeln, um diese spezifischen Klassen-zu-Klassen-Beziehungen zu überwachen, könnten Gruppen von Computern, die einen gemeinsamen KI trainieren, Schuhe als Steaks zeichnen, und niemand würde es merken, bis es zu spät ist.