Resumen Técnico: VTarbel

Definición del Problema

El Aprendizaje Federado Vertical (VFL, por sus siglas en inglés) permite que múltiples partes con conjuntos de características disjuntos entrenen modelos de forma colaborativa sin compartir datos brutos. Aunque las vulnerabilidades de privacidad (por ejemplo, la reconstrucción de características y la inferencia de etiquetas) están bien estudiadas, la robustez de seguridad del VFL contra ataques de etiquetas dirigidos durante la fase de inferencia permanece poco explorada. En tales ataques, una parte pasiva comprometida manipula sus características de entrada para forzar al modelo global a clasificar erróneamente las muestras en una etiqueta elegida por el adversario.

Los métodos de ataque de etiquetas dirigidas existentes sufren dos limitaciones críticas en escenarios prácticos:

1. Conocimiento Adversario Irreal: Los trabajos previos a menudo asumen que el atacante tiene acceso a conjuntos de datos auxiliares etiquetados, salidas del modelo global (logits/probabilidades) o muestras de prueba de otros participantes. En la realidad, las etiquetas son propiedad de la parte activa y nunca se comparten.
2. Negligencia en la Detección de Anomalías: Los despliegues de VFL en el mundo real suelen emplear detectores de anomalías (por ejemplo, basados en estadística o aprendizaje automático) para filtrar incrustaciones (embeddings) de características sospechosas. Los ataques existentes generan incrustaciones excesivamente optimizadas que se desvían significativamente de la distribución benigna, lo que las hace fácilmente detectables y provoca que el sistema rechace la entrada (devolviendo una etiqueta "REJ") en lugar de la etiqueta dirigida.

El desafío central es diseñar un ataque que opere bajo un conocimiento mínimo del adversario (sin acceso a etiquetas, salidas globales o datos de otras partes) mientras evade eficazmente los sistemas de VFL mejorados con detectores.

Metodología: Marco de Trabajo VTarbel

Los autores proponen VTarbel (Ataque de Etiqueta Dirigida de Inferencia VFL), un marco de trabajo de dos etapas diseñado para cerrar la brecha entre el conocimiento mínimo y la evasión efectiva. El marco divide la fase de inferencia en una Etapa de Preparación y una Etapa de Ataque.

1. Etapa de Preparación (Recopilación de Conocimiento)

El objetivo es recolectar el conocimiento esencial para entrenar modelos sustitutos locales sin consumir la mayor parte del conjunto de prueba.

• Selección de Muestras: El atacante selecciona un conjunto mínimo de muestras benignas de "alta expresividad" del conjunto de prueba no etiquetado. Esta selección es impulsada por la Discrepancia de la Media Máxima (MMD). El atacante selecciona iterativamente muestras que maximizan la reducción de la MMD entre el subconjunto seleccionado y la distribución del conjunto de prueba completo, asegurando que el subconjunto sea representativo.
• Adquisición de Etiquetas: Estas muestras seleccionadas se envían al sistema VFL siguiendo el protocolo estándar. Las etiquetas predichas devueltas (excluyendo "REJ") se tratan como pseudo-etiquetas.
• Entrenamiento del Modelo Local: Utilizando las muestras seleccionadas y sus pseudo-etiquetas, el atacante entrena localmente dos componentes críticos:
  • Detector Estimado: Una aproximación del detector de anomalías del defensor (por ejemplo, DeepAE o KDE) para estimar los límites de detección.
  • Modelo Sustituto: Un modelo construido añadiendo una cabeza de inferencia al modelo inferior entrenado por el atacante, imitando el comportamiento del modelo VFL global.

2. Etapa de Ataque (Creación Adversaria)

El atacante utiliza el modelo sustituto entrenado y el detector estimado para generar instancias adversarias para las muestras de prueba restantes.

• Objetivo de Optimización: El atacante realiza una optimización basada en gradientes (Descenso de Gradiente Proyectado) para perturbar las características brutas restantes. La función objetivo minimiza la pérdida de entropía cruzada entre la predicción del modelo sustituto y la etiqueta dirigida, mientras que simultáneamente minimiza la puntuación de anomalía predicha por el detector estimado.
• Restricciones: Las perturbaciones están restringidas por un límite de distancia (norma $L_p$) para asegurar que las características modificadas sigan siendo válidas e imperceptibles.
• Ejecución: Las incrustaciones maliciosas optimizadas se envían al sistema VFL. Debido a la transferibilidad de los ejemplos adversarios, estas incrustaciones están diseñadas para inducir al modelo global a predecir la etiqueta dirigida mientras permanecen dentro de la distribución "normal" aceptada por el detector del defensor.

Contribuciones Clave

1. Formalización del Problema: Los autores formalizan el ataque de etiqueta dirigida en VFL como un problema de optimización combinatoria: seleccionar un subconjunto óptimo de muestras de prueba para maximizar el número de clasificaciones erróneas en una etiqueta específica. Identifican esto como NP-duro y proponen una partición de dos etapas para resolverlo de manera práctica.
2. Marco de Ataque de Conocimiento Mínimo: VTarbel es el primer marco diseñado para operar bajo restricciones realistas (sin acceso a etiquetas, salidas globales) mientras contabiliza explícitamente los detectores de anomalías. Utiliza un paradigma de dos etapas donde la etapa de preparación minimiza el uso de muestras para entrenar modelos locales expresivos, preservando la mayoría de las muestras para el ataque.
3. Evaluación Extensa: El marco es evaluado a través de cuatro arquitecturas de modelos (MLP3, VGG13, ResNet18, DistilBERT), siete conjuntos de datos multimodales (TabFMNIST, CIFAR10, CINIC10, CIFAR100, TREC, IMDB) y dos detectores de anomalías (DeepAE, KDE).

Resultados Experimentales

• Desempeño Superior: VTarbel supera consistentemente a cuatro líneas base de vanguardia (LR-BA, HijackVFL, ADI, TIFS'23). Por ejemplo, en el modelo VGG13 con un detector DeepAE, VTarbel logra una Tasa de Éxito de Ataque (ASR) del 90.39%, mientras que la mejor línea base alcanza solo el 49.62%. En muchas configuraciones, las líneas base caen a un ASR cercano a cero cuando los detectores están activos, mientras que VTarbel mantiene altas tasas de éxito.
• Evasión de Detectores: El marco evade la detección con éxito. Los autores demuestran que el ASR de VTarbel permanece alto incluso cuando se endurece el umbral de detección del defensor, mientras que otros métodos fallan por completo.
• Robustez ante Defensas: El artículo evalúa tres defensas comunes de preservación de la privacidad (Incrustación Ruidosa, Incrustación Discreta, Incrustación Comprimida). Si bien la Incrustación Comprimida muestra cierta mitigación (reduciendo el ASR a ~47-7% dependiendo del conjunto de datos), esto conlleva un costo significativo para la precisión de inferencia de la tarea principal (cayendo por más de 10-20%). Las otras dos defensas son en gran medida ineficaces contra VTarbel.
• Estudios de Ablación: Los experimentos confirman que ambas etapas son necesarias; eliminar la etapa de preparación (Solo-Ataque) resulta en un ASR del 0% debido a la falta de un modelo sustituto entrenado. Además, la selección de muestras basada en MMD supera significativamente a la selección aleatoria, especialmente en conjuntos de datos desequilibrados.

Significancia y Reivindicaciones

El artículo afirma que VTarbel revela puntos ciegos de seguridad críticos en los despliegues actuales de VFL. Demuestra que, incluso con un conocimiento mínimo y en presencia de detectores de anomalías, una parte pasiva puede manipular eficazmente los resultados de la inferencia de VFL. Los autores enfatizan que las defensas existentes son insuficientes, ya que o bien no logran detener el ataque o degradan severamente la utilidad del sistema VFL. El trabajo subraya la necesidad urgente de desarrollar defensas robustas y conscientes de los ataques que puedan mantener una alta precisión de inferencia mientras mitigan los ataques de etiquetas dirigidas. Los autores no pretenden haber resuelto el problema de la defensa, sino más bien resaltar la gravedad de la amenaza para motivar la investigación futura.