🤖 AI

Coward: Collision-based OOD Watermarking for Practical Proactive Federated Backdoor Detection

El artículo presenta a Coward, un método novedoso de detección proactiva de puertas traseras federadas que aprovecha los efectos de colisión de múltiples puertas traseras para inyectar una marca de agua cuidadosamente diseñada, superando eficazmente las limitaciones de las técnicas existentes causadas por distribuciones de datos no i.i.d. y sesgos fuera de distribución.

Autores originales: Wenjie Li, Siying Gu, Yiming Li, Shuxin Li, Zhili Chen, Tianwei Zhang, Shu-Tao Xia

Publicado 2026-05-07

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Wenjie Li, Siying Gu, Yiming Li, Shuxin Li, Zhili Chen, Tianwei Zhang, Shu-Tao Xia

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina un grupo de vecinos intentando construir un solo, gigantesco mapa comunitario juntos sin nunca mostrarse sus fotos privadas. Esto es Aprendizaje Federado (FL). Todos mantienen sus fotos en sus propios teléfonos, envían solo las "lecciones" que aprendieron a un servidor central, y el servidor las combina para hacer un mejor mapa para todos.

¿El problema? Algunos "vecinos malos" (clientes maliciosos) podrían intentar colar un truco secreto. Quieren que el mapa funcione perfectamente para todos los demás, pero si le muestras una foto de un gato con una pegatina diminuta e invisible, el mapa debería gritar repentinamente: "¡Eso es un perro!". Esto se llama un Ataque de Puerta Trasera.

Las viejas formas de atrapar a los vecinos malos

El artículo explica que los métodos anteriores para atrapar a estos vecinos malos tenían dos defectos principales:

El método del "Valle" (Pasivo): Este método asumía que los vecinos malos se verían extraños en comparación con los buenos. Era como un portero buscando a alguien con una nariz de payaso en una multitud de gente con traje.
- El defecto: En la vida real, los vecinos tienen fotos muy diferentes (algunos tienen solo gatos, otros solo perros). Esta diferencia natural hacía que los vecinos buenos también parecieran "extraños", provocando que el portero expulsara a personas inocentes por error.
El método de la "Trampa" (Proactivo - ej. BackdoorIndicator): Este método intentaba ser más inteligente. El servidor plantaba una "trampa" en el mapa usando imágenes extrañas y aleatorias (datos fuera de distribución o OOD). La idea era: "Si un vecino recuerda esta trampa extraña, probablemente es malo".
- El defecto: Los modelos de aprendizaje profundo son extrañamente seguros sobre cosas que no entienden. Incluso los vecinos buenos adivinarían accidentalmente la respuesta correcta para la trampa extraña solo por suerte, pensando: "¡Oh, esto parece un perro!". Esto hacía que el servidor acusara falsamente a vecinos inocentes.

La nueva solución: "Cobarde"

Los autores presentan un nuevo método llamado Coward (Cobarde). El nombre es una broma: es un "cobarde" porque confía en que los malos sean demasiado agresivos y tropiecen con sus propios pies.

Así es como funciona, usando una analogía simple:

1. La configuración: Plantar una "Marca de Agua"

En lugar de plantar una trampa aleatoria, el servidor planta una Marca de Agua muy específica en el mapa.

Imagina que el servidor toma un montón de imágenes aleatorias y extrañas (como un gato con un filtro azul).
Le enseña al mapa: "Si ves un Gato con Filtro Azul, debes decir '8'."
Crucialmente, el servidor también le enseña al mapa: "Si ves un Gato con Filtro Azul y una Pegatina Roja, debes decir '1'."

2. La colisión (El momento "¡Ajá!")

El artículo descubrió un fenómeno divertido llamado el Efecto de Colisión Multi-Puerta Trasera.

Si un vecino malo intenta instalar su propio truco secreto (Puerta Trasera) que dice "Gato con Filtro Azul = 0", este lucha contra el truco del servidor que dice "Gato con Filtro Azul = 1".
Como el truco del vecino malo está luchando contra el truco del servidor, el truco del vecino malo se borra o debilita. Es como dos personas intentando empujar una puerta pesada en direcciones opuestas; la puerta no se mueve, o una persona es empujada hacia afuera.
Los vecinos buenos, que no intentan instalar un truco secreto, simplemente aprenden suavemente la regla del servidor. Recuerdan perfectamente la regla "Gato con Filtro Azul = 1".

3. La detección: ¿Quién olvidó la regla?

Después de que los vecinos actualizan el mapa, el servidor los verifica:

Vecino bueno: "Oye, ¿qué dice un Gato con Filtro Azul y una Pegatina Roja?"
- Respuesta: "¡Dice 1!" (Mantuvieron la regla del servidor). -> Seguro.
Vecino malo: "Oye, ¿qué dice un Gato con Filtro Azul y una Pegatina Roja?"
- Respuesta: "¡Dice 0!" (Intentaron sobrescribir la regla, pero al hacerlo, arruinaron la regla del servidor tan mal que la señal es débil o desaparece). -> Atrapado.

¿Por qué es "Cobarde" mejor?

El artículo afirma que este método resuelve los dos grandes problemas:

Ignora la "extrañeza" de los vecinos: Como verifica si mantuvieron una regla específica en lugar de buscar actualizaciones "extrañas", no se confunde por tener vecinos con diferentes tipos de fotos.
Vence al problema de la "confianza": El viejo método de "Trampa" fallaba porque los modelos eran demasiado seguros al adivinar cosas aleatorias. "Cobarde" funciona de manera diferente:
- Si un modelo es demasiado seguro sobre una imagen aleatoria y extraña (una señal del viejo problema), en realidad ayuda a "Cobarde" en este caso.
- El vecino malo tiene que destruir la regla específica del servidor para ocultar el suyo. Esta "colisión" es tan fuerte que, incluso si el modelo es seguro sobre cosas aleatorias, no puede ocultar el hecho de que rompió la regla específica del servidor.

Los resultados

Los autores probaron esto en conjuntos de datos de imágenes estándar (como CIFAR-10 y EMNIST). Descubrieron que:

Coward atrapa a casi todos los vecinos malos (alta Tasa de Verdaderos Positivos).
Coward rara vez expulsa a vecinos buenos (tasa muy baja de Falsos Positivos), incluso cuando los vecinos tienen datos muy diferentes.
Incluso si los vecinos malos intentan adaptarse y adivinar el truco del servidor, terminan destruyendo su propio ataque en el proceso.

En resumen, Coward es una forma astuta de decir: "Voy a enseñarte una regla específica. Si intentas romperla para ocultar tu secreto, fracasarás tan estrepitosamente que sabré que eres el vecino malo. Si eres un vecino bueno, solo aprenderás la regla y permanecerás seguro".

Resumen Técnico: Coward – Marca de Agua OOD Basada en Colisiones para la Detección Proactiva Práctica de Backdoors en Aprendizaje Federado

1. Declaración del Problema

El Aprendizaje Federado (FL) permite un entrenamiento colaborativo que preserva la privacidad, pero introduce vulnerabilidades significativas ante ataques de backdoor, donde clientes maliciosos inyectan disparadores para manipular el modelo global. Los mecanismos de defensa existentes enfrentan dos limitaciones prácticas críticas:

Limitaciones de la Detección Pasiva (Divergencia No-IID): Los métodos pasivos tradicionales identifican a los clientes maliciosos detectando valores atípicos en los parámetros del modelo o en los gradientes. Sin embargo, estos métodos son altamente susceptibles a las distribuciones de datos inherentemente no independientes e idénticamente distribuidas (no-i.i.d.) y a la participación aleatoria de clientes en FL. Estos factores hacen que los modelos locales benignos exhiban una alta varianza, a menudo imitando las firmas estadísticas de las actualizaciones maliciosas, lo que conduce a altas tasas de falsos positivos o a detecciones fallidas.
Limitaciones de la Detección Proactiva (Sesgo de Predicción OOD): Los métodos proactivos recientes, como BackdoorIndicator, intentan intervenir en el entrenamiento inyectando patrones Fuera de Distribución (OOD). Se basan en el "efecto de coexistencia", donde los modelos maliciosos retienen estos patrones mejor que los benignos. Sin embargo, estos métodos se ven socavados por el sesgo inherente de predicción OOD de las Redes Neuronales Profundas (DNN). Las DNN tienden a clasificar las muestras OOD en clases arbitrarias con alta confianza. Este sesgo hace que los clientes benignos exhiban una retención inesperadamente alta de patrones OOD, lo que conduce a juicios erróneos frecuentes (falsos positivos) que hacen que los métodos proactivos actuales sean poco fiables.

2. Metodología: Coward

Los autores proponen Coward (Marca de Agua OOD Basada en Colisiones para la Detección Robusta de Backdoors en Aprendizaje Federado), un marco de detección proactiva inspirado en el descubrimiento de un efecto de colisión de múltiples backdoors.

2.1 Idea Central: El Efecto de Colisión

Mientras que el trabajo existente observó que los backdoors que apuntan a la misma etiqueta coexisten, los autores descubrieron que los backdoors plantados consecutivamente que apuntan a etiquetas diferentes interfieren y suprimen significativamente entre sí. Este "efecto de colisión" constituye la base del nuevo paradigma de detección.

2.2 El Paradigma de Detección: Lógica Invertida

Coward invierte la lógica de los métodos proactivos existentes:

Existente (Coexistencia): Alta retención de un patrón inyectado = Malicioso.
Coward (Colisión): Alta retención de una marca de agua inyectada = Benigno. Baja retención (borrado) = Malicioso.

En este paradigma invertido, las predicciones de alta confianza causadas por el sesgo OOD en los clientes benignos (que anteriormente causaban falsos positivos) se vuelven beneficiosas, ya que indican la preservación de la marca de agua.

2.3 Implementación Técnica

El método opera en tres etapas:

Inyección de Marca de Agua (Lado del Servidor):
- El servidor construye un doble mapeo regulado sobre datos OOD (por ejemplo, EMNIST para una tarea CIFAR-10).
- Mapeo Base Regulado ( $\pi_1$ ): Se establece un mapeo fijo y uno a uno desde las etiquetas OOD hasta las etiquetas de la tarea para estabilizar el espacio OOD y reducir la ambigüedad. Esto contrasta con los mapeos aleatorios utilizados en BackdoorIndicator.
- Mapeo de Marca de Agua Dirigido ( $\pi_2$ ): Un subconjunto específico de muestras OOD se asigna un patrón de disparador y se mapea a una clase objetivo fija ( $y_m$ ).
- El modelo global se ajusta finamente sobre estos datos OOD con un término de regularización para preservar el rendimiento de la tarea original mientras se incrusta la marca de agua.
Interacción de la Marca de Agua (Lado del Cliente):
- Los clientes realizan entrenamiento local sobre sus datos privados.
- Clientes Benignos: Optimizan únicamente la pérdida de la tarea. Pueden olvidar ligeramente la marca de agua OOD debido a los datos no-i.i.d., pero generalmente preservan el mapeo disparador-a-objetivo.
- Clientes Maliciosos: Optimizan tanto la tarea como su objetivo específico de backdoor. Dado que su backdoor apunta a una clase diferente a la de la marca de agua, se produce el efecto de colisión: el backdoor malicioso suprime o borra activamente la marca de agua inyectada por el servidor durante el entrenamiento local.
Detección de la Marca de Agua (Lado del Servidor):
- El servidor evalúa los modelos locales utilizando el conjunto de datos OOD marcado con agua.
- Mide la precisión del mapeo específico de disparador-a-objetivo.
- Regla de Decisión: Los clientes con una precisión de marca de agua por debajo de un umbral $\beta$ se marcan como maliciosos (indicando que la marca de agua fue suprimida por una colisión). Los clientes con alta precisión se consideran benignos.

3. Contribuciones Clave

Identificación de Limitaciones: El artículo analiza y demuestra rigurosamente cómo la heterogeneidad de datos no-i.i.d. socava la detección pasiva y cómo el sesgo de predicción OOD limita fundamentalmente los métodos actuales de detección proactiva.
Descubrimiento de la Colisión de Múltiples Backdoors: Los autores identifican y caracterizan el fenómeno donde backdoors distintos que apuntan a diferentes etiquetas interfieren entre sí, suprimiendo efectos plantados previamente.
Marco Coward: Un método novedoso de detección proactiva que aprovecha este efecto de colisión para crear un paradigma de detección invertido. Este diseño contrarresta naturalmente el sesgo OOD, ya que las predicciones benignas de alta confianza (una fuente de error en trabajos anteriores) ahora señalan correctamente un comportamiento benigno.
Robustez: El método introduce una intervención de entrenamiento de baja disrupción que limita inherentemente la fuerza del sesgo OOD, reduciendo significativamente los juicios erróneos en comparación con las líneas base más avanzadas.

4. Resultados Experimentales

Se realizaron experimentos extensos en conjuntos de datos de referencia (CIFAR-10, CIFAR-100, EMNIST) bajo diversas configuraciones:

Resiliencia No-IID: Coward logró consistentemente Tasas de Verdaderos Positivos (TPR) superiores al 95% y Tasas de Falsos Positivos (FPR) inferiores al 10.5% a través de diversos grados de heterogeneidad de datos ( $\alpha = 0.3$ a $0.9$). En contraste, los métodos pasivos (por ejemplo, MultiKrum, Flame) vieron caer sus TPR significativamente (a menudo por debajo del 10%) bajo heterogeneidad severa.
Ataques Avanzados: El método mantuvo un alto rendimiento frente a ataques sigilosos (por ejemplo, Neurotoxin, Chameleon) y diversos tipos de disparadores (visibles, invisibles, semánticos), mientras que los métodos pasivos sufrieron una degradación sustancial.
Escenarios de Múltiples Atacantes: Coward permaneció efectivo incluso cuando hasta el 70% de los clientes eran maliciosos, un escenario donde los métodos pasivos basados en valores atípicos fallaron por completo.
Mitigación del Sesgo OOD: En comparación con BackdoorIndicator, Coward redujo significativamente el nivel de sesgo OOD y la tasa resultante de falsos positivos, incluso al utilizar conjuntos de datos OOD diversos o sintéticos.
Ataques Adaptativos: El método demostró resiliencia frente a atacantes adaptativos que intentan adivinar el objetivo de la marca de agua. Tales intentos a menudo indujeron una "contradicción de colisión local", debilitando el propio backdoor del atacante y fallando en eludir la detección.

5. Significado y Afirmaciones

El artículo afirma que Coward representa un paso significativo hacia la detección proactiva práctica de backdoors en el Aprendizaje Federado. Al cambiar la base de detección de la "preservación de patrones" (que es vulnerable al sesgo OOD) a la "colisión de patrones", el método:

Resuelve el Desafío del Sesgo OOD: Transforma el sesgo inherente de alta confianza de las DNN sobre datos OOD de una vulnerabilidad en una señal fiable de comportamiento benigno.
Supera la Sensibilidad No-IID: Desacopla la detección de los valores atípicos en el espacio de parámetros, haciéndola robusta frente a la heterogeneidad de datos que afecta a los métodos pasivos.
Proporciona un Nuevo Paradigma: Establece una nueva dirección para la seguridad en FL que utiliza la interferencia entre múltiples backdoors en lugar de depender de su coexistencia.

Los autores concluyen que Coward alivia eficazmente el desafío del sesgo OOD, logrando un rendimiento de vanguardia mientras mantiene la integridad de la funcionalidad principal del modelo global.