🤖 machine learning

Robust Federated Inference

Este artículo aborda la vulnerabilidad crítica de la inferencia federada ante ataques mediante la formalización del problema, el análisis de las limitaciones de los agregadores basados en promedios y la propuesta de un nuevo marco basado en DeepSet que combina el entrenamiento adversarial con una agregación robusta en tiempo de prueba para mejorar significativamente la precisión en comparación con los métodos existentes.

Autores originales: Akash Dhasade, Sadegh Farhadkhani, Rachid Guerraoui, Nirupam Gupta, Maxime Jacovella, Anne-Marie Kermarrec, Rafael Pinot

Publicado 2026-04-15

📖 6 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Akash Dhasade, Sadegh Farhadkhani, Rachid Guerraoui, Nirupam Gupta, Maxime Jacovella, Anne-Marie Kermarrec, Rafael Pinot

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Este artículo aborda principalmente un problema sobre "cómo escuchar de forma segura opiniones de múltiples partes".

Imagina que eres un director de escuela (servidor) que tiene a un grupo de estudiantes (clientes/modelos). Estos estudiantes aprenden localmente, cada uno con su propio conocimiento (datos privados), pero sus niveles de conocimiento varían e incluso pueden haberse colado algunos alborotadores (atacantes maliciosos).

Ahora, tienes una pregunta que hacerles a todos y esperas obtener la respuesta más precisa. Esto es la "Inferencia Federada": el director no recopila los deberes de los estudiantes (datos), sino que les pregunta directamente las respuestas y luego las agrupa.

El núcleo de este artículo es: cuando los alborotadores escriben respuestas deliberadamente incorrectas, ¿cómo puede el director agruparlas inteligentemente para no ser desviado?

A continuación, se presenta una descomposición del contenido del artículo en lenguaje sencillo y coloquial:

1. Situación actual: ¿Cómo se hacía antes? (Promedio simple vs. ser desviado)

El método anterior (Promedio simple):
El director suma las respuestas de 10 estudiantes y las divide por 10.
- Problema: Si 3 alborotadores escriben deliberadamente "la respuesta es 999", mientras que los buenos estudiantes escriben "la respuesta es 1", el promedio podría convertirse en "300", completamente equivocado.
Mejoras anteriores (Promedio robusto):
El director es inteligente y sabe eliminar las puntuaciones más altas y más bajas (por ejemplo, eliminar las respuestas extremas de los 3 alborotadores) antes de calcular el promedio. Esto es como el "método de promedio recortado".
- Problema: El artículo descubre que, incluso eliminando a los alborotadores, si las respuestas de los buenos estudiantes tienen cierta "divergencia" (por ejemplo, algunos piensan que es 1, otros que es 2), o si los alborotadores son astutos y modifican sus respuestas para que estén muy cerca de la correcta pero no idénticas, un simple "promedio recortado" aún podría elegir la respuesta incorrecta. Es como si, aunque se eliminen las puntuaciones más absurdas, entre las puntuaciones restantes la respuesta correcta y la incorrecta estén tan cerca que el director aún podría equivocarse.

2. Descubrimiento central: ¿Por qué el simple "recorte" no es suficiente?

Los autores del artículo realizaron un análisis matemático y descubrieron que el error del director depende principalmente de tres factores:

La proporción de alborotadores: Cuantos más estudiantes malos, más difícil es.
La divergencia entre los buenos estudiantes: Si los buenos estudiantes mismos están en desacuerdo (las respuestas varían mucho), es difícil para el director determinar quién tiene razón.
La "solidez" de la respuesta correcta: Si la respuesta correcta es mucho más fuerte que las demás (por ejemplo, probabilidad del 90% para la correcta frente al 5% para las demás), es poco probable equivocarse; pero si la respuesta correcta apenas supera a la segunda (por ejemplo, 40% vs 39%), es muy fácil equivocarse debido a una pequeña interferencia.

Conclusión: Simplemente expulsar a los alborotadores (promedio recortado) no es suficiente, porque las respuestas de los buenos estudiantes pueden ser inherentemente ambiguas, o los alborotadores podrían estar jugando una táctica de "ajuste fino".

3. Solución innovadora: DeepSet + Entrenamiento adversarial (Instalar un "super cerebro" al director)

Para resolver este problema, los autores proponen un "conjunto de técnicas" que actúa como instalar un sistema de asistencia de IA al director:

Paso 1: Instalar un "super cerebro" al director (Modelo DeepSet)

El director ya no se limita a simples operaciones aritméticas, sino que utiliza una red neuronal (DeepSet).

Analogía: Este cerebro es muy inteligente; no le importa el orden en que los estudiantes responden (da igual a quién se pregunte primero o después, el resultado es el mismo). Puede aprender patrones a partir de complejos modos de respuesta.
Dificultad: ¿Cómo entrenar a este cerebro? Si cada vez que se entrena los alborotadores cambian (hoy podría ser Zhang San, mañana Li Si), la cantidad de entrenamiento sería enorme e imposible de calcular.
Truco: Los autores descubrieron que, simplemente extrayendo aleatoriamente una pequeña parte de las combinaciones de alborotadores para entrenar, el cerebro puede aprender a reconocer las "características de los alborotadores" sin necesidad de enumerar todas las posibilidades. Esto es como "mantenerse inmutable ante los cambios".

Paso 2: Doble seguro (Entrenamiento adversarial + Recorte durante la inferencia)

Los autores combinaron dos técnicas:

Entrenamiento adversarial: Durante el entrenamiento del cerebro del director, se crean deliberadamente diversos "alborotadores" para atacarlo, permitiéndole aprender a mantenerse lúcido en medio del caos. Esto es como "subir de nivel en una guerra simulada".
Recorte durante la inferencia (Promedio robusto): Cuando se realiza el examen real (inferencia), el cerebro del director, antes de emitir la respuesta final, pasa por un filtro de "promedio recortado" para eliminar una vez más los valores atípicos más absurdos.

Analogía: Esto es como un "árbitro entrenado por fuerzas especiales" (entrenamiento adversarial) que, antes de pitar el silbato, "elimina primero a varios competidores que claramente hacen trampa" (promedio recortado).

4. ¿Cuáles fueron los resultados? (Victoria total)

Los autores probaron este método en varios exámenes (conjuntos de datos: CIFAR-10, CIFAR-100, AG-News):

Oponentes: El tradicional "promedio recortado", el simple "voto por mediana" y otros métodos de defensa anteriores.
Atacantes: Diversos alborotadores de alta inteligencia (incluyendo un nuevo "ataque inverso más fuerte SIA" inventado).
Resultado: La combinación de "super cerebro + doble seguro" del autor tuvo el mejor rendimiento en todas las pruebas.
- En situaciones extremadamente difíciles, la precisión fue entre un 4,7% y un 22,2% superior a la del segundo lugar.
- Es como si, en una habitación ruidosa llena de interferencias, solo este director pudiera escuchar la respuesta correcta, mientras los demás adivinan al azar.

5. Resumen: ¿Qué dice realmente este artículo?

En resumen, este artículo nos dice que:
En escenarios de colaboración multi-partes (aprendizaje/inferencia federada), el simple "la minoría se somete a la mayoría" o "eliminar valores extremos" ya no es suficiente. Frente a interferencias astutas, necesitamos:

Un agregador más inteligente (usar redes neuronales en lugar de promedios matemáticos simples).
Un entrenamiento más riguroso (simular diversos ataques durante el entrenamiento para fortalecer el modelo).
Defensa doble (entrenar para subir de nivel y filtrar nuevamente al momento de usar).

Una analogía en una frase:
Antes pensábamos que, si expulsábamos a los que hacen trampa y promediábamos las respuestas de los buenos, obtendríamos una puntuación alta; ahora los autores nos dicen que incluso los buenos pueden tener opiniones divergentes y los que hacen trampa son muy astutos. Por lo tanto, necesitamos un super árbitro entrenado con "entrenamiento diabólico", que pueda comprender las opiniones complejas de los buenos y desenmascarar de un vistazo las máscaras de los alborotadores, tomando así la decisión más precisa en medio del caos.

Resumen Técnico: Inferencia Federada Robusta

Formulación del Problema

El artículo aborda la brecha crítica en la robustez dentro de la Inferencia Federada, un paradigma donde un servidor central agrega predicciones de múltiples modelos mantenidos por clientes (por ejemplo, mediante aprendizaje federado de un solo disparo, conjuntos en el borde o conjuntos federados) sin acceder a datos locales ni a los pesos del modelo. Si bien la literatura existente se centra en la precisión de dichos conjuntos, descuida en gran medida su vulnerabilidad a fallos bizantinos y salidas envenenadas.

Los autores formalizan el problema de la Inferencia Federada Robusta de la siguiente manera:

Configuración: Un sistema de $n$ clientes, cada uno poseyendo un clasificador local con valores de probit $h_i$ que mapea entradas a un simplex de probabilidad $\Delta_K$ .
Modelo de Amenaza: Hasta $f < n/2$ clientes (con identidades ocultas) pueden devolver vectores de probit arbitrariamente corruptos en el momento de la inferencia.
Objetivo: Diseñar un esquema de agregación $\psi$ que minimice el riesgo de inferencia federada robusta ( $R_{adv}$ ), definido como el error de predicción en el peor de los casos sobre todos los patrones posibles de corrupción de tamaño $f$ , manteniendo al mismo tiempo la precisión en la distribución global de datos.

El artículo distingue entre dos tipos de agregadores:

Lineales (basados en promedios): El servidor calcula un promedio robusto de los probits de los clientes (por ejemplo, Media Recortada por Coordenadas - CWTM) antes de tomar el argmax.
No lineales (aprendidos): El servidor utiliza un agregador de red neuronal entrenado para combinar los probits de los clientes, lo cual ha demostrado un rendimiento superior en entornos no corruptos pero carece de garantías de robustez.

Metodología

1. Análisis de Agregadores Basados en Promedios

Los autores analizan primero los esquemas de promediado robusto (como CWTM) como línea base. Demuestran que, aunque el promediado robusto asegura que la salida esté cerca del promedio de los probits honestos en norma $\ell_2$ , esta proximidad no garantiza una clasificación correcta debido a la no continuidad del operador argmax.

Insight Teórico: Derivan un certificado de robustez que muestra que el error del agregador depende de tres factores:
1. La fracción de corrupciones ( $f/n$ ).
2. La disimilitud entre las salidas de los clientes honestos ( $\sigma_x$ ).
3. El margen entre las dos clases predichas principales.
Conclusión: El promediado robusto es insuficiente cuando el margen es pequeño o los modelos de los clientes son altamente disímiles, incluso si la agregación es robusta en un sentido estadístico.

2. Inferencia Robusta como Problema de Aprendizaje Adversarial

Para los agregadores no lineales, los autores plantean el problema como un problema de aprendizaje adversarial sobre el espacio de vectores de probit.

Desafío: El entrenamiento adversarial estándar es computacionalmente intratable porque el conjunto de subconjuntos adversarios posibles (elegir $f$ clientes maliciosos de $n$ ) tiene una cardinalidad alta ( $\binom{n}{f} \times f!$ ).
Solución (DeepSet): Los autores proponen utilizar una arquitectura DeepSet (Zaheer et al., 2017), que es invariante a permutaciones. Esta propiedad permite reducir el espacio de búsqueda de permutaciones a combinaciones ( $\binom{n}{f}$ ), haciendo el problema más tratable.
Aproximación: En lugar de enumerar todos los subconjuntos adversarios, muestrean un pequeño número $N$ de configuraciones adversarias aleatorias durante el entrenamiento ( $N \ll \binom{n}{f}$ ) y aplican el Método de Signo de Gradiente Rápido de múltiples pasos (FGSM) para perturbar los probits de los adversarios seleccionados.

3. La Composición DeepSet-TM

Para mejorar aún más la robustez, los autores introducen una composición novedosa de Entrenamiento Adversarial y Promediado Robusto en el momento de la inferencia:

Arquitectura: Un modelo DeepSet donde los probits de entrada son procesados primero por un operador de promediado robusto (CWTM) antes de ser alimentados al agregador de red neuronal.
Estrategia de Entrenamiento: El modelo se entrena adversarialmente sobre los probits crudos (sin CWTM) para aprender características robustas.
Estrategia de Inferencia: En el momento de la prueba, el promediado robusto (CWTM) se aplica a las entradas de los clientes antes de la inferencia de DeepSet. Esto desacopla el costo del entrenamiento del mecanismo de robustez en tiempo de inferencia, evitando que el proceso de entrenamiento se vuelva prohibitivamente costoso.

Contribuciones Clave

Formalización: La primera definición formal y análisis de robustez del problema de Inferencia Federada bajo corrupciones bizantinas.
Límites Teóricos: Derivación de certificados de robustez formales tanto para agregadores lineales (promedios) como no lineales (DeepSet), vinculando las tasas de error con las fracciones de corrupción, la disimilitud de los modelos y los márgenes de predicción.
Innovación Algorítmica: La propuesta de DeepSet-TM, un método que combina redes neuronales invariantes a permutaciones con entrenamiento adversarial y promediado robusto en tiempo de prueba. Este enfoque aborda la intratabilidad computacional del entrenamiento contra subconjuntos arbitrarios de adversarios.
Nuevo Ataque: Introducción del Ataque Invertido Más Fuerte (SIA), un nuevo ataque de caja blanca y caja negra que explota la segunda clase más probable para invertir las decisiones de agregación, utilizado para evaluar rigurosamente las defensas.

Resultados Experimentales

Los autores evalúan su enfoque en CIFAR-10, CIFAR-100 y AG-News utilizando diversas familias de modelos (ResNet-8, ViT-B/32, DistilBERT) y niveles variables de heterogeneidad de datos ( $\alpha \in \{0.3, 0.5, 0.8\}$ ).

Rendimiento: DeepSet-TM supera consistentemente a las líneas base de agregación robusta existentes (CWTM, CWMed, Mediana Geométrica) y a las defensas más avanzadas (COPUR, Proyección de Variedad).
Mejora: El método logra una mejora de 4.7% a 22.2% en puntos de precisión en el peor de los casos en diversos benchmarks y tipos de ataque.
Robustez ante Ataques Fuertes: Bajo los ataques SIA y PGD-cw propuestos, los métodos base a menudo sufren caídas de precisión de 35–40 puntos, mientras que DeepSet-TM limita las caídas a 20–30 puntos. En AG-News, DeepSet-TM mantiene una precisión del 83.2% bajo PGD-cw en comparación con ~53% para las líneas base.
Escalabilidad: El enfoque escala efectivamente con el número de clientes ( $n=10, 17, 25$ ) y adversarios ( $f=3, 4, 5$ ), manteniendo un rendimiento superior a medida que el sistema crece.
Eficiencia: Aunque el entrenamiento adversarial incurre en un costo único (aprox. 1.5 horas), la latencia de inferencia permanece baja (aprox. 0.3 ms por lote), lo que lo hace adecuado para entornos de silos cruzados.

Significado y Afirmaciones

El artículo afirma que la Inferencia Federada Robusta es un problema distinto y crítico que no puede resolverse simplemente aplicando técnicas existentes de entrenamiento robusto a fallos bizantinos o métodos de purificación (como COPUR), los cuales a menudo fallan en el espacio de probit o bajo ataques fuertes.

La importancia del trabajo radica en:

Cerrar la Brecha: Proporciona el primer marco integral para asegurar la inferencia federada, un paradigma creciente para aprovechar modelos propietarios (incluidos los LLM) sin centralizar datos.
Composición Novel: Al combinar el entrenamiento adversarial (de la literatura de aprendizaje adversarial) con el promediado robusto (de la literatura de estadística robusta/ML bizantino), los autores demuestran que estos dos campos pueden combinarse de manera sinérgica para lograr una robustez de vanguardia.
Practicidad: El DeepSet-TM propuesto ofrece una solución práctica que equilibra una alta robustez frente a ataques sofisticados con una sobrecarga computacional aceptable, específicamente adaptada para escenarios de silos cruzados donde los clientes son estáticos pero las solicitudes de inferencia son dinámicas.

Los autores concluyen que su método establece un nuevo estado del arte para la inferencia federada, previniendo efectivamente que las ventajas tecnológicas se conviertan en vulnerabilidades significativas en presencia de actores maliciosos.