FedTrident: Resilient Road Condition Classification Against Poisoning Attacks in Federated Learning

Resumen Técnico: FedTrident

1. Planteamiento del Problema

Los Sistemas Inteligentes de Transporte (ITS) dependen cada vez más de la Clasificación de Condiciones de la Carretera (RCC) basada en visión por computadora para garantizar la seguridad vial (ej. detectar superficies resbaladizas, baches o hielo). El Aprendizaje Federado (FL) se ha propuesto como un paradigma ideal para entrenar estos modelos, permitiendo a los vehículos colaborar sin compartir datos crudos, preservando así la privacidad y reduciendo la carga de ancho de banda.

Sin embargo, los sistemas FL-RCC son vulnerables a Ataques de Volteo de Etiquetas Dirigidos (TLFAs, por sus siglas en inglés). En este escenario, un cliente malicioso (vehículo) reetiqueta deliberadamente sus datos locales (por ejemplo, cambiar "terreno irregular" a "terreno liso") para envenenar el modelo global.

• Impacto Crítico: A diferencia de los ataques no dirigidos que degradan la precisión general, los TLFAs son peligrosos porque inducen errores específicos que comprometen la seguridad (ej. hacer que el vehículo ignore un bache peligroso).
• Limitaciones de las Soluciones Existentes: Las defensas actuales fallan en tres aspectos clave:
  1. No están adaptadas específicamente a la detección de TLFAs (usan métodos genéricos que fallan en entornos heterogéneos No-IID).
  2. No excluyen eficazmente a los clientes maliciosos basándose en su comportamiento histórico.
  3. No reparan el modelo global una vez que ha sido corrompido por contribuciones pasadas de atacantes.

2. Metodología Propuesta: FedTrident

El authors proponen FedTrident, el primer esquema de defensa integral que integra tres módulos secuenciales para mitigar TLFAs en FL-RCC:

A. Detección de Modelos Locales Envenenados (Análisis Neuronal)

• Identificación de Objetivos: En lugar de analizar todo el modelo, FedTrident realiza un análisis neuronal en la capa de salida del modelo local. Identifica las dos neuronas más afectadas por el ataque: la clase fuente (real) y la clase objetivo (falsificada).
• Extracción de Características: Calcula la magnitud ($\ell_2$-norma) y la inconsistencia angular de los parámetros conectados a estas neuronas específicas.
• Clustering: Utiliza un Modelo de Mezcla Gaussiana (GMM) para agrupar las actualizaciones de los clientes basándose en estas características neuronales. Esto permite separar con alta precisión los modelos benignos de los envenenados, incluso en entornos con alta heterogeneidad de datos (No-IID).

B. Exclusión Adaptativa de Clientes Maliciosos

• Sistema de Puntuación: Se mantiene una puntuación de reputación ($r_k$) para cada vehículo.
• Mecanismo de Recompensa/Castigo: Si un cliente es detectado como benigno en una ronda, su puntuación aumenta; si es detectado como malicioso, disminuye.
• Exclusión: Cuando la puntuación de un cliente cae por debajo de un umbral mínimo, se añade a una lista negra y se excluye de futuras rondas de entrenamiento. Esto evita que los atacantes persistentes sigan contaminando el sistema.

C. Remediación del Modelo Global Corrompido (Aprendizaje No Supervisado / Machine Unlearning)

• Problema Resuelto: Incluso si se detecta y excluye a un atacante, sus contribuciones pasadas ya han sido integradas en el modelo global.
• Solución: FedTrident utiliza técnicas de Machine Unlearning (aprendizaje de olvido). Calcula y resta las contribuciones históricas acumuladas del cliente excluido del modelo global actual, "limpiando" efectivamente el daño residual y restaurando la integridad del modelo.

3. Contribuciones Clave

1. Primera defensa integral: Es el primer enfoque que combina sistemáticamente detección, exclusión y remediación para TLFAs en el contexto de RCC.
2. Análisis Neuronal Específico: Propone un método de detección basado en la identificación de neuronas objetivo, superando las limitaciones de los métodos basados en magnitudes globales o similitud de gradientes.
3. Mecanismo de Remediación Activa: Introduce un mecanismo proactivo para revertir el daño en el modelo global, algo que las soluciones anteriores (como DEFEND o FLARE) ignoraban.
4. Adaptabilidad: El sistema es robusto frente a ataques dinámicos (donde el atacante cambia sus objetivos durante el entrenamiento) y diversos niveles de heterogeneidad de datos.

4. Resultados Experimentales

Los autores evaluaron FedTrident utilizando seis arquitecturas de redes neuronales profundas (ResNet-18/34, MobileNet-V3, EfficientNet-B1, DenseNet-121, DeiT-Tiny) y tres tareas de RCC (fricción, material y nivel de irregularidad) sobre el conjunto de datos RSCD.

• Rendimiento Superior: FedTrident superó a ocho métodos de referencia (incluyendo FedAvg, Krum, FLAME, FLARE y DEFEND).
  • Mejora promedio del 9.49% en la Recuperación de la Fuente (SRE) y del 4.47% en la Tasa de Éxito del Ataque (ASR) comparado con la mejor defensa existente.
  • Logró un rendimiento casi idéntico al escenario sin ataques (FedAvg-NA), cerrando la brecha de rendimiento que sufren otras defensas.
• Resiliencia:
  • Mantuvo un bajo ASR incluso con tasas de clientes maliciosos del 40%.
  • Funcionó eficazmente bajo diferentes niveles de heterogeneidad de datos (distribución Dirichlet).
  • Fue robusto ante ataques dinámicos donde los atacantes cambiaban las clases objetivo durante el entrenamiento.
• Estudios de Ablación: Confirmaron que la combinación de los tres módulos (detección + exclusión + remediación) es necesaria para alcanzar el máximo rendimiento; la omisión de la remediación o la exclusión degrada significativamente la seguridad.

5. Significado e Impacto

Este trabajo es fundamental para la seguridad de los ITS basados en FL.

• Seguridad Vial: Al prevenir específicamente la subestimación de condiciones peligrosas (ej. hielo o baches), FedTrident protege directamente la vida de los usuarios y la integridad de los vehículos autónomos.
• Viabilidad Práctica: Demuestra que es posible tener un sistema de aprendizaje federado seguro y privado en entornos vehiculares reales, donde los datos son heterogéneos y los recursos son limitados.
• Avance en Defensa: Establece un nuevo estándar al demostrar que la simple detección no es suficiente; la remediación proactiva del modelo global es un componente esencial para la resiliencia a largo plazo contra ataques de envenenamiento dirigidos.

En conclusión, FedTrident ofrece una solución robusta y completa que permite a los sistemas de transporte inteligente aprovechar la colaboración federada sin sacrificar la seguridad frente a adversarios sofisticados.