Resumen Técnico: Detección y Mitigación de Ataques de Puerta Trasera en Sistemas OTA-FL

1. Planteamiento del Problema

El Aprendizaje Federado por Aire (OTA-FL) aprovecha la propiedad de superposición de los canales inalámbricos para lograr una agregación de modelos eficiente en comunicación, ofreciendo sobrecarga teóricamente libre de escala para redes de borde móviles. Sin embargo, esta eficiencia introduce una vulnerabilidad de seguridad crítica: el Servidor de Parámetros (PS) recibe únicamente la señal agregada, no las actualizaciones individuales de los clientes. En consecuencia, el PS no puede verificar la corrección de actualizaciones locales específicas, lo que hace inaplicables los mecanismos de defensa estándar.

Esta vulnerabilidad es particularmente aguda frente a ataques de puerta trasera, donde adversarios manipulan un subconjunto de clientes para incrustar comportamientos maliciosos ocultos (asignaciones disparador-objetivo) en el modelo global, manteniendo al mismo tiempo una alta precisión en entradas benignas. El desafío se ve exacerbado por:

• Restricciones Sigilosas: Adversarios sofisticados pueden diseñar gradientes envenenados restringidos por métricas específicas (por ejemplo, distancia euclidiana o similitud coseno) para imitar la deriva de gradientes benignos, evadiendo métodos de detección que dependen de métricas individuales.
• Datos No-IID: En escenarios realistas con datos no independientes e idénticamente distribuidos (No-IID), los clientes benignos exhiben naturalmente una deriva de gradientes debido a la heterogeneidad de los datos. Esto dificulta que el PS distinga entre la heterogeneidad estadística y actualizaciones maliciosas cuidadosamente elaboradas.
• Imposibilidad de Inspección por Cliente: A diferencia del FL tradicional, el OTA-FL impide que el PS inspeccione o filtre individualmente las actualizaciones de los clientes antes de la agregación.

Las defensas existentes para OTA-FL a menudo dependen de estrategias intensivas en recursos (por ejemplo, bloques de recursos dedicados, símbolos ficticios) o cambios arquitectónicos que comprometen la eficiencia del sistema. Existe la necesidad de un mecanismo de defensa que minimice la sobrecarga mientras identifica eficazmente ataques de puerta trasera sigilosos y restringidos por métricas.

2. Metodología: Confiar-Después-Inspeccionar (TTI)

El artículo propone Confiar-Después-Inspeccionar (TTI), un marco de agregación robusta de dos etapas diseñado para detectar y mitigar ataques de puerta trasera en sistemas OTA-FL. La filosofía central es confinar la sobrecarga adicional de comunicación y computación exclusivamente a los clientes "sospechosos", preservando la eficiencia de la agregación OTA para la mayoría de los participantes de confianza.

Etapa I: Clasificación de Clientes mediante Puntuación de Confianza Consciente de la Modalidad

La primera etapa realiza un filtrado preliminar ligero del lado del cliente para categorizar a los clientes en tres niveles: De Confianza, Sospechosos y Maliciosos.

• Puntuación de Confianza Multi-Indicador Consciente de la Modalidad: En lugar de depender de una sola métrica, el marco calcula una puntuación de confianza compuesta ($TS$) basada en múltiples indicadores seleccionados según la modalidad de los datos (por ejemplo, forma de onda, texto, imagen) y la arquitectura del modelo.
  • Indicadores Geométricos: Incluye Alineación de Dirección Temporal (TDA), Norma Relativa $\ell_2$ y Picosidad (concentración de la energía del gradiente).
  • Indicadores Específicos de la Modalidad: Se añaden indicadores adicionales adaptados a tareas específicas (por ejemplo, características específicas de texto para AG News).
  • Optimización de Pesos: Los pesos de estos indicadores no se ajustan manualmente, sino que se aprenden mediante Optimización Bayesiana (BO). El proceso de BO optimiza una función objetivo de compensación ($J$) que maximiza la Precisión de la Tarea Principal (MTA) mientras minimiza la Tasa de Éxito del Ataque (ASR) durante una fase de calibración fuera de línea.
• Estrategia de Clasificación: Basándose en las puntuaciones de confianza calculadas, los clientes se particionan.
  • De Confianza: Proceden directamente a la agregación OTA.
  • Maliciosos: Se excluyen inmediatamente.
  • Sospechosos: Se reenvían a la Etapa II para una inspección más profunda.

Etapa II: Inspección por Capas del Lado del PS

Los clientes en el nivel "Sospechoso" sufren una inspección detallada en el Servidor de Parámetros para distinguir entre la deriva benigna y las actualizaciones maliciosas.

• Descomposición por Capas: El PS descompone la actualización del modelo del cliente sospechoso en gradientes individuales de cada capa de la red neuronal.
• Extracción de Características y Agrupamiento: Para cada capa, el PS extrae características que incluyen la estructura de signos, la forma de la distribución (curtosis/asimetría), la distancia inter-cliente, la desviación de referencia, la magnitud y la similitud direccional.
• Agrupamiento Jerárquico Aglomerativo (AHC): El PS agrupa a los clientes sospechosos en cada capa en dos grupos. El grupo "benigno" se identifica basándose en la alineación con un gradiente de referencia de confianza y la reputación histórica, priorizando la alineación sobre la consistencia interna (reconociendo que las actualizaciones benignas bajo datos No-IID pueden ser altamente variables).
• Votación Mayoritaria: Un cliente es aceptado si la fracción de capas clasificadas como "benignas" supera un umbral $\rho$.
• Mecanismo de Puntuación de Reputación (RS): Para proporcionar una defensa a largo plazo, el PS mantiene una puntuación de reputación persistente para cada cliente. Los clientes que participan en agregaciones exitosas incrementan su puntuación. Después de un período de calentamiento, se aplica un filtro basado en la Desviación Absoluta Mediana (MAD) de las puntuaciones de reputación para excluir a los clientes con puntuaciones persistentemente bajas, incluso si ocasionalmente evaden la inspección por capas.

Flujo de Trabajo General

El marco integra estas etapas en un proceso iterativo:

1. Los clientes calculan indicadores locales y los reportan al PS.
2. El PS calcula las puntuaciones de confianza y clasifica a los clientes.
3. Los clientes de confianza realizan agregación OTA; los clientes sospechosos cargan actualizaciones individualmente.
4. El PS realiza inspección por capas y filtrado de reputación.
5. El modelo global se actualiza utilizando el conjunto final de clientes aceptados.

3. Contribuciones Clave

El artículo afirma las siguientes contribuciones específicas:

1. Puntuación de Confianza Multi-Indicador Consciente de la Modalidad: Un mecanismo del lado del cliente que utiliza una puntuación compuesta de indicadores específicos de la tarea, con pesos optimizados mediante Optimización Bayesiana. Este enfoque ofrece robustez frente a ataques restringidos por métricas que evaden defensas de métrica única.
2. Inspección por Capas del Lado del PS: Un módulo de detección que opera a la granularidad de capas individuales de redes neuronales en lugar del modelo global. Esto aborda la limitación de las métricas globales, que a menudo fallan al detectar perturbaciones de puerta trasera dispersas o localizadas (por ejemplo, ataques Neurotoxin).
3. Mecanismo de Reputación a Largo Plazo: Un sistema de puntuación dinámica que acumula evidencia de comportamiento a lo largo del tiempo, permitiendo que el sistema identifique progresivamente a los clientes maliciosos y, finalmente, dependa del filtrado por reputación para reducir la sobrecarga computacional a largo plazo.
4. Validación Exhaustiva: Experimentos extensos que demuestran que el marco suprime eficazmente varios ataques de puerta trasera (escalado acotado, restringido por euclidiana, restringido por coseno y Neurotoxin) mientras mantiene una Precisión de Tarea Principal (MTA) competitiva.

4. Resultados Experimentales

Los autores evaluaron TTI en tres conjuntos de datos (RML2016.10A, AG News, CIFAR-10) con diferentes arquitecturas de modelos (CNN 1D, Text CNN, ResNet9) bajo configuraciones No-IID.

• Supresión de Ataques: Sin defensa, los ataques de puerta trasera lograron altas Tasas de Éxito del Ataque (ASR), a menudo superando el 80-99%. El marco TTI redujo consistentemente la ASR a niveles cercanos al azar (por ejemplo, ~10% para CIFAR-10 de 10 clases) en todos los tipos de ataques.
• Precisión de Tarea Principal (MTA): El marco mantuvo una MTA competitiva, mostrando solo una degradación marginal en comparación con la línea base sin ataques.
• Estudios de Ablación:
  • Indicador Único vs. Multi-Indicador: Se demostró que la clasificación de indicador único (por ejemplo, usando solo la norma $\ell_2$) es vulnerable a ataques diseñados específicamente para evadir esa métrica. El enfoque de múltiples indicadores resultó necesario para la robustez.
  • Por Capas vs. Por Modelo: Reemplazar la inspección por capas con inspección de todo el modelo degradó significativamente el rendimiento frente a ataques Neurotoxin, validando la necesidad de una inspección detallada.
• Eficiencia: Aunque TTI incurre en un tiempo de ejecución ligeramente mayor por ronda que líneas base como Votación de Mejor Esfuerzo (BEV) o FedSAC, esta sobrecarga se limita al nivel "sospechoso" (aproximadamente el 30% de los clientes en la configuración probada). La compensación produce una ASR significativamente menor, demostrando un equilibrio favorable entre robustez y eficiencia.

5. Significado y Afirmaciones

El artículo posiciona a TTI como una solución a la "pregunta abierta" de defender el OTA-FL contra ataques de puerta trasera sin comprometer la eficiencia de comunicación que hace atractivo al OTA-FL.

• Abordando la Limitación de Superposición: El marco reconoce la restricción fundamental de que el PS no puede ver las actualizaciones individuales inicialmente. TTI trabaja alrededor de esto utilizando informes ligeros del lado del cliente para el filtrado y reservando la carga individual costosa y la inspección solo para casos ambiguos.
• Robustez frente a Ataques Sigilosos: Los autores enfatizan que su método es específicamente efectivo contra ataques "restringidos por métricas" (euclidiana/coseno) y ataques "dispersos" (Neurotoxin), los cuales son conocidos por derrotar a las defensas convencionales basadas en normas o dirección.
• Escalabilidad y Adaptabilidad: Al utilizar Optimización Bayesiana para el ajuste de pesos e indicadores conscientes de la modalidad, el marco está diseñado para ser adaptable a diferentes tipos de datos y estructuras de modelos sin requerir un reajuste manual para cada nuevo escenario.
• Viabilidad a Largo Plazo: La inclusión del mecanismo de Puntuación de Reputación se destaca como una forma de amortizar el costo computacional de la inspección a lo largo del tiempo, permitiendo que el sistema se vuelva más eficiente a medida que aprende el comportamiento de los clientes participantes.

Los autores concluyen que TTI equilibra exitosamente las demandas competitivas de seguridad (baja ASR), utilidad (alta MTA) y eficiencia (mínima sobrecarga), proporcionando una estrategia de defensa práctica para la próxima generación de sistemas de aprendizaje federado inalámbrico.