EnCAgg: Enhanced Clustering Aggregation for Robust Federated Learning against Dynamic Model Poisoning

Resumen Técnico de "EnCAgg: Agregación de Agrupamiento Mejorada para Aprendizaje Federado Robusto contra Envenenamiento de Modelos Dinámico"

Declaración del Problema
El Aprendizaje Federado (FL) permite el entrenamiento descentralizado de modelos preservando la privacidad de los datos, pero sigue siendo vulnerable a Ataques de Envenenamiento de Modelos (MPA). En estos ataques, clientes maliciosos cargan gradientes diseñados para interrumpir la convergencia global. Las amenazas recientes son cada vez más sigilosas y dinámicas; los atacantes pueden restringir finamente las actualizaciones para imitar estadísticas benignas o alternar entre comportamiento benigno y malicioso a lo largo de las iteraciones. Los mecanismos de defensa existentes enfrentan dos limitaciones principales:

1. Suposiciones Estáticas: Muchos métodos dependen de umbrales fijos o de un número fijo de agrupaciones (por ejemplo, K-means), asumiendo una proporción conocida y relativamente baja de adversarios. Estos fallan cuando la proporción maliciosa fluctúa dinámicamente o cuando los atacantes dominan el conjunto de clientes.
2. Pérdida de Gradientes Benignos: Debido a la heterogeneidad de los datos, los gradientes benignos exhiben naturalmente diversidad. Los métodos de filtrado tradicionales a menudo confunden estas actualizaciones benignas diversas con valores atípicos o ruido, descartándolos y degradando la capacidad de generalización del modelo global.

Metodología: Marco EnCAgg
Los autores proponen EnCAgg, un método de agregación robusto que utiliza un pequeño conjunto de clientes benignos conocidos como referencias para identificar y filtrar gradientes maliciosos sin asumir una proporción maliciosa fija. El marco opera a través de tres etapas secuenciales:

1. Agrupamiento de Gradientes de Baja Dimensión Basado en Densidad:

   • Proyección: Los gradientes de alta dimensión se proyectan en un espacio 2D utilizando Análisis de Componentes Principales (PCA), seleccionando específicamente las dos dimensiones con la mayor varianza. Esto amplifica la separación entre actualizaciones benignas y maliciosas.
   • Selección de Radio: Un radio de agrupamiento dinámico ($\epsilon$) se determina calculando la distancia euclidiana entre dos clientes "raíz" seleccionados aleatoriamente del conjunto benigno conocido.
   • Agrupamiento y Filtrado: DBSCAN (un algoritmo basado en densidad) agrupa los gradientes proyectados. El servidor identifica el grupo benigno verificando si los clientes raíz caen dentro de un grupo o encontrando el grupo más cercano a los gradientes raíz. Se aplica una restricción de densidad ($\gamma$) para filtrar posibles "ataques de propagación" donde los gradientes maliciosos forman una cadena hacia el grupo benigno.

2. Generación de Gradientes de Baja Dimensión con Agrupamiento Mejorado:

   • Para recuperar gradientes benignos que fueron mal clasificados como ruido (valores atípicos) en la primera ronda, se emplea un modelo generativo.
   • Este modelo aprende a generar pseudo-gradientes cerca del límite del grupo benigno identificado. Estos pseudo-gradientes actúan como "puentes", conectando valores atípicos benignos dispersos con el grupo benigno principal.
   • El generador se optimiza utilizando una función de pérdida compuesta que incluye:
     • Pérdida de Clasificación de Agrupamiento: Fomenta que los pseudo-gradientes se asignen al grupo benigno.
     • Pérdida de Diversidad de Dirección: Evita que los gradientes generados colapsen en un solo punto, asegurando una dispersión simétrica.
     • Pérdida de Diversidad de Distancia: Asegura que los gradientes generados estén separados espacialmente para evitar una concentración excesiva.

3. Re-agrupamiento de Gradientes de Baja Dimensión:

   • Los gradientes reales retenidos y los pseudo-gradientes generados se combinan para una segunda ronda de agrupamiento DBSCAN.
   • El efecto "puente" de los pseudo-gradientes permite que los valores atípicos benignos dispersos sean absorbidos en el grupo benigno.
   • Solo los gradientes reales correspondientes al grupo benigno final se agregan para actualizar el modelo global; los pseudo-gradientes se descartan.

Contribuciones Clave

1. Adaptación Dinámica: El método no requiere conocimiento previo de la proporción de clientes maliciosos. Se adapta a estrategias de envenenamiento dinámicas donde la intensidad del ataque y la proporción maliciosa varían a lo largo de las iteraciones.
2. Estrategia de Agrupamiento Novel: Introduce un enfoque de agrupamiento de baja dimensión basado en densidad que aprovecha referencias benignas conocidas para distinguir actualizaciones maliciosas mientras preserva la diversidad de las actualizaciones benignas.
3. Mecanismo de Recuperación Generativa: El diseño de un generador de agrupamiento mejorado que produce pseudo-gradientes para recuperar valores atípicos benignos mal clasificados, mejorando significativamente la retención de actualizaciones útiles.
4. Análisis Teórico: El artículo proporciona un análisis de convergencia tanto para el modelo generador como para el modelo global, demostrando que la convergencia está garantizada bajo restricciones específicas en los parámetros de radio de agrupamiento y densidad, incluso en presencia de clientes maliciosos.

Resultados Experimentales
Los autores evaluaron EnCAgg en los conjuntos de datos MNIST, CIFAR-10 y MIND (recomendación de noticias) contra tres estrategias de ataque: UA-FedRec, LIE (Little is Enough) y Min-Max.

• Fidelidad: En entornos no adversarios, EnCAgg logró un rendimiento comparable al FedSGD estándar, con brechas de precisión dentro del 0.8% para tareas de imagen y del 0.3% para métricas de recomendación.
• Robustez:
  • Bajo bajas proporciones maliciosas (10%), EnCAgg superó a las líneas base (Krum, Mediana, FLTrust, etc.) frente a ataques sigilosos como LIE y Min-Max, manteniendo una alta precisión donde otros métodos fallaron.
  • Bajo altas proporciones maliciosas (60%), donde la mayoría de las defensas colapsaron, EnCAgg mantuvo un rendimiento robusto (por ejemplo, ~98% de precisión en MNIST y >80% en CIFAR-10).
  • El método permaneció efectivo incluso cuando los clientes maliciosos constituían hasta el 80% del total, con solo una degradación leve del rendimiento.
• Ataques Adaptativos: Incluso cuando los atacantes poseían conocimiento completo de la regla de agregación y diseñaron ataques adaptativos dirigidos a la proyección de baja dimensión, EnCAgg mantuvo una alta precisión (94.67% con una proporción maliciosa del 60%), demostrando una compensación entre el sigilo de baja dimensión y la efectividad del ataque de alta dimensión.
• Estudios de Ablación: La eliminación de la reducción de dimensionalidad o del modelo generador resultó en caídas significativas del rendimiento, confirmando que ambos componentes son esenciales para la eficacia del método.

Significado
El artículo afirma que EnCAgg aborda la brecha crítica en las defensas existentes respecto a estrategias de envenenamiento dinámicas y sigilosas. Al alejarse de los umbrales fijos y las suposiciones de mayoría, y en su lugar utilizar un enfoque de agrupamiento basado en referencias y potenciado por generación, EnCAgg logra un equilibrio superior entre robustez (filtrado de ataques) y fidelidad (retención de actualizaciones benignas diversas). Los autores postulan que este enfoque ofrece una solución más resiliente para implementaciones de FL en el mundo real donde el comportamiento de los clientes y las intensidades de los ataques son impredecibles.