Resumen Técnico: TOFD – Desacoplamiento de Características Orientado a Objetivos contra Ataques de Envenenamiento en el Aprendizaje Federado Dividido

1. Planteamiento del Problema

El Aprendizaje Federado Dividido (SFL, por sus siglas en inglés) combina los beneficios de privacidad del Aprendizaje Federado (FL) con la eficiencia computacional del Aprendizaje Dividido (SL) mediante la partición de modelos entre clientes y servidores. Mientras que los clientes transmiten representaciones intermedias ("datos triturados" o smashed data) al servidor para su posterior procesamiento, esta arquitectura introduce vulnerabilidades únicas. A diferencia del FL estándar, donde las defensas suelen centrarse en las actualizaciones del modelo, el SFL es susceptible a ataques de envenenamiento que apuntan a etapas específicas del flujo de trabajo, incluyendo representaciones de características locales, etiquetas, datos triturados y pesos del lado del cliente.

Los mecanismos de defensa existentes, adaptados en gran medida del FL convencional, no logran aprovechar las características específicas de la arquitectura SFL. A menudo pasan por alto el papel fundamental de los datos triturados como el conducto principal para las señales de envenenamiento. En consecuencia, los métodos actuales luchan contra tres desafíos principales:

1. Alta Sobrecarga: La transmisión frecuente de datos triturados requiere mecanismos de detección ligeros para evitar costos de comunicación prohibitivos.
2. Confusión por No-IID: En sistemas dinámicos, distinguir entre distribuciones de datos benignas No-IID y la manipulación adversarial maliciosa es difícil, lo que genera altas tasas de falsos positivos.
3. Efectos Residuales: Incluso si los datos envenenados son filtrados, los modelos maliciosos del lado del cliente aún pueden contaminar el modelo global mediante la agregación, dejando efectos adversariales residuales.

2. Metodología: Marco de Trabajo TOFD

Los autores proponen el Desacoplamiento de Características Orientado a Objetivos (TOFD), un marco unificado que integra la detección proactiva con la optimización robusta. El TOFD opera a través de un flujo de tres etapas:

Etapa 1: Inferencia de Objetivos (Inferencia de Objetivos de Ataque por Clase)

Esta etapa tiene como objetivo identificar posibles objetivos de ataque con baja sobrecarga, limitando el alcance a clases sospechosas.

• Construcción de la Zona Segura Inicial: El sistema modela la distribución de características por clase de los datos triturados utilizando un enfoque gaussiano empírico. Calcula la distancia de 2-Wasserstein entre la distribución local de un cliente y la distribución global histórica. Un Z-score modificado identifica un conjunto inicial de "clientes sospechosos" que caen fuera de una zona segura.
• Verificación de Consistencia Distribucional: Para distinguir el comportamiento malicioso de las variaciones benignas No-IID, el marco introduce una Puntuación de Consistencia Distribucional (DCS). Esta mide el cambio de distribución inducido por un cliente sospechoso.
• Perturbación de Margen (MP): Se establece un umbral basado en la desviación máxima permisible dentro de la distribución benigna (MP). Los clientes cuya DCS cae dentro del MP se mantienen como benignos; aquellos que la exceden son identificados como maliciosos y se infiere que están atacando clases específicas.

Etapa 2: Purificación de Muestras (Purificación de Muestras Calibrada por Clase)

En lugar de descartar clientes enteros (lo que reduce la diversidad de datos), el TOFD realiza un filtrado fino sobre las clases objetivo identificadas.

• Umbralización Adaptativa: Para las muestras dentro de una clase objetivo, se cuantifica la desviación respecto a la distribución global. Un umbral calibrado por clase ($\tau_k$) se calcula dinámicamente utilizando el rango intercuartílico (IQR) y los valores de MP. Este umbral se adapta a las características de dispersión específicas de cada clase.
• Filtrado: Las muestras que exceden el umbral se clasifican como maliciosas ($Z^-$), mientras que las que están por debajo se mantienen como benignas ($Z^+$). Esto asegura que solo las representaciones benignas validadas actualicen la distribución global y el modelo del lado del servidor.

Etapa 3: Optimización de Desacoplamiento (Desacoplamiento de Características Maliciosas)

Para abordar la influencia adversarial residual de los modelos maliciosos del lado del cliente que puedan persistir después del filtrado, el TOFD integra un objetivo de desacoplamiento en la optimización del lado del servidor.

• Modelo de Guía Adversarial: Un modelo de guía ($R$), que comparte la arquitectura del modelo del lado del servidor, se ajusta (fine-tuning) sobre los datos triturados maliciosos detectados ($Z^-$) para capturar los patrones inducidos por el ataque.
• Función de Pérdida Conjunta: El modelo del lado del servidor se optimiza utilizando una función de pérdida conjunta que comprende:
  1. Pérdida de Entropía Cruzada ($L_{CE}$): Entrenada con los datos benignos validados ($Z^+$) para mantener el rendimiento de la tarea.
  2. Pérdida de Desacoplamiento ($L_{MFD}$): Maximiza la divergencia de Kullback–Leibler (KL) entre el modelo del lado del servidor y el modelo de guía adversarial en los datos maliciosos ($Z^-$). Esto obliga al servidor a divergir de los patrones de ataque mientras preserva la integridad de las características benignas.

3. Contribuciones Clave

El artículo describe cuatro contribuciones principales:

1. Marco Unificado: El TOFD se presenta como un marco que integra sistemáticamente la detección de grano fino con la optimización de SFL, permitiendo la mitigación efectiva de una amplia gama de ataques de envenenamiento (datos, pesos, triturados, etiquetas y multivectoriales).
2. Mecanismo de Desentrelazamiento: Al aprovechar la inferencia por clase y la Perturbación de Margen, el método desentrelaza el comportamiento malicioso de las variaciones benignas No-IID sin sacrificar la diversidad de datos.
3. Supresión de Residuales: Se desarrolla una estrategia de desacoplamiento basada en guía adversarial para suprimir la influencia de ataques residuales que persisten más allá de la fase de detección.
4. Garantías Teóricas: Los autores proporcionan un análisis teórico formal que caracteriza la complejidad computacional y establece garantías de convergencia para el marco TOFD.

4. Resultados Experimentales

Se realizaron experimentos extensos en cinco conjuntos de datos (HAM10k, MNIST, F-MNIST, CIFAR10, CIFAR100) y diversas arquitecturas de modelos (DenseNet121, ResNet18, ResNet50).

• Rendimiento: El TOFD superó consistentemente a las defensas del estado del arte en diversos escenarios de ataque, incluyendo la heterogeneidad extrema de datos.
• Métricas: El marco demostró una robustez superior (manteniendo una alta precisión bajo ataque) mientras incurría en una baja sobrecarga computacional, lo que lo hace adecuado para el despliegue práctico.
• Eficiencia: El método logró altas Tasas de Detección de Muestras Maliciosas (MSDR) preservando al mismo tiempo el rendimiento de los clientes benignos.

5. Significación y Reivindicaciones

El artículo afirma que el TOFD aborda una brecha crítica en la seguridad de SFL al ir más allá de la simple adaptación de las defensas de FL. Su significación radica en:

• Explotar el Paradigma de División: Utiliza de manera única la interfaz de datos triturados como un punto de control estratégico para la intervención temprana, una característica específica de SFL que trabajos anteriores pasaron por alto.
• Equilibrio entre Robustez y Utilidad: Al emplear un filtrado calibrado por clase en lugar de la exclusión a nivel de cliente, mantiene la diversidad de datos y el rendimiento del modelo en entornos No-IID.
• Mitigación Sistémica: La integración de la optimización de desacoplamiento asegura que, incluso si algunas señales maliciosas evaden la detección, su influencia en el modelo global final sea suprimida.

Los autores concluyen que el TOFD ofrece una solución teóricamente fundamentada, eficiente y robusta para asegurar el Aprendizaje Federado Dividido contra amenazas de envenenamiento complejas.