🤖 machine learning

Targeted Label-Flipping and Oversampling Attacks on Federated Conditional GANs

Este artículo investiga la efectividad y las propiedades teóricas de los ataques de inversión de etiquetas y de sobremuestreo en las GANs condicionales federadas, demostrando que los clientes maliciosos pueden inducir un daño semántico significativo con un escalado lineal de la fuerza del envenenamiento mientras permanecen difíciles de detectar debido a una desviación cuadrática mínima en las métricas de distribución.

Autores originales: Panav Shah, Avishek Ghosh

Publicado 2026-08-11

📖 6 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Panav Shah, Avishek Ghosh

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina un mundo donde un grupo de amigos quiere construir juntos un robot artista súper inteligente, pero no pueden compartir sus cuadernos de bocetos privados. En su lugar, cada uno dibuja en su propia tableta y solo envían las "reglas" de cómo dibujar a un centro común. Esto es el Aprendizaje Federado (Federated Learning): una forma en la que las computadoras aprenden juntas sin llegar a ver nunca los datos brutos de las demás, manteniendo la privacidad de cada una. Ahora, imagina que el robot que están construyendo es una Red Generativa Antagónica (GAN). Piensa en una GAN como un dúo creativo entre dos robots: uno es el Generador, un artista que intenta crear imágenes falsas que parezcan reales, y el otro es el Discriminador, un crítico que intenta detectar las falsificaciones. Si añades GANs Condicionales a la mezcla, le das al artista una instrucción específica, como "Dibuja un gato" o "Dibuja un perro", y el robot aprende a seguir esas órdenes a la perfección.

La gran pregunta que aborda este artículo es: ¿Qué pasa si uno de los amigos del grupo es en realidad un bromista? En un aula normal, si un estudiante actúa incorrectamente, el profesor podría atraparlo. Pero en este club secreto de computadoras, el centro común confía en todos. Los investigadores querían saber si una computadora astuta podría engañar a todo el grupo para que aprendan lo incorrecto, específicamente alterando las etiquetas (las instrucciones) que envía. Descubrieron que un actor malintencionado puede, de hecho, engañar al robot artista para que dibuje las cosas equivocadas, y lo aterrador es que el "puntaje artístico" general del robot podría parecer perfecto, ocultando el daño por completo.

El Gran Cambio de Etiquetas

En este estudio, los investigadores plantearon un escenario donde algunos clientes "maliciosos" (los bromistas) se unen a un grupo de computadoras honestas para entrenar una GAN condicional. ¿Su objetivo? Realizar un Ataque de Inversión de Etiquetas Dirigido (Targeted Label-Flipping Attack). Imagina que estás enseñando a un robot a reconocer animales. Le muestras la foto de un gato y le dices: "Esto es un gato". El bromista, sin embargo, toma la foto de un gato, cambia la etiqueta y le dice al robot: "Esto es un perro". Hacen esto para un par específico de clases —por ejemplo, convirtiendo "gatos" en "perros"— mientras dejan todo lo demás intacto.

Los investigadores probaron dos métodos para hacer esto. El primero es el Cambio de Etiquetas Simple (Simple Label Flipping), donde el bromista simplemente cambia la etiqueta de la imagen. El segundo método, más potente, es el Sobremuestreo (Oversampling). Aquí, el bromista no solo cambia la etiqueta, sino que también le dice al robot: "¡Presta especial atención a esta imagen! ¡Mírala cinco veces!". Esto aumenta el peso de la instrucción falsa, haciendo que el robot aprenda la lección incorrecta mucho más rápido.

El Daño Invisible

El descubrimiento más fascinante del artículo es lo difícil que es atrapar a estos bromistas. Los investigadores utilizaron una herramienta matemática llamada Divergencia KL (piensa en ella como un "medidor de confusión") para medir cuánto se arruinó la comprensión del robot sobre los "gatos" y los "perros".

Encontraron una asimetría extraña y peligrosa. Cuando los bromistas invierten las etiquetas, la capacidad del robot para distinguir entre el gato real y el perro falso (las clases "fuente" y "objetivo") colapsa muy rápidamente. El medidor de confusión muestra una caída lineal, lo que significa que el daño ocurre de forma rápida y constante a medida que se unen más bromistas.

Sin embargo, si observas el rendimiento general del robot o qué tan bien dibuja un "perro" en comparación con cómo debería ser un "perro verdadero", el daño crece mucho más lento. Crece de forma cuadrática. En lenguaje sencillo, esto significa que el resultado del robot parece casi normal durante mucho tiempo, incluso mientras está siendo corrompido en secreto. La "confusión" entre las dos clases específicas es enorme, pero la "desviación" de la forma real del perro es diminuta.

El Punto Ciego del "FID Agregado"

Para demostrar esto, los investigadores realizaron simulaciones en tres conjuntos de datos de imágenes famosos: FEMNIST (letras manuscritas), MNIST (números manuscritos) y CIFAR-10 (fotos de colores de objetos como gatos y perros). Establecieron un escenario con 50 clientes, algunos honestos y otros maliciosos.

Los resultados fueron escalofriantes. Midieron la Distancia de Incepción de Fréchet (FID), una puntuación estándar utilizada para juzgar qué tan buenas son las imágenes de una IA. Normalmente, una puntuación más baja es mejor. Los investigadores descubrieron que incluso cuando el ataque era lo suficientemente fuerte como para hacer que el robot dibujara "perros" que se parecían exactamente a "gros", el FID Agregado (la puntuación para todas las imágenes combinadas) apenas se movió. Cambió menos del 6% en algunos casos.

¿Por qué? Porque el ataque es muy dirigido. El robot sigue dibujando gatos perfectos, pájaros perfectos y coches perfectos. Solo la categoría de "perro" está secretamente llena de gatos. Como la puntuación estándar promedia todo, el error masivo en una pequeña categoría queda ahogado por la perfección de las demás. Es como un restaurante donde el 99% de los platos son de 5 estrellas, pero un plato específico es en realidad un zapato. Si solo pruebas un poco de todo, podrías pensar que el restaurante sigue siendo excelente, sin notar que el "filete" es en realidad un zapato.

El Impulso del Sobremuestreo

El artículo también mostró que la variante de Sobremuestreo (donde el bromista dice "mira esto 5 veces") fue aún más efectiva. Al aumentar el peso de las muestras envenenadas, los bromistas pudieron lograr el mismo nivel de daño con menos actores maliciosos, o causar mucho más daño con la misma cantidad de actores maliciosos. Crucialmente, este poder adicional no hizo que el ataque fuera más fácil de detectar. El "medidor de confusión" seguía mostrando una caída lineal en la calidad para el par específico, mientras que el "puntaje artístico" general permanecía obstinadamente plano.

Conclusión

Los autores concluyen que los ataques dirigidos de inversión de etiquetas son una amenaza seria para las GANs condicionales federadas porque son efectivos pero sigilosos. El daño a la relación específica entre dos clases (como gatos y perros) ocurre de forma inmediata y severa, pero el sistema general parece lo suficientemente sano como para engañar a las herramientas de monitoreo estándar.

El artículo sugiere que, si queremos atrapar a estos bromistas, no podemos limitarnos a mirar el "puntaje artístico" general o la calidad promedio de las imágenes. Tenemos que observar de cerca las instrucciones específicas. Necesitamos comprobar si el generador de "perros" de repente está actuando como un generador de "gatos". Hasta que no desarrollemos mejores formas de monitorear estas relaciones específicas de clase a clase, un grupo de computadoras entrenando una IA compartida podría estar dibujando zapatos en lugar de filetes, y nadie se daría cuenta hasta que sea demasiado tarde.

Resumen Técnico: Ataques de Volteo de Etiquetas Dirigidos y Sobremuestreo en GANs Condicionales Federadas

Planteamiento del Problema
En el Aprendizaje Federado (FL) para Redes Generativas Antagónicas (GANs), específicamente para las GANs Condicionales (cGANs), el sistema es vulnerable a ataques de envenenamiento de datos donde clientes maliciosos manipulan los datos de entrenamiento locales para corromper el modelo global. Mientras que trabajos previos han explorado el envenenamiento en clasificadores federados y generadores no condicionales, el impacto del volteo de etiquetas dirigido en generadores condicionales sigue siendo poco explorado. El problema central abordado es la capacidad de los adversarios para sesgar las distribuciones condicionales de clase aprendidas de tal manera que las muestras condicionadas a una etiqueta objetivo $t$ se mapeen a una clase origen $s$ , permaneciendo al mismo tiempo indetectables para las métricas de monitoreo estándar y agnósticas a la etiqueta (por ejemplo, la Distancia de Fréchet Inception agregada).

Metodología
Los autores proponen y analizan dos variantes de ataques de volteo de etiquetas dirigidos dentro de un marco estándar de FedAvg:

Volteo de Etiquetas Simple: Los clientes maliciosos relabelan (cambian la etiqueta) una fracción $p$ de las muestras de una clase origen $s$ a una clase objetivo $t$ durante el entrenamiento local, utilizando el Descenso de Gradiente Estocástico (SGD) estándar sin pesos.
Volteo de Etiquetas Basado en Sobremuestreo: Los clientes maliciosos realizan el mismo relabeling pero aumentan el peso de las muestras envenenadas por un factor $r > 1$ durante el cómputo del gradiente. Esto amplifica la influencia de los datos envenenados sobre la actualización sin alterar el tamaño del conjunto de datos visible para el servidor.

El modelo de amenaza asume un servidor honesto pero curioso que agrega actualizaciones mediante un promedio ponderado por el tamaño de la muestra sin defensas robustas (por ejemplo, Krum o la mediana por coordenada). Los adversarios controlan una fracción $\alpha$ de los clientes y conocen la arquitectura global y la función de pérdida, pero no los datos privados de los clientes honestos.

Análisis Teórico
El artículo deriva una caracterización de modelo de mezcla de la distribución de la clase objetivo envenenada $\tilde{P}_t$ . Los autores definen una fuerza de envenenamiento efectiva $\beta$ como una función de la fracción adversarial ( $\alpha$ ), la probabilidad de volteo ( $p$ ), el factor de sobremuestreo ( $r$ ) y la prioridad de la clase origen ( $\Pi_s$ ).

Hallazgos teóricos clave incluyen:

Divergencia Origen-Objetivo: La divergencia de Kullback–Leibler (KL) entre la distribución origen $P_s$ y la distribución objetivo contaminada $\tilde{P}_t$ disminuye linealmente con respecto a $\beta$ . Esto indica que el daño semántico (el colapso de la distinción entre origen y objetivo) ocurre inmediatamente a medida que aumenta la fuerza del ataque.
Desviación de la Distribución Objetivo: Por el contrario, la divergencia KL entre la distribución objetivo real $P_t$ y la distribución contaminada $\tilde{P}_t$ crece solo cuadráticamente con respecto a $\beta$ . El término de primer orden en la expansión se anula porque $\tilde{P}_t$ se construye como una combinación convexa que incluye a $P_t$ misma.
Asimetría de Detectabilidad: Esto crea una asimetría estructural donde el ataque inflige un daño semántico significativo al orden de $\beta$ , mientras que la señal de detección natural (la desviación del objetivo real) solo emerge al orden de $\beta^2$ . Además, se demuestra que las métricas agnósticas a la etiqueta, como la FID agregada, son insensibles porque la desviación por clase se diluye por un factor de $1/C$ (donde $C$ es el número de clases) cuando se promedian a través de todas las clases.

Resultados Experimentales
Los autores validan empíricamente estas predicciones teóricas en tres benchmarks federados: FEMNIST, MNIST y CIFAR-10, utilizando una arquitectura de discriminador de proyección.

Tendencias de la Divergencia KL: Los experimentos confirman que $KL(P_s \parallel \tilde{P}_t)$ disminuye aproximadamente de forma lineal con $\beta$ , mientras que $KL(P_t \parallel \tilde{P}_t)$ aumenta cuadráticamente.
Impacto del Sobremuestreo: La variante de sobremuestreo ( $r=5$ ) logra un $\beta$ efectivo más alto que el volteo simple ( $r=1$ ) para el mismo número de clientes adversarios, amplificando la efectividad del ataque sin aumentar proporcionalmente la detectabilidad.
Evidencia Visual y Métrica:
- Las distribuciones de características (HOG) muestran que la clase objetivo se desplaza hacia la clase origen a medida que aumenta la participación adversarial.
- Las imágenes generadas condicionadas a la etiqueta objetivo se asemejan visualmente a la clase origen.
- Crucialmente, la FID agregada (agnóstica a la etiqueta) permanece casi plana (cambiando menos del 6% incluso con altas fuerzas de envenenamiento), mientras que la FID de la clase objetivo crece sustancialmente. Esto confirma que las métricas estándar agregadas no logran detectar el ataque.

Contribuciones Clave

Formulación: El artículo formula dos ataques de manipulación de etiquetas dirigidos (volteo simple y basado en sobremuestreo) específicamente para cGANs federadas, proporcionando descripciones algorítmicas de las actualizaciones de los clientes adversarios.
Caracterización Analítica: Proporciona una caracterización analítica de forma cerrada que muestra cómo el volteo de etiquetas dirigido sesga las distribuciones de clase aprendidas de forma lineal con respecto a la fuerza de envenenamiento $\beta$ , mientras que la desviación de la verdadera distribución objetivo escala cuadráticamente. Esta asimetría explica por qué el ataque es efectivo pero difícil de detectar.
Validación Empírica: El estudio valida estas predicciones teóricas en FEMNIST, MNIST y CIFAR-10 bajo entornos federados no-IID realistas, demostrando una estrecha concordancia entre la teoría y el experimento.

Significancia y Reivindicaciones
El artículo afirma ser el primero en proporcionar una caracterización analítica de forma cerrada de cómo el volteo de etiquetas dirigido sesga las distribuciones de clase aprendidas de una cGAN federada. La significancia principal radica en demostrar que los ataques dirigidos a generadores condicionales pueden causar una corrupción semántica severa (por ejemplo, generar "perros" cuando se solicitan "gatos") permaneciendo invisibles para las métricas de calidad estándar agnósticas a la etiqueta. Los autores argumentan que este desacoplamiento entre el daño y la detectabilidad hace que tales ataques sean particularmente peligrosos en entornos federados donde los servidores dependen de estadísticas agregadas para el monitoreo. Sugieren que las defensas efectivas deben operar al nivel de las estadísticas condicionales de clase en lugar de métricas agregadas.

El Gran Cambio de Etiquetas

El Daño Invisible

El Punto Ciego del "FID Agregado"

El Impulso del Sobremuestreo

Conclusión

Más como este