FedVIB–AGP: Defending Against Distributed Backdoor Attacks in Federated Learning via Variational Information Bottleneck and Activation-Gap Pruning

Imagina un proyecto artístico masivo y colaborativo donde miles de artistas (llamados "clientes") pintan juntos un mural gigante (el "modelo global"). No pueden compartir sus pinceles o bocetos reales porque quieren mantener sus secretos a salvo, así que solo le envían al servidor una nota diminuta diciendo: "Creo que el cielo debería ser más azul". El servidor mezcla todas estas notas para actualizar el mural. Esto es el Aprendizaje Federado (Federated Learning).

Pero surge un problema de infiltrados. Un grupo de saboteadores quiere engañar al mural. No quieren arruinar toda la imagen; solo quieren asegurarse de que, si alguien pinta un patrón pequeño y específico (como un punto rojo), el árbol se convierta repentinamente en un monstruo gigante que grita. Esto es un Ataque de Puerta Trasera (Backdoor Attack).

La parte complicada es el Ataque de Puerta Trasera Distribuido (DBA). En lugar de que un mal artista pinte todo el patrón del "punto rojo", los saboteadores dividen el patrón en piezas diminutas e invisibles. El Artista A pinta una pequeña mota roja en una hoja. El Artista B pinta una pequeña mota roja en una rama. El Artista C pinta una mota en el tronco. Individualmente, estas motas parecen errores inofensivos. Pero cuando el servidor mezcla todas las notas, las "motas rojas" se combinan para formar el disparador completo del "grito". El mural parece normal hasta que buscas ese patrón específico, entonces, ¡boom!, grita.

Los Viejos Modos vs. La Nueva Idea

Los intentos previos para detener esto eran como un guardia de seguridad revisando las notas que los artistas enviaban. Intentaban detectar las malas notas o adivinar qué artistas estaban mintiendo. Pero debido a que las malas notas eran tan sutiles y estaban fragmentadas, el guardia a menudo las pasaba por alto.

Los autores de este artículo, Hanlei Zhou y su equipo, dicen: "Dejemos de adivinar quién miente y empecemos a reparar el mural mismo". Proponen un kit de reparación de dos pasos llamado FedVIB–AGP.

Paso 1: La "Dieta de Memoria" (Cuello de Botella de Información Variacional)

Primero, cambian la forma en que los artistas crean sus bocetos locales. Introducen una regla llamada Cuello de Botella de Información Variacional (VIB).

Piensa en el VIB como un editor estricto que le dice a los artistas: "Solo puedes conservar los detalles esenciales necesarios para pintar un árbol normal. Si intentas memorizar detalles extraños y adicionales (como la mota roja secreta), serás penalizado". Esto los obliga a comprimir su memoria, desechando la información "redundante". El objetivo es asegurar que, incluso si un mal artista intenta colar una mota roja, el artista la olvide porque no es "esencial" para pintar un árbol normal.

Sin embargo, el artículo es cuidadoso en decir que esto no es un escudo mágico. Es solo una dieta. Hace que sea más difícil recordar el veneno, pero no garantiza que el veneno haya desaparecido.

Paso 2: El "Detective de Disparadores" (Poda de Brecha de Activación)

Después de que el servidor mezcla todas las notas, el mural todavía puede tener algunas rutas de "grito" ocultas. Aquí es donde entra la segunda parte, la Poda de Brecha de Activación (AGP).

Crucialmente, este paso requiere dos herramientas específicas: El servidor debe poseer un lote de referencia limpio (un conjunto de fotos de árboles normales y no envenenadas) Y una herramienta de disparador que pueda recrear perfectamente el disparador ensamblado (el patrón completo formado por todas las piezas divididas) para probar el mural.

Con estas herramientas, el servidor realiza un pequeño experimento:

1. Muestra al mural un árbol normal del lote de referencia limpio.
2. Muestra al mural el mismo árbol del lote, pero con el patrón completo de la mota roja ensamblada añadido.
3. Observa las "neuronas" internas del mural (los pequeños trabajadores dentro de la máquina de pintura).

Si un trabajador normalmente ignora un árbol normal pero de repente se vuelve loco y grita cuando se añade el patrón completo, ese trabajador es sospechoso. El servidor mide esta "brecha" entre la reacción normal y la reacción disparada. Si la brecha es enorme, el servidor dice: "¡Este trabajador es demasiado sensible al veneno!" y poda (enmascara) a ese trabajador. Esencialmente, pone un cartel de "No Usar" en ese camino específico.

Después de cortar a los malos trabajadores, el servidor le da al mural una sesión rápida de "ajuste fino" (fine-tuning) con el lote de referencia limpio para asegurar que aún pueda pintar un hermoso paisaje sin esos trabajadores.

Los Resultados: ¿Funcionó?

Los autores probaron esto en cuatro tipos diferentes de "tareas de pintura" (conjuntos de datos): CIFAR-10 (objetos coloridos), Fashion-MNIST (ropa), MNIST (números escritos a mano) y SVGT (números de casas).

Esto fue lo que sucedió en sus simulaciones:

• El Ataque: Sin ninguna defensa, los malos artistas podían hacer que el modelo gritara bajo comando el 95.67% de las veces en CIFAR-10, 90.82% en Fashion-MNIST, 98.46% en MNIST y 86.43% en SVGT. El mural fue completamente secuestrado.
• La Defensa: Con FedVIB–AGP, la tasa de éxito del ataque cayó drásticamente:
  • CIFAR-10: Bajó a 2.16%.
  • Fashion-MNIST: Bajó a 2.56%.
  • MNIST: Bajó a 0.81%.
  • SVGT: Bajó a 0.60%.

Crucialmente, el mural no perdió su capacidad de pintar árboles normales. La "precisión limpia" (qué tan bien pinta imágenes normales) se mantuvo alta: 73.27% para CIFAR-10, 75.93% para Fashion-MNIST, 92.45% para MNIST y 90.38% para SVGT.

Al compararlo con otras defensas de alto nivel (como CRFL, que era el mejor de los métodos antiguos), FedVIB–AGP fue incluso mejor. Redujo la tasa de éxito del ataque hasta un 10.29% más que CRFL y, de hecho, mejoró la precisión limpia hasta en un 11.16%.

Lo que este artículo descarta (y lo que no)

Es importante saber lo que este artículo no afirma.

• No es una solución mágica para disparadores desconocidos. El artículo establece explícitamente que este método requiere que el servidor posea tanto un lote de referencia limpio como el patrón de disparador ensamblado para ejecutar la prueba del detective. El servidor necesita saber exactamente cómo luce la "mota roja" para comparar la reacción del mural. Si los saboteadores cambian el patrón a algo que el servidor no conoce, este kit de reparación específico no puede realizar el paso del "Detective de Disparadores" y podría no funcionar.
• No es una garantía contra todos los ataques futuros. Los resultados se basan en simulaciones específicas con conjuntos de datos y configuraciones de ataque específicos. Los autores advierten que los ataques del mundo real podrían ser más inteligentes o diferentes.
• No es solo "VIB" o solo "Poda". El artículo muestra que hacer solo la "Dieta de Memoria" (VIB) o solo la "Poda" (AGP) no es suficiente por sí solo. Necesitas ambos trabajando juntos para obtener los mejores resultados. Por ejemplo, en CIFAR-10, usar solo la poda redujo el ataque al 16.10%, pero añadir la dieta de memoria lo llevó hasta el 2.16%.

La Conclusión

El artículo sugiere que al combinar una "dieta de memoria" durante el entrenamiento con un "detective de disparadores" después de que el modelo se construye, podemos limpiar eficazmente un mural envenenado sin arruinar la pintura.

En estas simulaciones específicas, el método funcionó increíblemente bien, convirtiendo un ataque casi del 100% de éxito en una tasa cercana a cero, mientras mantenía al modelo lo suficientemente inteligente para hacer su trabajo. Pero los autores son honestos: esto funciona mejor cuando sabemos cómo es el veneno. Si el veneno cambia de forma, podríamos necesitar un nuevo tipo de detective.