Résumé Technique : VTarbel

Définition du Problème

L'apprentissage fédéré vertical (VFL - Vertical Federated Learning) permet à plusieurs parties disposant d'ensembles de caractéristiques disjoints de collaborer à l'entraînement de modèles sans partager de données brutes. Bien que les vulnérabilités de confidentialité (ex: reconstruction de caractéristiques et inférence de labels) soient bien étudiées, la robustesse sécuritaire du VFL contre les attaques de labels ciblés lors de la phase d'inférence reste peu explorée. Dans de telles attaques, une partie passive compromise manipule ses caractéristiques d'entrée pour forcer le modèle global à classer à tort des échantillons dans un label choisi par l'adversaire.

Les méthodes d'attaque de labels ciblés existantes souffrent de deux limitations critiques dans des scénarios réels :

1. Connaissance Adversaire Irréaliste : Les travaux antérieurs supposent souvent que l'attaquant a accès à des jeux de données auxiliaires étiquetés, aux sorties du modèle global (logits/probabilités), ou aux échantillons de test d'autres participants. En réalité, les labels sont la propriété de la partie active et ne sont jamais partagés.
2. Négligence de la Détection d'Anomalies : Les déploiements de VFL réels emploient souvent des détecteurs d'anomalies (ex: statistiques ou basés sur le ML) pour filtrer les plongements (embeddings) de caractéristiques suspects. Les attaques existantes génèrent des plongements trop optimisés qui s'écartent significativement de la distribution bénigne, ce qui les rend facilement détectables et provoque le rejet de l'entrée par le système (produisant un label "REJ") plutôt que le label ciblé.

Le défi central est de concevoir une attaque capable d'opérer sous une connaissance minimale de l'adversaire (pas d'accès aux labels, aux sorties globales ou aux données des autres parties) tout en évitant efficacement les systèmes VFL dotés de détecteurs.

Méthodologie : Le Framework VTarbel

Les auteurs proposent VTarbel (VFL Inference Targeted Label Attack), un framework à deux étapes conçu pour combler le fossé entre la connaissance minimale et l'évasion efficace. Le framework partitionne la phase d'inférence en une Phase de Préparation et une Phase d'Attaque.

1. Phase de Préparation (Collecte de Connaissances)

L'objectif est de collecter les connaissances essentielles pour entraîner des modèles substituts locaux sans consommer la majorité du jeu de test.

• Sélection d'Échantillons : L'attaquant sélectionne un ensemble minimal d'échantillons bénins à "haute expressivité" du jeu de test non étiqueté. Cette sélection est pilotée par la Divergence de Moyenne Maximale (MMD). L'attaquant sélectionne de manière itérative des échantillons qui maximisent la réduction de la MMD entre le sous-ensemble sélectionné et la distribution complète du jeu de test, garantissant ainsi que le sous-ensemble est représentatif.
• Acquisition de Labels : Ces échantillons sélectionnés sont soumis au système VFL selon le protocole standard. Les labels prédits retournés (excluant "REJ") sont traités comme des pseudo-labels.
• Entraînement du Modèle Local : En utilisant les échantillons sélectionnés et leurs pseudo-labels, l'attaquant entraîne localement deux composants critiques :
  • Détecteur Estimé : Une approximation du détecteur d'anomalies du défenseur (ex: DeepAE ou KDE) pour estimer les frontières de détection.
  • Modèle Substitut (Surrogate Model) : Un modèle construit en ajoutant une tête d'inférence au modèle de base entraîné par l'attaquant, imitant le comportement du modèle VFL global.

2. Phase d'Attaque (Conception Adversaire)

L'attaquant utilise le modèle substitut entraîné et le détecteur estimé pour générer des instances adverses pour les échantillons de test restants.

• Objectif d'Optimisation : L'attaquant effectue une optimisation basée sur le gradient (Descente de Gradient Projetée - PGD) pour perturber les caractéristiques brutes restantes. La fonction objectif minimise la perte d'entropie croisée entre la prédiction du modèle substitut et le label ciblé, tout en minimisant simultanément le score d'anomalie prédit par le détecteur estimé.
• Contraintes : Les perturbations sont contraintes par une borne de distance (norme $L_p$) pour garantir que les caractéristiques modifiées restent valides et imperceptibles.
• Exécution : Les plongements malveillants optimisés sont soumis au système VFL. En raison de la transférabilité des exemples adverses, ces plongements sont conçus pour induire le modèle global à prédire le label ciblé tout en restant dans la distribution "normale" acceptée par le détecteur du défenseur.

Contributions Clés

1. Formalisation du Problème : Les auteurs formalisent l'attaque de label ciblé dans le VFL comme un problème d'optimisation combinatoire : sélectionner un sous-ensemble optimal d'échantillons de test pour maximiser le nombre de classifications erronées vers un label spécifique. Ils identifient cela comme un problème NP-difficile et proposent un partitionnement en deux étapes pour le résoudre de manière pratique.
2. Framework d'Attaque à Connaissance Minimale : VTarbel est le premier framework conçu pour opérer sous des contraintes réalistes (pas de labels, pas de sorties globales) tout en tenant explicitement compte des détecteurs d'anomalies. Il utilise un paradigme à deux étapes où la phase de préparation minimise l'usage des échantillons pour entraîner des modèles locaux expressifs, préservant ainsi la majorité des échantillons pour l'attaque.
3. Évaluation Extensive : Le framework est évalué sur quatre architectures de modèles (MLP3, VGG13, ResNet18, DistilBERT), sept jeux de données multimodaux (TabFMNIST, CIFAR10, CINIC10, CIFAR100, TREC, IMDB) et deux détecteurs d'anomalies (DeepAE, KDE).

Résultats Expérimentaux

• Performance Supérieure : VTarbel surpasse systématiquement quatre baselines de l'état de l'art (LR-BA, HijackVFL, ADI, TIFS'23). Par exemple, sur le modèle VGG13 avec un détecteur DeepAE, VTarbel atteint un Taux de Succès d'Attaque (ASR) de 90,39 %, alors que la meilleure baseline n'atteint que 49,62 %. Dans de nombreuses configurations, les baselines tombent à un ASR proche de zéro lorsque les détecteurs sont actifs, tandis que VTarbel maintient des taux de succès élevés.
• Évasion de Détecteur : Le framework parvient à évader la détection. Les auteurs démontrent que l'ASR de VTarbel reste élevé même lorsque le seuil de détection du défenseur est resserré, alors que les autres méthodes échouent complètement.
• Robustesse face aux Défenses : L'article évalue trois défenses courantes de préservation de la confidentialité (Embedding Bruité, Embedding Discret, Embedding Compressé). Bien que l'Embedding Compressé montre une certaine atténuation (réduisant l'ASR à environ 47-7 % selon le jeu de données), cela se fait au prix d'un coût important pour l'exactitude de l'inférence de la tâche principale (chute de plus de 10-20 %). Les deux autres défenses sont largement inefficaces contre VTarbel.
• Études d'Ablation : Les expériences confirment que les deux étapes sont nécessaires ; supprimer la phase de préparation (Only-Attack) entraîne un ASR de 0 % en raison de l'absence de modèle substitut entraîné. De plus, la sélection d'échantillons basée sur la MMD surpasse nettement la sélection aléatoire, particulièrement dans les jeux de données déséquilibrés.

Signification et Revendications

L'article affirme que VTarbel révèle des angles morts sécuritaires critiques dans les déploiements actuels de VFL. Il démontre que même avec une connaissance minimale et en présence de détecteurs d'anomalies, une partie passive peut manipuler efficacement les résultats d'inférence du VFL. Les auteurs soulignent que les défenses existantes sont insuffisantes, car elles soit échouent à arrêter l'attaque, soit dégradent sévèrement l'utilité du système VFL. Le travail souligne l'urgence de développer des défenses robustes et conscientes des attaques, capables de maintenir une haute exactitude d'inférence tout en atténuant les attaques de labels ciblés. Les auteurs ne prétendent pas avoir résolu le problème de la défense, mais visent plutôt à souligner la gravité de la menace pour motiver les recherches futures.