Résumé technique : Détection et atténuation des attaques par porte dérobée dans les systèmes OTA-FL

1. Énoncé du problème

L'apprentissage fédéré sans fil (Over-the-Air Federated Learning ou OTA-FL) exploite la propriété de superposition des canaux sans fil pour réaliser une agrégation de modèles efficace en communication, offrant théoriquement une surcharge indépendante de l'échelle pour les réseaux mobiles en périphérie. Cependant, cette efficacité introduit une vulnérabilité de sécurité critique : le Serveur de Paramètres (PS) ne reçoit que le signal agrégé, et non les mises à jour individuelles des clients. Par conséquent, le PS ne peut pas vérifier l'exactitude de mises à jour locales spécifiques, rendant les mécanismes de défense standards inapplicables.

Cette vulnérabilité est particulièrement aiguë face aux attaques par porte dérobée, où des adversaires manipulent un sous-ensemble de clients pour intégrer des comportements malveillants cachés (mappages déclencheur-cible) dans le modèle global tout en maintenant une haute précision sur les entrées bénignes. Le défi est exacerbé par :

• Contraintes de furtivité : Des adversaires sophistiqués peuvent concevoir des gradients empoisonnés contraints par des métriques spécifiques (par exemple, distance euclidienne ou similarité cosinus) pour imiter une dérive de gradient bénigne, échappant ainsi aux méthodes de détection reposant sur une métrique unique.
• Données Non-IID : Dans des scénarios réalistes avec des données non indépendantes et non identiquement distribuées (Non-IID), les clients bénins présentent naturellement une dérive de gradient due à l'hétérogénéité des données. Cela rend difficile pour le PS de distinguer l'hétérogénéité statistique des mises à jour malveillantes soigneusement conçues.
• Impossibilité d'inspection par client : Contrairement au FL traditionnel, l'OTA-FL empêche le PS d'inspecter ou de filtrer individuellement les mises à jour des clients avant l'agrégation.

Les défenses existantes pour l'OTA-FL reposent souvent sur des stratégies gourmandes en ressources (par exemple, blocs de ressources dédiés, symboles factices) ou sur des changements architecturaux qui compromettent l'efficacité du système. Il existe un besoin pour un mécanisme de défense qui minimise la surcharge tout en identifiant efficacement les attaques par porte dérobée furtives et contraintes par des métriques.

2. Méthodologie : Trust-Then-Inspect (TTI)

L'article propose Trust-Then-Inspect (TTI), un cadre d'agrégation robuste en deux étapes conçu pour détecter et atténuer les attaques par porte dérobée dans les systèmes OTA-FL. La philosophie centrale consiste à confiner la surcharge de communication et de calcul supplémentaire exclusivement aux clients « suspects », préservant ainsi l'efficacité de l'agrégation OTA pour la majorité des participants de confiance.

Étape I : Classement des clients via un score de confiance conscient de la modalité

La première étape effectue un pré-dépistage léger côté client pour catégoriser les clients en trois niveaux : Fiable, Suspect et Malveillant.

• Score de confiance multi-indicateurs conscient de la modalité : Au lieu de s'appuyer sur une métrique unique, le cadre calcule un score de confiance composite ($TS$) basé sur plusieurs indicateurs sélectionnés selon la modalité des données (par exemple, onde, texte, image) et l'architecture du modèle.
  • Indicateurs géométriques : Comprend l'alignement de direction temporelle (TDA), la norme relative $\ell_2$, et la « spikiness » (concentration de l'énergie du gradient).
  • Indicateurs spécifiques à la modalité : Des indicateurs supplémentaires sont adaptés à des tâches spécifiques (par exemple, des caractéristiques spécifiques au texte pour AG News).
  • Optimisation des poids : Les poids de ces indicateurs ne sont pas ajustés manuellement mais appris via une Optimisation Bayésienne (BO). Le processus BO optimise une fonction objectif de compromis ($J$) qui maximise la Précision de la Tâche Principale (MTA) tout en minimisant le Taux de Réussite de l'Attaque (ASR) lors d'une phase de calibration hors ligne.
• Stratégie de classement : Sur la base des scores de confiance calculés, les clients sont partitionnés.
  • Fiables : Procèdent directement à l'agrégation OTA.
  • Malveillants : Immédiatement exclus.
  • Suspects : Transférés à l'Étape II pour une inspection approfondie.

Étape II : Inspection couche par couche côté PS

Les clients du niveau « Suspect » subissent une inspection fine au niveau du Serveur de Paramètres pour distinguer la dérive bénigne des mises à jour malveillantes.

• Décomposition couche par couche : Le PS décompose la mise à jour du modèle du client suspect en gradients de couches individuelles de réseaux de neurones.
• Extraction de caractéristiques et clustering : Pour chaque couche, le PS extrait des caractéristiques incluant la structure de signe, la forme de la distribution (kurtose/asymétrie), la distance inter-client, l'écart par rapport à la référence, l'amplitude et la similarité directionnelle.
• Clustering hiérarchique agglomératif (AHC) : Le PS regroupe les clients suspects à chaque couche en deux groupes. Le groupe « bénin » est identifié en fonction de l'alignement avec un gradient de référence fiable et d'une réputation historique, priorisant l'alignement sur la cohérence interne (reconnaissant que les mises à jour bénignes sous des données Non-IID peuvent être très variables).
• Vote majoritaire : Un client est accepté si la fraction de couches classées comme « bénignes » dépasse un seuil $\rho$.
• Mécanisme de Score de Réputation (RS) : Pour fournir une défense à long terme, le PS maintient un score de réputation persistant pour chaque client. Les clients participant à des agrégations réussies augmentent leur score. Après une période de démarrage, un filtre basé sur l'Écart Absolu Médian (MAD) des scores de réputation est appliqué pour exclure les clients ayant des scores persistamment bas, même s'ils échappent occasionnellement à l'inspection couche par couche.

Flux de travail global

Le cadre intègre ces étapes dans un processus itératif :

1. Les clients calculent des indicateurs locaux et les rapportent au PS.
2. Le PS calcule les scores de confiance et classe les clients.
3. Les clients fiables effectuent l'agrégation OTA ; les clients suspects téléversent leurs mises à jour individuellement.
4. Le PS effectue l'inspection couche par couche et le filtrage par réputation.
5. Le modèle global est mis à jour en utilisant l'ensemble final de clients acceptés.

3. Contributions clés

L'article revendique les contributions spécifiques suivantes :

1. Score de confiance multi-indicateurs conscient de la modalité : Un mécanisme côté client utilisant un score composite d'indicateurs spécifiques à la tâche, avec des poids optimisés via l'Optimisation Bayésienne. Cette approche offre une robustesse contre les attaques contraintes par des métriques qui contournent les défenses à métrique unique.
2. Inspection couche par couche côté PS : Un module de détection opérant à la granularité des couches individuelles de réseaux de neurones plutôt qu'au niveau du modèle global. Cela adresse la limitation des métriques globales, qui échouent souvent à détecter des perturbations de porte dérobée éparses ou localisées (par exemple, les attaques Neurotoxin).
3. Mécanisme de réputation à long terme : Un système de notation dynamique qui accumule des preuves comportementales au fil du temps, permettant au système d'identifier progressivement les clients malveillants et de s'appuyer éventuellement sur le filtrage par réputation pour réduire la surcharge de calcul à long terme.
4. Validation complète : Des expériences extensives démontrant que le cadre supprime efficacement diverses attaques par porte dérobée (à échelle bornée, contraintes euclidiennes, contraintes cosinus et Neurotoxin) tout en maintenant une Précision de Tâche Principale (MTA) compétitive.

4. Résultats expérimentaux

Les auteurs ont évalué TTI sur trois jeux de données (RML2016.10A, AG News, CIFAR-10) avec différentes architectures de modèles (CNN 1D, Text CNN, ResNet9) dans des configurations Non-IID.

• Suppression des attaques : Sans défense, les attaques par porte dérobée ont atteint des Taux de Réussite d'Attaque (ASR) élevés, dépassant souvent 80-99 %. Le cadre TTI a réduit de manière constante l'ASR à un niveau proche du hasard (par exemple, ~10 % pour CIFAR-10 à 10 classes) pour tous les types d'attaques.
• Précision de la Tâche Principale (MTA) : Le cadre a maintenu une MTA compétitive, montrant une dégradation marginale par rapport à la ligne de base sans attaque.
• Études d'ablation :
  • Indicateur unique vs Multi-indicateurs : Le classement à indicateur unique (par exemple, utilisant uniquement la norme $\ell_2$) s'est avéré vulnérable aux attaques spécifiquement conçues pour échapper à cette métrique. L'approche multi-indicateurs s'est révélée nécessaire pour la robustesse.
  • Couche par couche vs Modèle entier : Le remplacement de l'inspection couche par couche par une inspection du modèle entier a considérablement dégradé les performances contre les attaques Neurotoxin, validant la nécessité d'une inspection fine.
• Efficacité : Bien que TTI entraîne un temps d'exécution légèrement plus élevé par tour que des bases de référence comme le Vote au meilleur effort (BEV) ou FedSAC, cette surcharge est limitée au niveau « suspect » (environ 30 % des clients dans la configuration testée). Le compromis offre un ASR significativement plus faible, démontrant un équilibre favorable entre robustesse et efficacité.

5. Signification et revendications

L'article positionne TTI comme une solution à la « question ouverte » de la défense de l'OTA-FL contre les attaques par porte dérobée sans compromettre l'efficacité de communication qui rend l'OTA-FL attrayant.

• Adresser la limitation de la superposition : Le cadre reconnaît la contrainte fondamentale selon laquelle le PS ne peut pas voir les mises à jour individuelles initialement. TTI contourne cela en utilisant un rapport léger côté client pour le dépistage et en réservant le téléversement et l'inspection individuels coûteux uniquement aux cas ambigus.
• Robustesse aux attaques furtives : Les auteurs soulignent que leur méthode est spécifiquement efficace contre les attaques « contraintes par des métriques » (Euclidien/Cosinus) et les attaques « éparse » (Neurotoxin), qui sont connues pour vaincre les défenses conventionnelles basées sur la norme ou la direction.
• Évolutivité et adaptabilité : En utilisant l'Optimisation Bayésienne pour le réglage des poids et des indicateurs conscients de la modalité, le cadre est conçu pour être adaptable à différents types de données et structures de modèles sans nécessiter de réajustement manuel pour chaque nouveau scénario.
• Viabilité à long terme : L'inclusion du mécanisme de Score de Réputation est mise en avant comme un moyen d'amortir le coût de calcul de l'inspection au fil du temps, permettant au système de devenir plus efficace à mesure qu'il apprend le comportement des clients participants.

Les auteurs concluent que TTI équilibre avec succès les demandes concurrentes de sécurité (faible ASR), d'utilité (haute MTA) et d'efficacité (surcharge minimale), fournissant une stratégie de défense pratique pour la prochaine génération de systèmes d'apprentissage fédéré sans fil.