EnCAgg: Enhanced Clustering Aggregation for Robust Federated Learning against Dynamic Model Poisoning

Résumé technique de "EnCAgg : Agrégation de regroupement améliorée pour l'apprentissage fédéré robuste contre l'empoisonnement dynamique de modèles"

Énoncé du problème
L'apprentissage fédéré (FL) permet un entraînement de modèles décentralisé tout en préservant la confidentialité des données, mais reste vulnérable aux attaques par empoisonnement de modèles (MPA). Dans ces attaques, des clients malveillants téléversent des gradients conçus pour perturber la convergence globale. Les menaces récentes sont de plus en plus furtives et dynamiques ; les attaquants peuvent contraindre finement les mises à jour pour imiter des statistiques bénignes ou alterner entre un comportement bénin et malveillant au fil des itérations. Les mécanismes de défense existants font face à deux limitations principales :

1. Hypothèses statiques : De nombreuses méthodes reposent sur des seuils fixes ou un nombre fixe de clusters (par exemple, K-means), en supposant une proportion connue et relativement faible d'adversaires. Elles échouent lorsque le ratio malveillant fluctue dynamiquement ou lorsque les attaquants dominent l'ensemble des clients.
2. Perte de gradients bénins : En raison de l'hétérogénéité des données, les gradients bénins présentent naturellement une diversité. Les méthodes de filtrage traditionnelles confondent souvent ces mises à jour bénignes diverses avec des valeurs aberrantes ou du bruit, les écartant et dégradant la capacité de généralisation du modèle global.

Méthodologie : Cadre EnCAgg
Les auteurs proposent EnCAgg, une méthode d'agrégation robuste qui utilise un petit ensemble de clients bénins connus comme références pour identifier et filtrer les gradients malveillants sans supposer un ratio malveillant fixe. Le cadre fonctionne en trois étapes séquentielles :

1. Regroupement de gradients de basse dimension basé sur la densité :

   • Projection : Les gradients de haute dimension sont projetés sur un espace 2D en utilisant l'Analyse en Composantes Principales (ACP), en sélectionnant spécifiquement les deux dimensions présentant la plus grande variance. Cela amplifie la séparation entre les mises à jour bénignes et malveillantes.
   • Sélection du rayon : Un rayon de regroupement dynamique ($\epsilon$) est déterminé en calculant la distance euclidienne entre deux clients "racine" sélectionnés aléatoirement dans l'ensemble des clients bénins connus.
   • Regroupement et filtrage : DBSCAN (un algorithme basé sur la densité) regroupe les gradients projetés. Le serveur identifie le cluster bénin en vérifiant si les clients racine tombent dans un cluster ou en trouvant le cluster le plus proche des gradients racine. Une contrainte de densité ($\gamma$) est appliquée pour filtrer les potentielles "attaques de propagation" où des gradients malveillants forment une chaîne vers le cluster bénin.

2. Génération de gradients de basse dimension par regroupement amélioré :

   • Pour récupérer les gradients bénins qui ont été mal classés comme du bruit (valeurs aberrantes) lors du premier tour, un modèle génératif est employé.
   • Ce modèle apprend à générer des pseudo-gradients près de la frontière du cluster bénin identifié. Ces pseudo-gradients agissent comme des "ponts", reliant les valeurs aberrantes bénignes éparses au cluster bénin principal.
   • Le générateur est optimisé à l'aide d'une fonction de perte composite comprenant :
     • Perte de classification de regroupement : Encourage l'attribution des pseudo-gradients au cluster bénin.
     • Perte de diversité directionnelle : Empêche les gradients générés de s'effondrer en un seul point, assurant une dispersion symétrique.
     • Perte de diversité de distance : Assure que les gradients générés sont spatialement séparés pour éviter une sur-concentration.

3. Re-regroupement de gradients de basse dimension :

   • Les gradients réels conservés et les pseudo-gradients générés sont combinés pour un deuxième tour de regroupement DBSCAN.
   • L'effet "pont" des pseudo-gradients permet aux valeurs aberrantes bénignes éparses d'être absorbées dans le cluster bénin.
   • Seuls les gradients réels correspondant au cluster bénin final sont agrégés pour mettre à jour le modèle global ; les pseudo-gradients sont rejetés.

Contributions clés

1. Adaptation dynamique : La méthode ne nécessite pas de connaissance préalable de la proportion de clients malveillants. Elle s'adapte aux stratégies d'empoisonnement dynamiques où l'intensité de l'attaque et le ratio malveillant varient au fil des itérations.
2. Stratégie de regroupement novatrice : Elle introduite une approche de regroupement de basse dimension basée sur la densité qui exploite des références bénignes connues pour distinguer les mises à jour malveillantes tout en préservant la diversité des mises à jour bénignes.
3. Mécanisme de récupération génératif : La conception d'un générateur de regroupement amélioré qui produit des pseudo-gradients pour récupérer les valeurs aberrantes bénignes mal classées, améliorant considérablement la rétention des mises à jour utiles.
4. Analyse théorique : L'article fournit une analyse de convergence pour le modèle générateur et le modèle global, démontrant que la convergence est garantie sous des contraintes spécifiques sur le rayon de regroupement et les paramètres de densité, même en présence de clients malveillants.

Résultats expérimentaux
Les auteurs ont évalué EnCAgg sur les ensembles de données MNIST, CIFAR-10 et MIND (recommandation de nouvelles) contre trois stratégies d'attaque : UA-FedRec, LIE (Little is Enough) et Min-Max.

• Fidélité : Dans des scénarios non adversariaux, EnCAgg a obtenu des performances comparables au FedSGD standard, avec des écarts de précision inférieurs à 0,8 % pour les tâches d'images et 0,3 % pour les métriques de recommandation.
• Robustesse :
  • Sous faibles ratios malveillants (10 %), EnCAgg a surpassé les méthodes de référence (Krum, Médiane, FLTrust, etc.) face à des attaques furtives comme LIE et Min-Max, maintenant une haute précision là où d'autres méthodes échouaient.
  • Sous forts ratios malveillants (60 %), où la plupart des défenses s'effondraient, EnCAgg a maintenu des performances robustes (par exemple, ~98 % de précision sur MNIST et >80 % sur CIFAR-10).
  • La méthode est restée efficace même lorsque les clients malveillants représentaient jusqu'à 80 % du total, avec une dégradation de performance seulement modérée.
• Attaques adaptatives : Même lorsque les attaquants possédaient une connaissance complète de la règle d'agrégation et ont conçu des attaques adaptatives ciblant la projection de basse dimension, EnCAgg a maintenu une haute précision (94,67 % à un ratio malveillant de 60 %), démontrant un compromis entre le furtivité de basse dimension et l'efficacité de l'attaque de haute dimension.
• Études d'ablation : Le retrait de la réduction de dimensionnalité ou du modèle générateur a entraîné des baisses de performance significatives, confirmant que les deux composants sont essentiels à l'efficacité de la méthode.

Signification
L'article affirme qu'EnCAgg comble le fossé critique dans les défenses existantes concernant les stratégies d'empoisonnement dynamiques et furtives. En s'éloignant des seuils fixes et des hypothèses majoritaires, et en utilisant à la place une approche de regroupement basée sur des références et améliorée par génération, EnCAgg atteint un équilibre supérieur entre robustesse (filtrage des attaques) et fidélité (rétention de mises à jour bénignes diverses). Les auteurs postulent que cette approche offre une solution plus résiliente pour les déploiements FL réels où le comportement des clients et les intensités d'attaque sont imprévisibles.