🤖 AI

VTarbel: Targeted Label Attack with Minimal Knowledge on Detector-enhanced Vertical Federated Learning

Questo articolo introduce VTarbel, un framework di attacco mirato alle etichette a due stadi per il Vertical Federated Learning che opera con una conoscenza minima per eludere con successo i rilevatori di anomalie e superare i metodi esistenti allo stato dell'arte.

Autori originali: Juntao Tan, Anran Li, Quanchao Liu, Peng Ran, Lan Zhang

Pubblicato 2026-01-23

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Juntao Tan, Anran Li, Quanchao Liu, Peng Ran, Lan Zhang

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Il quadro generale: Un progetto di squadra segreto

Immaginate un gruppo di persone che cerca di risolvere un mistero (come diagnosticare una malattia o individuare una falsa richiesta di prestito) lavorando insieme.

La Squadra: Ogni persona possiede un diverso pezzo del puzzle. Una persona ha l'età e il reddito del paziente, un'altra ha la sua storia clinica e una terza ha la sua posizione.
La Regola: Non possono condividere i propri documenti privati (i dati grezzi) tra di loro. Invece, condividono solo "indizi" (riassunti matematici chiamati embedding) per costruire un grande detective (il modello di IA).
La Guardia: Per mantenere la sicurezza, il capo della squadra (la "Parte Attiva") ha una guardia giurata (un Rilevatore di Anomalie) che controlla ogni indizio. Se un indizio sembra strano o sospetto, la guardia lo scarta e dice: "Niente ingresso!"

Il Problema: Il Sabotatore Spietato

Il documento si concentra su un tipo specifico di malintenzionato: una Parte Passiva (un membro della squadra che fornisce solo indizi ma non possiede la chiave di risposta finale).

Questo malintenzionato vuole ingannare la squadra affinché commetta un errore specifico. Ad esempio, vogliono che l'IA dica "Questa persona è sana" quando in realtà è malata, o "Questo prestito è sicuro" quando invece è rischioso. Questo è chiamato un Attacco a Etichetta Mirata (Targeted Label Attack).

Perché è difficile?

Bendati: Il malintenzionato non conosce i dettagli completi del grande detective della squadra (il modello).
Potere Limitato: Può cambiare solo i propri indizi, non quelli di tutti gli altri.
La Guardia: La guardia giurata sta controllando attentamente. Se il malintenzionato prova a modificare troppo i suoi indizi per ingannare l'IA, la guardia noterà l'anomalia e bloccherà l'ingresso.

I tentativi precedenti di hackerare questo sistema sono falliti perché cercavano di forzare gli indizi a essere così "perfetti" per l'inganno da apparire palesemente falsi alla guardia giurata.

La Solimento: VTarbel (Il colpo in due fasi)

Gli autori hanno creato un nuovo metodo chiamato VTarbel. Invece di cercare di sfondare tutto in una volta, hanno diviso il lavoro in due fasi: Preparazione e L'Attacco.

Fase 1: La Ricognizione (Fase di Preparazione)

Prima di provare a ingannare il sistema, il malintenzionato gioca secondo le regole per un po'.

L'Analogia: Immaginate una spia che entra in una banca. Invece di rapinarla immediatamente, sta in fila per qualche minuto, osservando come la guardia reagisce ai clienti normali.
Cosa fanno: L'attaccante invia un piccolo gruppo di indizi dall'aspetto normale, scelto con cura. Ascolta ciò che la squadra dice riguardo a loro.
L'Obiettivo: Osservando i risultati, l'attaccante costruisce due strumenti falsi sul proprio computer:
1. Una Falsa Guardia Giurata: Impara come la vera guardia decide cosa è "strano".
2. Un Falso Detective: Costruisce una copia del grande detective della squadra per fare pratica.
Il Tocco Magico: Non scelgono indizi casuali da testare. Usano un trucco matematico speciale (chiamato MMD) per scegliere gli indizi più espressivi — quelli che forniscono il maggior numero di informazioni su come funziona il sistema con il minor numero di tentativi.

Fase 2: Il Colpo (Fase di Attacco)

Ora che l'attaccante ha i suoi strumenti falsi, lancia l'attacco vero e proprio sugli indizi rimanenti.

L'Analogia: La spia ora sa esattamente come pensa la guardia. Crea un travestimento che sia abbastanza "strano" da ingannare il grande detective, ma abbastanza "normale" da passare inosservato alla guardia giurata.
Cosa fanno: Modificano leggermente i loro indizi. Usano il loro Falso Detective per assicurarsi che la modifica inganni l'IA portandola a dare la risposta sbagliata. Contemporaneamente, usano la loro Falsa Guardia per assicurarsi che la modifica non sembri sospetta.
Il Risultato: Gli indizi scivolano oltre la vera guardia e riescono con successo a ingannare l'IA della squadra, portandola a commettere l'errore specifico desiderato dall'attaccante.

Perché questo è importante

Il documento ha testato questo metodo contro quattro diversi tipi di modelli di IA e sette diversi dataset (come immagini di auto, recensioni di testo e dati finanziari).

I Risultati: VTarbel è stato un enorme successo. Mentre i vecchi metodi di hacking fallivano quasi completamente in presenza di una guardia giurata (ottenendo lo 0% di successo), VTarbel ha avuto successo nell'80% - 90% dei casi.
La Difesa: Gli autori hanno anche provato a fermare VTarbel usando difese comuni (come l'aggiunta di rumore o la compressione dei dati). Sebbene alcune difese abbiano aiutato un po', nessuna è stata in grado di fermare completamente l'attacco senza danneggiare anche la capacità della squadra di svolgere il proprio lavoro effettivo (come diagnosticare correttamente i pazienti).

Conclusione

Il documento rivela un punto cieco nel modo in cui i sistemi di Apprendimento Federato Verticale vengono attualmente protetti. Anche con una guardia giurata che controlla, un attaccante intelligente che gioca "sul lungo termine" (imparando prima il sistema) può superare la guardia e manipolare i risultati. Gli autori sostengono che abbiamo bisogno di difese nuove e più forti perché questo tipo di attacco a "conoscenza minima" è molto pratico e pericoloso.

Riepilogo Tecnico: VTarbel

Definizione del Problema

L'Apprendimento Federato Verticale (VFL) consente a più parti con set di feature disgiunti di addestrare modelli collaborativi senza condividere i dati grezzi. Sebbene le vulnerabilità della privacy (ad esempio, la ricostruzione delle feature e l'inferenza delle etichette) siano ben studiate, la robustezza della sicurezza del VFL contro gli attacchi mirati alle etichette durante la fase di inferenza rimane poco esplorata. In tali attacchi, una parte passiva compromessa manipola le proprie feature di input per costringere il modello globale a classificare erroneamente i campioni in un'etichetta scelta dall'avversario.

Gli esistenti metodi di attacco alle etichette mirate soffrono di due critiche limitazioni negli scenari pratici:

Conoscenza Avversaria Irrealistica: I lavori precedenti spesso assumono che l'attaccante abbia accesso a dataset ausiliari etichettati, output del modello globale (logit/probabilità) o campioni di test di altri partecipanti. Nella realtà, le etichette sono proprietarie della parte attiva e non vengono mai condivise.
Negligenza del Rilevamento delle Anomalie: Le implementazioni reali di VFL impiegano spesso rilevatori di anomalie (ad esempio, basati su modelli statistici o di ML) per filtrare gli embedding delle feature sospetti. Gli attacchi esistenti generano embedding eccessivamente ottimizzati che deviano significativamente dalla distribuzione benigna, rendendoli facilmente rilevabili e causando il rifiuto dell'input da parte del sistema (restituendo un'etichetta "REJ") invece dell'etichetta target.

La sfida principale è progettare un attacco che operi con conoscenza minima avversaria (senza accesso a etichette, output globali o dati di altre parti) pur eludendo efficacemente i sistemi VFL dotati di rilevatori.

Metodologia: Framework VTarbel

Gli autori propongono VTarbel (VFL Inference Targeted Label Attack), un framework a due stadi progettato per colmare il divario tra conoscenza minima ed evasione efficace. Il framework suddivide la fase di inferenza in una Fase di Preparazione e una Fase di Attacco.

1. Fase di Preparazione (Raccolta della Conoscenza)

L'obiettivo è raccogliere la conoscenza essenziale per addestrare modelli surrogati locali senza consumare la maggior parte del set di test.

Selezione dei Campioni: L'attaccante seleziona un set minimo di campioni benigni ad "alta espressività" dal set di test non etichettato. Questa selezione è guidata dalla Discrepanza della Media Massima (MMD). L'attaccante seleziona iterativamente campioni che massimizzano la riduzione della MMD tra il sottoinsieme selezionato e la distribuzione dell'intero set di test, garantendo che il sotto{%}insieme sia rappresentativo.
Acquisizione delle Etichette: Questi campioni selezionati vengono sottoposti al sistema VFL seguendo il protocollo standard. Le etichette predette restituite (escludendo "REJ") sono trattate come pseudo-etichette.
Addestramento del Modello Locale: Utilizzando i campioni selezionati e le loro pseudo-etichette, l'attaccante addestra localmente due componenti critiche:
- Rilevatore Stimato: Un'approssimazione del rilevatore di anomalie del difensore (ad esempio, DeepAE o KDE) per stimare i confini di rilevamento.
- Modello Surrogato: Un modello costruito aggiungendo una testa di inferenza al modello bottom addestrato dall'attaccante, imitando il comportamento del modello VFL globale.

2. Fase di Attacco (Creazione dell'Adversario)

L'attaccante utilizza il modello surrogato addestrato e il rilevatore stimato per generare istanze avversarie per i rimanenti campioni di test.

Obiettivo di Ottimizzazione: L'attaccante esegue un'ottimizzazione basata sul gradiente (Projected Gradient Descent) per perturbare le restanti feature grezze. La funzione obiettivo minimizza la perdita di cross-entropy tra la predizione del modello surrogato e l'etichetta target, minimizzando simultaneamente il punteggio di anomalia predetto dal rilevatore stimato.
Vincoli: Le perturbazioni sono vincolate da un limite di distanza ( $L_p$ -norm) per garantire che le feature modificate rimangano valide e impercettibili.
Esecuzione: Gli embedding malevoli ottimizzati vengono sottoposti al sistema VFL. Grazie alla trasferibilità degli esempi avversari, questi embedding sono progettati per indurre il modello globale a predire l'etichetta target rimanendo al contempo all'interno della distribuzione "normale" accettata dal rilevatore del difensore.

Contributi Chiave

Formalizzazione del Problema: Gli autori formalizzano l'attacco mirato alle etichette nel VFL come un problema di ottimizzazione combinatoria: selezionare un sottoinsieme ottimale di campioni di test per massimizzare il numero di classificazioni errate in una specifica etichetta. Identificano questo problema come NP-hard e propongono una partizione in due stadi per risolverlo in modo pratico.
Framework di Attacco a Conoscenza Minima: VTarbel è il primo framework progettato per operare sotto vincoli realistici (nessuna conoscenza di etichette, output globali o altre parti) pur tenendo esplicitamente conto dei rilevatori di anomalie. Utilizza un paradigma a due stadi in cui la fase di preparazione minimizza l'uso dei campioni per addestrare modelli locali espressivi, preservando la maggior parte dei campioni per l'attacco.
Valutazione Estesa: Il framework è valutato su quattro architetture di modelli (MLP3, VGG13, ResNet18, DistilBERT), sette dataset multimodali (TabFMNIST, CIFAR10, CINIC10, CIFAR100, TREC, IMDB) e due rilevatori di anomalie (DeepAE, KDE).

Risultati Sperimentali

Prestazioni Superiori: VTarbel supera costantemente quattro baseline allo stato dell'arte (LR-BA, HijackVFL, ADI, TIFS'23). Ad esempio, sul modello VGG13 con un rilevatore DeepAE, VTarbel raggiunge un Tasso di Successo dell'Attacco (ASR) del 90,39%, mentre la migliore baseline raggiunge solo il 49,62%. In molte configurazioni, le baseline scendono a un ASR vicino allo zero quando i rilevatori sono attivi, mentre VTarbel mantiene alti tassi di successo.
Evasione del Rilevatore: Il framework evade con successo il rilevamento. Gli autori dimostrano che l'ASR di VTarbel rimane elevato anche quando la soglia di rilevamento del difensore viene ristretta, mentre altri metodi falliscono completamente.
Robustezza alle Difese: Il documento valuta tre comuni difese di preservazione della privacy (Noisy Embedding, Discrete Embedding, Compressed Embedding). Sebbene l'Embedding Compresso mostri una certa mitigazione (riducendo l'ASR al ~47-7% a seconda del dataset), ciò avviene a un costo significativo per l'accuratezza dell'inferenza del compito principale (che scende di oltre il 10-20%). Le altre due difese sono ampiamente inefficaci contro VTarbel.
Studi di Ablazione: Gli esperimenti confermano che entrambi gli stadi sono necessari; rimuovere la fase di preparazione (Only-Attack) porta a un ASR dello 0% a causa della mancanza di un modello surrogato addestrato. Inoltre, la selezione dei campioni basata su MMD supera significativamente la selezione casuale, specialmente in dataset sbilanciati.

Significato e Rivendicazioni

Il documento sostiene che VTarbel riveli critici punti ciechi di sicurezza nelle attuali implementazioni VFL. Dimostra che, anche con una conoscenza minima e in presenza di rilevatori di anomalie, una parte passiva può manipolare efficacemente gli esiti dell'inferenza VFL. Gli autori sottolineano che le difese esistenti sono insufficienti, poiché o non riescono a fermare l'attacco o degradano severamente l'utilità del sistema VFL. Il lavoro evidenzia l'urgenza di sviluppare difese robuste e consapevoli degli attacchi che possano mantenere un'elevata accuratezza di inferenza mitigando al contempo gli attacchi mirati alle etichette. Gli autori non pretendono di aver risolto il problema della difesa, ma piuttosto di evidenziare la gravità della minaccia per motivare la ricerca futura.