Riepilogo Tecnico: Inferenza Federata Robusta

Formulazione del Problema

Il documento affronta la lacuna critica nella robustezza all'interno dell'Inferenza Federata, un paradigma in cui un server centrale aggrega le previsioni di molteplici modelli detenuti dai client (ad esempio, tramite federated learning one-shot, ensemble al bordo o ensemble federati) senza accedere ai dati locali o ai pesi dei modelli. Mentre la letteratura esistente si concentra sull'accuratezza di tali ensemble, trascura in gran parte la loro vulnerabilità ai guasti bizantini e alle uscite avvelenate.

Gli autori formalizzano il problema dell'Inferenza Federata Robusta come segue:

• Configurazione: Un sistema di $n$ client, ciascuno dotato di un classificatore locale a valori probit $h_i$ che mappa gli input su un semplicetto di probabilità $\Delta_K$.
• Modello di Minaccia: Fino a $f < n/2$ client (con identità nascoste) possono restituire vettori probit arbitrariamente corrotti al momento dell'inferenza.
• Obiettivo: Progettare uno schema di aggregazione $\psi$ che minimizzi il rischio di inferenza federata robusta ($R_{adv}$), definito come l'errore di previsione nel caso peggiore su tutti i possibili pattern di corruzione di dimensione $f$, mantenendo al contempo l'accuratezza sulla distribuzione globale dei dati.

Il documento distingue tra due tipi di aggregatori:

1. Lineari (basati sulla media): Il server calcola una media robusta dei probit dei client (ad esempio, Media Tagliata per Coordinata - CWTM) prima di prendere l'argmax.
2. Non lineari (Appresi): Il server utilizza un aggregatore a rete neurale addestrato per combinare i probit dei client, che ha dimostrato prestazioni superiori in contesti non corrotti ma manca di garanzie di robustezza.

Metodologia

1. Analisi degli Aggregatori Basati sulla Media

Gli autori analizzano inizialmente gli schemi di media robusta (come CWTM) come baseline. Dimostrano che, sebbene la media robusta garantisca che l'output sia vicino alla media dei probit onesti nella norma $\ell_2$, questa vicinanza non garantisce una classificazione corretta a causa della non continuità dell'operatore argmax.

• Insight Teorico: Derivano un certificato di robustezza che mostra come l'errore dell'aggregatore dipenda da tre fattori:
  1. La frazione di corruzioni ($f/n$).
  2. La dissimilarità tra le uscite dei client onesti ($\sigma_x$).
  3. Il margine tra le due classi previste con probabilità più alta.
• Conclusione: La media robusta è insufficiente quando il margine è piccolo o i modelli dei client sono altamente dissimili, anche se l'aggregazione è robusta in senso statistico.

2. Inferenza Robusta come Problema di Apprendimento Adversarial

Per gli aggregatori non lineari, gli autori inquadrano il problema come un problema di apprendimento adversarial sullo spazio dei vettori probit.

• Sfida: L'addestramento adversarial standard è computazionalmente intrattabile perché l'insieme dei possibili sottoinsiemi avversari (scelta di $f$ client maligni su $n$) ha un'alta cardinalità ($\binom{n}{f} \times f!$).
• Soluzione (DeepSet): Gli autori propongono l'uso di un'architettura DeepSet (Zaheer et al., 2017), che è invariante rispetto alla permutazione. Questa proprietà permette di ridurre lo spazio di ricerca dalle permutazioni alle combinazioni ($\binom{n}{f}$), rendendo il problema più trattabile.
• Approssimazione: Invece di enumerare tutti i sottoinsiemi avversari, campionano un piccolo numero $N$ di configurazioni avversarie casuali durante l'addestramento ($N \ll \binom{n}{f}$) e applicano il metodo Fast Gradient Sign (FGSM) multi-step per perturbare i probit degli avversari selezionati.

3. La Composizione DeepSet-TM

Per migliorare ulteriormente la robustezza, gli autori introducono una nuova composizione di Addestramento Adversarial e Media Robusta al momento dell'inferenza:

• Architettura: Un modello DeepSet in cui i probit di input vengono prima elaborati da un operatore di media robusta (CWTM) prima di essere immessi nell'aggregatore a rete neurale.
• Strategia di Addestramento: Il modello viene addestrato in modo adversarial sui probit grezzi (senza CWTM) per apprendere caratteristiche robuste.
• Strategia di Inferenza: Al momento del test, la media robusta (CWTM) viene applicata agli input dei client prima dell'inferenza DeepSet. Questo disaccoppia il costo dell'addestramento dal meccanismo di robustezza al momento dell'inferenza, impedendo che il processo di addestramento diventi proibitivamente costoso.

Contributi Chiave

1. Formalizzazione: La prima definizione formale e analisi di robustezza del problema dell'Inferenza Federata sotto corruzioni bizantine.
2. Limiti Teorici: Derivazione di certificati formali di robustezza sia per aggregatori lineari (media) che non lineari (DeepSet), collegando i tassi di errore alle frazioni di corruzione, alla dissimilarità dei modelli e ai margini di previsione.
3. Innovazione Algoritmica: La proposta di DeepSet-TM, un metodo che combina reti neurali invarianti alla permutazione con addestramento adversarial e media robusta al momento del test. Questo approccio affronta l'intrattabilità computazionale dell'addestramento contro sottoinsiemi arbitrari di avversari.
4. Nuovo Attacco: Introduzione dell'Attacco Invertito Più Forte (SIA), un nuovo attacco white-box e black-box che sfrutta la classe seconda più probabile per ribaltare le decisioni di aggregazione, utilizzato per valutare rigorosamente le difese.

Risultati Sperimentali

Gli autori valutano il loro approccio su CIFAR-10, CIFAR-100 e AG-News utilizzando diverse famiglie di modelli (ResNet-8, ViT-B/32, DistilBERT) e vari livelli di eterogeneità dei dati ($\alpha \in \{0.3, 0.5, 0.8\}$).

• Prestazioni: DeepSet-TM supera costantemente le baseline di aggregazione robusta esistenti (CWTM, CWMed, Mediana Geometrica) e le difese state-of-the-art (COPUR, Proiezione su Varietà).
• Miglioramento: Il metodo ottiene un miglioramento di 4,7% - 22,2% nei punti di accuratezza nel caso peggiore su diversi benchmark e tipi di attacco.
• Robustezza ad Attacchi Forti: Sotto gli attacchi SIA e PGD-cw proposti, i metodi baseline subiscono spesso cali di accuratezza di 35-40 punti, mentre DeepSet-TM limita i cali a 20-30 punti. Su AG-News, DeepSet-TM mantiene un'accuratezza dell'83,2% sotto PGD-cw rispetto a ~53% per le baseline.
• Scalabilità: L'approccio scala efficacemente con il numero di client ($n=10, 17, 25$) e avversari ($f=3, 4, 5$), mantenendo prestazioni superiori mentre il sistema cresce.
• Efficienza: Sebbene l'addestramento adversarial comporti un costo una tantum (circa 1,5 ore), la latenza di inferenza rimane bassa (circa 0,3 ms per batch), rendendolo adatto a scenari cross-silo.

Significato e Affermazioni

Il documento afferma che l'Inferenza Federata Robusta è un problema distinto e critico che non può essere risolto applicando semplicemente tecniche di addestramento robuste ai guasti bizantini o metodi di purificazione esistenti (come COPUR), che spesso falliscono nello spazio dei probit o sotto attacchi forti.

Il significato del lavoro risiede in:

1. Colmare il Divario: Fornisce il primo quadro completo per la sicurezza dell'inferenza federata, un paradigma in crescita per sfruttare modelli proprietari (inclusi gli LLM) senza centralizzare i dati.
2. Nuova Composizione: Combinando l'addestramento adversarial (dalla letteratura sull'apprendimento adversarial) con la media robusta (dalla letteratura sulle statistiche robuste/ML bizantino), gli autori dimostrano che questi due campi possono essere combinati sinergicamente per raggiungere una robustezza state-of-the-art.
3. Praticità: Il proposto DeepSet-TM offre una soluzione pratica che bilancia alta robustezza contro attacchi sofisticati con un sovraccarico computazionale accettabile, specificamente adattato per scenari cross-silo in cui i client sono statici ma le richieste di inferenza sono dinamiche.

Gli autori concludono che il loro metodo stabilisce un nuovo stato dell'arte per l'inferenza federata, prevenendo efficacemente che i vantaggi tecnologici diventino vulnerabilità significative in presenza di attori maligni.