Power to the Clients: Federated Learning in a Dictatorship Setting

1. Il Problema

Il Federated Learning (FL) è un paradigma di apprendimento decentralizzato in cui più client addestrano collaborativamente un modello globale senza scambiare i dati grezzi. Sebbene offra vantaggi in termini di privacy, il FL è vulnerabile a comportamenti malevoli (clienti bizantini).
La letteratura esistente si concentra principalmente sulla difesa contro attacchi che degradano le prestazioni del modello (attacchi Byzantine) o inseriscono backdoor. Tuttavia, c'è una lacuna nella caratterizzazione di un tipo specifico di comportamento malevolo: un cliente che non cerca di distruggere il modello, ma di imporsi unilateralmente.
L'obiettivo di questi "clienti dittatori" è preservare la propria influenza sul modello globale mentre elimina completamente i contributi di tutti gli altri partecipanti, facendo sì che il modello finale rifletta esclusivamente la distribuzione dei dati del dittatore, come se gli altri client non fossero mai esistiti.

2. Metodologia

Gli autori definiscono formalmente i Clienti Dittatori e propongono algoritmi specifici per realizzare questo attacco in scenari sia con un singolo dittatore che con gruppi collaborativi.

A. Assunzioni e Vincoli

• I clienti dittatori hanno capacità di comunicazione limitate (non vedono la struttura interna del server o i dati degli altri).
• Conoscono solo il tasso di apprendimento ($\eta$) del server (o possono stimarlo dopo una singola iterazione).
• Non richiedono privilegi di accesso al server o metadati esterni.

B. Algoritmo per un Singolo Cliente Dittatore

Il cliente malevolo $m$ manipola il suo aggiornamento inviato al server per annullare l'effetto degli altri $N-1$ clienti.

1. Iterazione 0: Il server invia il modello iniziale $\theta_0$. Il dittatore mantiene una copia locale e calcola un modello ipotetico $\hat{\theta}^m_1$ come se avesse aggiornato da solo.
2. Iterazione $t$: Invece di inviare il gradiente reale $\nabla L_m(\theta_t)$, il dittatore invia un aggiornamento manipolato $M_t$:
   $$M_t = \nabla L_m(\hat{\theta}^m_t) - \left( \frac{\hat{\theta}^m_{t-1} - \theta_t}{\eta} - \nabla L_m(\hat{\theta}^m_{t-1}) \right)$$
   Questo termine ricostruisce il gradiente aggregato del round precedente e lo sottrae, cancellando l'influenza degli altri client e forzando il modello globale a seguire la traiettoria del dittatore ($\hat{\theta}^m$).

C. Clienti Dittatori Collaborativi

Un gruppo di $P$ clienti ($P < N$) coordina i propri aggiornamenti per sopprimere tutti gli altri.

• Mantengono un modello locale sincronizzato $\hat{\theta}^P_t$ che rappresenta l'evoluzione del modello se solo loro avessero partecipato.
• Ogni cliente $k \in P$ invia un aggiornamento manipolato simile al caso singolo, ma basato sul modello di gruppo $\hat{\theta}^P$.
• Scambiano i gradienti tra loro per aggiornare collettivamente il modello locale $\hat{\theta}^P$.

D. Dinamiche Complesse: Tradimento e Conflitto

Il paper esplora scenari avanzati:

• Tradimento: Un cliente dittatore in un gruppo collaborativo può mantenere un modello segreto e, in un'iterazione specifica, inviare un aggiornamento che annulla il contributo dei suoi ex partner, prendendo il controllo totale.
• Dominio Mutuo: Se tutti i client agiscono come dittatori indipendenti, il sistema collassa. Gli aggiornamenti si annullano a vicenda o generano un "gradiente ascendente", impedendo qualsiasi apprendimento utile.

3. Risultati Sperimentali

Gli autori hanno valutato gli attacchi su dataset di Computer Vision (MNIST, CIFAR-10) e NLP (AG News) utilizzando reti neurali convolutive (CNN) e DistilBERT.

• Singolo Dittatore:
  • Il modello globale raggiunge un'accuratezza molto alta sul dataset del dittatore (es. 99.63% su MNIST per il dittatore 1).
  • L'accuratezza sui dataset degli altri client crolla a 0.00%.
  • La funzione di perdita (loss) diminuisce solo per il dittatore, mentre aumenta per tutti gli altri.
• Dittatori Collaborativi:
  • Gruppi di 2 o 3 client riescono a eliminare completamente l'influenza dei client benigni.
  • Il modello finale è ottimizzato esclusivamente per i dati del gruppo dittatoriale.
• Robustezza:
  • L'attacco rimane efficace anche in scenari realistici con clienti casuali disconnessi (client dropout).
  • L'attacco resiste alla difesa del gradient norm clipping (taglio della norma del gradiente) quando i dittatori sono collaborativi e in maggioranza, poiché i loro aggiornamenti clipati combinati superano ancora i client benigni.
• NLP: Risultati simili confermati su AG News, dove un singolo dittatore o un gruppo raggiunge il 100% di accuratezza sui propri dati e 0% sugli altri.

4. Contributi Chiave

1. Nuovo Modello di Minaccia: Introduzione e formalizzazione dei "Clienti Dittatori", una classe di avversari che mira al dominio del modello piuttosto che alla distruzione o all'inserimento di backdoor.
2. Algoritmi di Attacco: Sviluppo di strategie matematicamente tracciabili che permettono a un singolo client o a un piccolo gruppo di prendere il controllo totale del modello globale senza privilegi di sistema.
3. Analisi delle Interazioni Multi-Agente: Studio delle dinamiche interne tra avversari, dimostrando che la cooperazione tra dittatori è instabile e può portare a tradimenti strategici o al collasso totale del sistema se tutti agiscono egoisticamente.
4. Validazione Empirica: Dimostrazione che questi attacchi sono fattibili e devastanti in scenari reali (visione artificiale e linguaggio naturale), superando anche difese comuni come il clipping.

5. Significato e Implicazioni

Questo lavoro evidenzia una vulnerabilità critica nel Federated Learning: la possibilità che una minoranza (o anche un singolo nodo) possa biasare il modello globale verso la propria distribuzione di dati, rendendo il sistema inutile per la maggior parte dei partecipanti.

• Implicazioni Reali: In settori come la sanità, un ospedale con dati demografici specifici potrebbe manipolare il modello globale per funzionare bene solo per i suoi pazienti, rendendolo pericoloso per altre popolazioni. Nei sistemi di raccomandazione, potrebbe favorire gli interessi di un piccolo gruppo di utenti.
• Sicurezza: Le attuali difese Byzantine (come la mediazione robusta) potrebbero non essere sufficienti contro questo tipo di attacco mirato alla "cancellazione" dei contributi, richiedendo nuove strategie di audit e verifica dell'origine degli aggiornamenti.
• Teoria: Il paper mostra che la fiducia cieca nell'aggregazione semplice (media) è insostenibile quando gli agenti hanno incentivi egoistici di dominio, anche senza capacità di calcolo illimitate o accesso ai dati altrui.