FedTrident: Resilient Road Condition Classification Against Poisoning Attacks in Federated Learning

1. Il Problema: Vulnerabilità del Federated Learning nei Sistemi ITS

Il paper affronta una criticità fondamentale nei Sistemi di Trasporto Intelligenti (ITS) basati sull'apprendimento federato (FL). Sebbene il FL permetta di addestrare modelli per la Classificazione delle Condizioni Stradali (RCC) preservando la privacy dei dati e sfruttando le risorse edge dei veicoli, il sistema è esposto a Attacchi di Flipping delle Etichette Mirati (TLFA - Targeted Label-Flipping Attacks).

• Natura dell'attacco: Clienti malevoli (veicoli) manipolano i propri dati di addestramento locale invertendo le etichette delle classi. Ad esempio, etichettano erroneamente una strada "disomogenea" (pericolosa) come "liscia" (sicura).
• Conseguenze: Questo inganno porta il modello globale a sottostimare i rischi stradali, classificando erroneamente condizioni pericolose come sicure, con un potenziale aumento degli incidenti e un compromesso della sicurezza del trasporto.
• Limiti delle soluzioni esistenti: Le difese attuali falliscono nel mantenere prestazioni resilienti vicine ai livelli "senza attacco" a causa di tre carenze principali:
  1. Mancanza di rilevamento specifico per TLFA (i metodi generici non distinguono bene le anomalie in ambienti Non-IID).
  2. Assenza di esclusione dinamica dei client malevoli basata sulla storia comportamentale.
  3. Mancanza di meccanismi di rimedio per il modello globale già corrotto da aggiornamenti precedenti.

2. Metodologia: FedTrident

Gli autori propongono FedTrident, il primo framework di difesa che integra sistematicamente tre fasi: rilevamento, esclusione e rimedio.

A. Rilevamento di Modelli Locali Avvelenati (Neuron-wise Analysis)

Invece di analizzare l'intero modello o solo lo strato di output in modo generico, FedTrident utilizza un'analisi neuronale specifica:

• Identificazione degli obiettivi: Analizza le variazioni dei parametri collegati allo strato di output per identificare le coppie di neuroni "sorgente" (classe reale) e "target" (classe falsificata) coinvolte nell'attacco.
• Estrazione delle caratteristiche: Calcola la magnitudine ($\ell_2$-norm) e l'incoerenza angolare (cosine similarity) delle aggiornamenti dei parametri legati a questi neuroni specifici.
• Clustering: Utilizza un Modello a Mixture Gaussiana (GMM) per clusterizzare gli aggiornamenti dei client. Il GMM è preferito rispetto a metodi rigidi (come K-Means) perché gestisce meglio l'eterogeneità dei dati e fornisce assegnazioni probabilistiche, distinguendo efficacemente i cluster "benigni" da quelli "avvelenati".

B. Esclusione Adattiva dei Clienti Veicolari

Una volta rilevato un comportamento sospetto, FedTrident non si limita a scartare l'aggiornamento corrente, ma implementa una strategia di rating adattivo:

• Ogni client mantiene un punteggio di rating ($r_k$).
• Il punteggio viene incrementato se il modello è benigno e decrementato se rilevato come avvelenato.
• Se il punteggio scende sotto una soglia minima, il client viene inserito in una lista nera (blacklist) ed escluso dalle future rotazioni di addestramento. Questo approccio cumulativo riduce i falsi positivi e gestisce le fluttuazioni naturali dei dati.

C. Rimedio del Modello Globale Corrotto (Machine Unlearning)

Anche dopo l'esclusione di un client malevolo, il modello globale potrebbe rimanere contaminato dagli aggiornamenti storici inviati in precedenza. FedTrident risolve questo problema tramite Machine Unlearning:

• Il sistema sottrae le contribuzioni storiche accumulate del client escluso dal modello globale corrente.
• Utilizza un'approssimazione efficiente basata sulla somma degli aggiornamenti storici ($\Delta \omega_{k,sum}$) per "dimenticare" l'impatto dell'attaccante senza dover riaddestrare il modello da zero, ripristinando l'integrità del modello globale.

3. Contributi Chiave

1. Integrazione Olistica: Prima soluzione che combina rilevamento, esclusione e rimedio per la RCC in FL contro TLFA.
2. Analisi Neurale Specifica: Un metodo di rilevamento che identifica gli obiettivi dell'attacco (coppie sorgente-target) a livello di neuroni, rendendo la difesa robusta anche contro attacchi dinamici che cambiano strategia.
3. Rimedio Attivo: L'introduzione di un meccanismo di unlearning per pulire il modello globale dalle contaminazioni passate, superando la natura passiva delle difese precedenti.
4. Validazione Estensiva: Sperimentazione su sei architetture DNN diverse (ResNet, MobileNet, EfficientNet, DenseNet, DeiT) e tre task RCC (attrito, materiale, irregolarità) su dataset reali (RSCD).

4. Risultati Sperimentali

Gli esperimenti sono stati condotti su un sistema FL con 100 client (30% malevoli) e vari livelli di eterogeneità dei dati (Non-IID).

• Prestazioni Superiori: FedTrident supera otto metodi di baseline (inclusi FLARE e DEFEND, lo stato dell'arte).
  • Miglioramento medio del 9,49% nella Source Recall (SRE) e del 4,47% nell'Attack Success Rate (ASR) rispetto alla migliore difesa esistente.
  • Le prestazioni di FedTrident sotto attacco sono equivalenti a quelle di un scenario senza attacco (FedAvg-NA), dimostrando una resilienza totale.
• Robustezza:
  • Tasso di Clienti Malevoli: Mantiene un ASR basso (< 6%) anche con il 40% di client malevoli, mentre le baseline falliscono drasticamente.
  • Eterogeneità Dati: Rimane stabile al variare del livello di Non-IID (distribuzione Dirichlet), superando le baseline che degradano con dati più eterogenei.
  • Attacchi Dinamici: È efficace anche quando gli attaccanti cambiano le classi sorgente/target durante l'addestramento, grazie alla capacità di identificare i nuovi obiettivi in ogni round.
• Efficienza Computazionale: La complessità per round è $O(M \cdot d_o)$, paragonabile ai metodi più efficienti e inferiore rispetto a difese che operano su modelli completi o relazioni a coppie.

5. Significato e Impatto

FedTrident rappresenta un passo avanti cruciale per la sicurezza dei sistemi ITS. Dimostra che è possibile proteggere l'apprendimento federato da attacchi mirati che minacciano direttamente la sicurezza fisica (incidenti stradali), senza sacrificare la privacy o le prestazioni.
La capacità di rimediare attivamente a un modello già compromesso e di adattarsi a scenari dinamici e non-IID rende questa soluzione particolarmente adatta per il dispiegamento reale su larga scala di veicoli autonomi e sistemi di trasporto intelligenti, dove la resilienza e l'affidabilità sono imperative.