Beyond Corner Patches: Semantics-Aware Backdoor Attack in Federated Learning

1. Il Problema

Il Federated Learning (FL) è un paradigma di apprendimento distribuito che permette di addestrare modelli su dati decentralizzati senza condividere i dati grezzi. Tuttavia, è vulnerabile ad attacchi Backdoor (o "Trojan"), in cui un attaccante manipola il modello globale affinché si comporti correttamente su input normali, ma classifichi erroneamente gli input contenenti un "trigger" segreto in una classe target desiderata.

Il paper identifica una lacuna critica nelle valutazioni esistenti:

• Trigger Sintetici: La maggior parte degli studi attuali valuta le difese utilizzando trigger sintetici e fuori distribuzione (OOD), come piccole patch colorate negli angoli delle immagini. Questi trigger sono facili da rilevare e filtrare.
• Scarsa Realisticità: Gli attacchi reali potrebbero utilizzare trigger semantici e in-distribution (es. aggiungere occhiali da sole a un volto, o un cappello a un segnale stradale), che sono visivamente plausibili e difficili da distinguere da variazioni naturali dei dati.
• Vulnerabilità delle Difese: Le attuali tecniche di aggregazione robusta (come MultiKrum, Trimmed Mean, FLAME) sono spesso progettate per rilevare deviazioni statistiche grossolane tipiche delle patch sintetiche, ma potrebbero fallire contro attacchi che mimano la distribuzione naturale dei dati.

2. Metodologia Proposta: SABLE

Gli autori propongono SABLE (Semantics-Aware Backdoor for LEarning), un attacco backdoor progettato specificamente per ambienti FL che utilizza trigger semantici e naturali.

A. Generazione dei Trigger Semantici

Invece di sovrapporre patch artificiali, SABLE modifica le immagini in modo semantico utilizzando il modello di editing basato su istruzioni MGIE (Multi-modal Generative Image Editing).

• Esempi: Aggiungere occhiali da sole a un volto (dataset CelebA) o un piccolo cappello blu sopra un segnale di stop (dataset GTSRB).
• Vantaggio: I trigger risultano in-distribution, fisicamente realizzabili e visivamente coerenti con il contesto, rendendoli difficili da isolare tramite filtri basati sulla distanza o sul clustering.

B. Organizzazione dei Dati e Obiettivo di Addestramento

Ogni client malizioso divide il proprio dataset locale in tre sottoinsiemi disgiunti:

1. Coppie Pulite/Attivate: Immagini originali e le loro versioni modificate semanticamente.
2. Solo Pulite: Immagini originali per mantenere l'accuratezza su dati benigni.
3. Solo Attivate: Immagini modificate etichettate con la classe target.

C. Funzione di Perdita Maliziosa (Malicious Objective)

SABLE ottimizza un obiettivo composito che bilancia l'efficacia dell'attacco, la stealth (furtività) e l'accuratezza benigna. La funzione di perdita totale ($L_{mal}$) include:

1. Cross-Entropy Ibrida: Minimizza l'errore sia sulle immagini pulite (mantenendo l'accuratezza benigna) che su quelle attivate (forzando la classificazione sulla classe target).
2. Perdita di Separazione delle Caratteristiche ($L_{sep}$): Applica un vincolo di margine sullo spazio delle caratteristiche del penultimo strato. Obbliga il modello a separare le rappresentazioni delle immagini pulite da quelle attivate, assicurando che il trigger induca uno spostamento specifico e consistente nello spazio latente.
3. Regolarizzazione dei Parametri ($L_{reg}$): Penalizza la deviazione dei parametri locali dal modello globale corrente. Questo mantiene l'aggiornamento del client malizioso vicino alla media globale, rendendolo meno probabile che venga filtrato come un outlier dalle difese robuste (es. MultiKrum).
4. Mascheramento del Gradiente (Neurotoxin-style): Attenua selettivamente gli aggiornamenti sui parametri più importanti per i dati puliti, spostando il backdoor in un sottospazio a bassa importanza.

3. Contributi Chiave

1. Formulazione di un Attacco Realistico: SABLE è il primo lavoro che sistematicamente valuta e implementa backdoor semantici e fisicamente realizzabili in un contesto FL con aggregazione robusta.
2. Obiettivo Aggregation-Aware: Introduce una funzione di ottimizzazione che considera esplicitamente le difese di aggregazione, utilizzando la separazione delle caratteristiche e la regolarizzazione per eludere i filtri di outlier.
3. Validazione Empirica: Dimostra che gli attacchi basati su patch sintetiche sono una sottostima della minaccia reale, poiché SABLE mantiene alte percentuali di successo dell'attacco (ASR) anche sotto difese avanzate.

4. Risultati Sperimentali

Gli esperimenti sono stati condotti su CelebA (classificazione colore dei capelli) e GTSRB (riconoscimento segnali stradali) utilizzando architetture ResNet-18 e VGG-16.

• Efficacia contro Aggregazioni Robuste:
  • SOTTO MultiKrum e Trimmed Mean: Mentre un baseline "naive" (stile Bagdasaryan) vede il suo tasso di successo (ASR) crollare drasticamente (es. da ~80% a ~50% su CelebA con MultiKrum), SABLE mantiene un ASR elevato (fino all'84.5% su CelebA e 98.4% su GTSRB) sacrificando solo marginalmente l'accuratezza pulita.
  • SOTTO FLAME e FilterFL: SABLE supera significativamente il baseline, dimostrando che la separazione delle caratteristiche aiuta a evitare il rilevamento basato su clustering o conoscenza senza dati.
• Accuratezza Pulita: SABLE riesce a mantenere l'accuratezza su dati benigni molto vicina a quella di un training senza attacchi, rendendo l'attacco difficile da rilevare tramite il degrado delle prestazioni generali.
• Analisi delle Rappresentazioni: Le visualizzazioni UMAP mostrano che SABLE crea uno spostamento chiaro e coerente delle rappresentazioni delle immagini attivate verso la classe target nello spazio delle caratteristiche, a differenza del baseline che produce cluster dispersi.
• Sensibilità ai Parametri: L'attacco è robusto su un'ampia gamma di pesi per la separazione delle caratteristiche ($\lambda_{sep}$) e la regolarizzazione ($\lambda_{reg}$), purché questi siano bilanciati correttamente.

5. Significato e Implicazioni

Il lavoro di Herath et al. ha implicazioni fondamentali per la sicurezza del Federated Learning:

• Rivalutazione delle Difese: Le attuali garanzie di robustezza basate su trigger sintetici (patch d'angolo) sono eccessivamente ottimistiche. Le difese che funzionano contro le patch potrebbero fallire completamente contro trigger semantici.
• Minaccia Pratica: Gli attaccanti possono sfruttare strumenti di editing AI (come MGIE) per creare backdoor che sembrano variazioni naturali dei dati, rendendo l'attacco molto più pericoloso in scenari reali (es. veicoli autonomi, riconoscimento facciale).
• Direzione Futura: È necessario sviluppare nuove difese che non si basino solo sulla distanza statistica degli aggiornamenti, ma che siano in grado di analizzare le variazioni semantiche e gli spostamenti nello spazio delle rappresentazioni interne del modello.

In sintesi, il paper dimostra che la minaccia dei backdoor nel FL è più sottile e pervasiva di quanto ipotizzato finora, richiedendo un ripensamento delle strategie di difesa per considerare la semantica dei dati e non solo la loro statistica superficiale.