FedIDM: Achieving Fast and Stable Convergence in Byzantine Federated Learning through Iterative Distribution Matching

1. Il Problema

L'apprendimento federato (Federated Learning - FL) permette di addestrare modelli su dati decentralizzati preservando la privacy, ma è vulnerabile agli attacchi bizantini, dove client maliziosi inviano aggiornamenti di modello manipolati per corrompere il modello globale.

Le attuali difese robuste agli attacchi bizantini affrontano due limiti critici:

1. Convergenza lenta e instabile: I metodi esistenti spesso faticano a convergere rapidamente o in modo stabile.
2. Trade-off Robustezza-Utilità: Quando una proporzione significativa di client maliziosi collude (fino al 50%), le difese tradizionali tendono a scartare erroneamente aggiornamenti validi da client onesti o, peggio, a mantenere aggiornamenti avvelenati. Questo porta a un degrado delle prestazioni del modello (utilità ridotta) e a una convergenza compromessa.

2. Metodologia: FedIDM

Il paper introduce FedIDM, un framework che utilizza l'iterative distribution matching (corrispondenza iterativa delle distribuzioni) per generare dati sintetici affidabili ("condensed data") e filtrare i client anomali. Il processo è diviso in due fasi principali:

A. Generazione di Dati Condensati Tolleranti agli Attacchi (ACDG)

Questa fase mira a creare un dataset sintetico compatto che catturi le informazioni rappresentative per l'addestramento globale, proteggendo al contempo dagli attacchi di label flipping (cambio di etichetta) lanciati durante la generazione dei dati.

• Meccanismo: I client generano dati condensati locali che vengono aggregati sul server.
• Rilevamento e Correzione: Per contrastare le etichette corrotte, FedIDM utilizza una rete di rettifica (rectification network) composta da un encoder condiviso, un estrattore di caratteristiche $f(\cdot)$ e un classificatore $h(\cdot)$.
• Tecnica:
  1. Si applica l'aumento dei dati e si utilizza un Modello a Miscele Gaussiane (GMM) per modellare la distribuzione dei dati condensati.
  2. Si calcolano le probabilità posteriori per determinare se un'etichetta è benigna o maliziosa.
  3. Vengono generate pseudo-etichette corrette combinando l'etichetta originale e la previsione del modello, ponderate dalla probabilità di pulizia dell'etichetta.
  4. La rete di rettifica viene aggiornata utilizzando una funzione di perdita composta da Cross-Entropy, InfoNCE (per le rappresentazioni) e Mixup.

B. Aggregazione Robusta con Rifiuto basato su Contributo Negativo (RA)

Una volta ottenuti i dati condensati puliti, il server valuta gli aggiornamenti locali dei client.

• Generazione dell'aggiornamento base: Il server addestra un modello temporaneo sui dati condensati per generare un "aggiornamento base" ($g_s$) che rappresenta la direzione di ottimizzazione corretta.
• Valutazione del Contributo: Per ogni aggiornamento locale $g_i$, si calcola la similarità coseno ($\alpha_i$) rispetto all'aggiornamento base.
  • Se $\alpha_i > 0$, l'aggiornamento è considerato positivo e viene mantenuto.
  • Se $\alpha_i \le 0$, l'aggiornamento è considerato dannoso (contributo negativo) e viene scartato.
• Filtraggio Avanzato:
  1. Clustering (DBSCAN): Gli aggiornamenti con contributo positivo vengono clusterizzati per ridurre la ridondanza e isolare potenziali outlier stealthy.
  2. Normalizzazione della Magnitudine: La magnitudine degli aggiornamenti viene regolata alla mediana degli aggiornamenti originali per evitare deviazioni estreme.
  3. Filtraggio per Perdita: Gli aggiornamenti vengono applicati al modello globale e quelli che causano un aumento significativo della perdita sui dati condensati vengono rimossi.
• Aggregazione Finale: Gli aggiornamenti rimanenti vengono aggregati con pesi basati sul loro contributo $\alpha_i$.

3. Contributi Chiave

1. FedIDM: Un nuovo framework FL robusto che garantisce una convergenza veloce e stabile anche in presenza di un'alta percentuale di client maliziosi collusi.
2. Minimo Impatto sull'Utilità: A differenza di altre difese che sacrificano le prestazioni per la sicurezza, FedIDM mantiene un'alta utilità del modello anche in scenari ostili.
3. Generazione di Dati Condensati Resiliente: L'introduzione di un meccanismo di rettifica delle etichette basato su contrastive learning e GMM permette di resistere agli attacchi di label flipping durante la fase di preparazione dei dati.
4. Valutazione Empirica: Dimostrazione sperimentale su tre dataset (CIFAR-10, CIFAR-100, Tiny-20) contro attacchi all'avanguardia (LIE, STAT-OPT, DYN-OPT), mostrando superiorità rispetto a metodi esistenti come Bulyan, Multi-Krum e FLTrust.

4. Risultati Sperimentali

Gli esperimenti sono stati condotti su CIFAR-10, CIFAR-100 e Tiny-20 con distribuzioni di dati Non-IID e fino al 50% di client maliziosi.

• Convergenza: Le curve di convergenza mostrano che FedIDM raggiunge una stabilità e una velocità di convergenza superiori rispetto a FedAVG, Bulyan, Multi-Krum e Trimmed-mean.
• Tasso di Errore di Test (TER):
  • FedIDM ottiene costantemente il TER più basso (migliore prestazione). Ad esempio, su CIFAR-10 con attacco LIE, FedIDM ottiene un TER del 14.08%, contro l'82% di FedAVG e l'87% di Bulyan.
  • Sotto attacchi DYN-OPT e STAT-OPT, le difese statistiche falliscono completamente (TER ~90-95%), mentre FedIDM mantiene prestazioni vicine a quelle di un ambiente senza attacchi.
• Robustezza ai Parametri:
  • FedIDM mantiene la resilienza anche al variare del grado di Non-IID (parametro Dirichlet) e della percentuale di attaccanti (fino al 60%).
  • L'analisi di ablazione conferma che sia il modulo ACDG (per correggere le etichette) che il modulo RA (per filtrare gli aggiornamenti) sono essenziali; la rimozione di uno dei due porta al fallimento della difesa.

5. Significato e Impatto

Il lavoro di FedIDM è significativo perché risolve il dilemma fondamentale tra robustezza e utilità nell'apprendimento federato sotto attacco.

• Superamento delle limitazioni attuali: Dimostra che è possibile difendersi efficacemente anche quando la maggior parte dei partecipanti è compromessa, un limite che bloccava le soluzioni precedenti.
• Efficienza: L'uso di dati condensati accelera l'addestramento globale, riducendo il numero di round di comunicazione necessari per la convergenza.
• Sicurezza Pratica: Offrendo un meccanismo che non solo rileva ma corregge attivamente le etichette corrotte e rifiuta gli aggiornamenti con direzione negativa, FedIDM rappresenta un passo avanti verso l'implementazione sicura e scalabile del FL in ambienti reali ostili.