Riepilogo Tecnico: Rilevamento e Mitigazione degli Attacchi Backdoor nei Sistemi OTA-FL

1. Enunciato del Problema

L'Apprendimento Federato Over-the-Air (OTA-FL) sfrutta la proprietà di sovrapposizione dei canali wireless per realizzare un'aggregazione di modelli efficiente dal punto di vista comunicativo, offrendo un sovraccarico teoricamente indipendente dalla scala per le reti edge mobili. Tuttavia, questa efficienza introduce una vulnerabilità di sicurezza critica: il Server dei Parametri (PS) riceve solo il segnale aggregato, non gli aggiornamenti individuali dei client. Di conseguenza, il PS non può verificare la correttezza di specifici aggiornamenti locali, rendendo inapplicabili i meccanismi di difesa standard.

Questa vulnerabilità è particolarmente acuta contro gli attacchi backdoor, in cui gli avversari manipolano un sottoinsieme di client per incorporare comportamenti maligni nascosti (mappature trigger-obiettivo) nel modello globale, mantenendo al contempo un'alta accuratezza su input benigni. La sfida è aggravata da:

• Vincoli di Furtività: Avversari sofisticati possono creare gradienti avvelenati vincolati da metriche specifiche (ad esempio, distanza euclidea o similarità coseno) per mimare la deriva dei gradienti benigni, eludendo i metodi di rilevamento basati su singole metriche.
• Dati Non-IID: In scenari realistici con dati non indipendenti e non identicamente distribuiti (Non-IID), i client benigni mostrano naturalmente una deriva dei gradienti dovuta all'eterogeneità dei dati. Ciò rende difficile per il PS distinguere tra eterogeneità statistica e aggiornamenti maligni attentamente costruiti.
• Impossibilità di Ispezione per Client: A differenza dell'FL tradizionale, l'OTA-FL impedisce al PS di ispezionare o filtrare individualmente gli aggiornamenti dei client prima dell'aggregazione.

Le difese esistenti per l'OTA-FL si basano spesso su strategie ad alta intensità di risorse (ad esempio, blocchi di risorse dedicati, simboli fittizi) o su cambiamenti architetturali che compromettono l'efficienza del sistema. È necessario un meccanismo di difesa che minimizzi il sovraccarico pur identificando efficacemente attacchi backdoor furtivi e vincolati da metriche.

2. Metodologia: Trust-Then-Inspect (TTI)

Il documento propone Trust-Then-Inspect (TTI), un framework di aggregazione robusta in due fasi progettato per rilevare e mitigare gli attacchi backdoor nei sistemi OTA-FL. La filosofia di base è confinare il sovraccarico aggiuntivo di comunicazione e calcolo esclusivamente ai client "sospetti", preservando l'efficienza dell'aggregazione OTA per la maggior parte dei partecipanti fidati.

Fase I: Classificazione dei Client tramite Punteggio di Fiducia Consapevole della Modalità

La prima fase esegue un'analisi preliminare leggera lato client per categorizzare i client in tre livelli: Fidati, Sospetti e Maligni.

• Punteggio di Fiducia Multi-Indicatore Consapevole della Modalità: Invece di affidarsi a una singola metrica, il framework calcola un punteggio di fiducia composito ($TS$) basato su più indicatori selezionati in base alla modalità dei dati (ad esempio, forma d'onda, testo, immagine) e all'architettura del modello.
  • Indicatori Geometrici: Include l'Allineamento della Direzione Temporale (TDA), la Norma Relativa $\ell_2$ e la "Spikiness" (concentrazione dell'energia del gradiente).
  • Indicatori Specifici per la Modalità: Indicatori aggiuntivi sono adattati a compiti specifici (ad esempio, caratteristiche specifiche per il testo per AG News).
  • Ottimizzazione dei Pesi: I pesi per questi indicatori non sono sintonizzati manualmente ma appresi tramite Ottimizzazione Bayesiana (BO). Il processo BO ottimizza una funzione obiettivo di compromesso ($J$) che massimizza l'Accuratezza del Compito Principale (MTA) minimizzando il Tasso di Successo dell'Attacco (ASR) durante una fase di calibrazione offline.
• Strategia di Classificazione: In base ai punteggi di fiducia calcolati, i client vengono partizionati.
  • Fidati: Procedono direttamente all'aggregazione OTA.
  • Maligni: Esclusi immediatamente.
  • Sospetti: Inoltrati alla Fase II per un'ispezione più approfondita.

Fase II: Ispezione Livello per Livello lato PS

I client nel livello "Sospetti" subiscono un'ispezione fine-granulare al Server dei Parametri per distinguere tra deriva benigna e aggiornamenti maligni.

• Decomposizione Livello per Livello: Il PS scompone l'aggiornamento del modello del client sospetto nei gradienti delle singole reti neurali a livello di strato.
• Estrazione delle Caratteristiche e Clustering: Per ogni strato, il PS estrae caratteristiche tra cui la struttura del segno, la forma della distribuzione (curtosi/asimmetria), la distanza inter-client, la deviazione di riferimento, la magnitudine e la similarità direzionale.
• Clustering Gerarchico Agglomerativo (AHC): Il PS raggruppa i client sospetti in ciascuno strato in due gruppi. Il cluster "benigno" è identificato in base all'allineamento con un gradiente di riferimento fidato e alla reputazione storica, dando priorità all'allineamento rispetto alla coerenza interna (riconoscendo che gli aggiornamenti benigni in dati Non-IID possono essere altamente variabili).
• Voto di Maggioranza: Un client è accettato se la frazione di strati classificati come "benigni" supera una soglia $\rho$.
• Meccanismo del Punteggio di Reputazione (RS): Per fornire una difesa a lungo termine, il PS mantiene un punteggio di reputazione persistente per ogni client. I client che partecipano ad aggregazioni di successo incrementano il loro punteggio. Dopo un periodo di warm-up, viene applicato un filtro basato sulla Deviazione Assoluta Mediana (MAD) dei punteggi di reputazione per escludere i client con punteggi persistentemente bassi, anche se occasionalmente riescono a eludere l'ispezione livello per livello.

Flusso di Lavoro Complessivo

Il framework integra queste fasi in un processo iterativo:

1. I client calcolano indicatori locali e li riportano al PS.
2. Il PS calcola i punteggi di fiducia e classifica i client.
3. I client fidati eseguono l'aggregazione OTA; i client sospetti caricano gli aggiornamenti individualmente.
4. Il PS esegue l'ispezione livello per livello e il filtraggio basato sulla reputazione.
5. Il modello globale viene aggiornato utilizzando l'insieme finale di client accettati.

3. Contributi Chiave

Il documento rivendica i seguenti contributi specifici:

1. Punteggio di Fiducia Multi-Indicatore Consapevole della Modalità: Un meccanismo lato client che utilizza un punteggio composito di indicatori specifici per il compito, con pesi ottimizzati tramite Ottimizzazione Bayesiana. Questo approccio offre robustezza contro attacchi vincolati da metriche che eludono le difese basate su singole metriche.
2. Ispezione Livello per Livello lato PS: Un modulo di rilevamento che opera alla granularità dei singoli strati di rete neurale piuttosto che a livello di modello globale. Questo affronta il limite delle metriche globali, che spesso falliscono nel rilevare perturbazioni backdoor sparse o localizzate (ad esempio, attacchi Neurotoxin).
3. Meccanismo di Reputazione a Lungo Termine: Un sistema di punteggio dinamico che accumula prove comportamentali nel tempo, permettendo al sistema di identificare progressivamente i client maligni e di fare affidamento sul filtraggio basato sulla reputazione per ridurre il sovraccarico computazionale a lungo termine.
4. Validazione Completa: Esperimenti estesi che dimostrano come il framework sopprima efficacemente vari attacchi backdoor (Bounded-scaling, vincolati da Euclideo, vincolati da Coseno e Neurotoxin) mantenendo un'Accuratezza del Compito Principale (MTA) competitiva.

4. Risultati Sperimentali

Gli autori hanno valutato TTI su tre dataset (RML2016.10A, AG News, CIFAR-10) con diverse architetture di modelli (1D CNN, Text CNN, ResNet9) in ambienti Non-IID.

• Soppressione degli Attacchi: Senza difesa, gli attacchi backdoor hanno raggiunto alti Tassi di Successo dell'Attacco (ASR), spesso superiori all'80-99%. Il framework TTI ha ridotto costantemente l'ASR a livelli vicini al caso fortuito (ad esempio, ~10% per CIFAR-10 a 10 classi) attraverso tutti i tipi di attacco.
• Accuratezza del Compito Principale (MTA): Il framework ha mantenuto una MTA competitiva, mostrando solo un degrado marginale rispetto alla baseline senza attacchi.
• Studi di Ablazione:
  • Singolo Indicatore vs Multi-Indicatore: La classificazione basata su un singolo indicatore (ad esempio, utilizzando solo la norma $\ell_2$) si è dimostrata vulnerabile ad attacchi specificamente progettati per eludere quella metrica. L'approccio multi-indicatore si è rivelato necessario per la robustezza.
  • Livello per Livello vs Modello Intero: Sostituire l'ispezione livello per livello con un'ispezione dell'intero modello ha degradato significativamente le prestazioni contro gli attacchi Neurotoxin, validando la necessità di un'ispezione fine-granulare.
• Efficienza: Sebbene TTI comporti un tempo di esecuzione leggermente superiore per round rispetto a baseline come Best-Effort Voting (BEV) o FedSAC, questo sovraccarico è limitato al livello "sospetto" (circa il 30% dei client nell'ambiente di test). Il compromesso produce un ASR significativamente inferiore, dimostrando un favorevole equilibrio tra robustezza ed efficienza.

5. Significato e Affermazioni

Il documento posiziona TTI come soluzione alla "domanda aperta" di difendere l'OTA-FL dagli attacchi backdoor senza compromettere l'efficienza comunicativa che rende l'OTA-FL attraente.

• Affrontare il Limite della Sovrapposizione: Il framework riconosce il vincolo fondamentale secondo cui il PS non può vedere inizialmente gli aggiornamenti individuali. TTI aggira questo problema utilizzando report leggeri lato client per lo screening e riservando il costoso caricamento/ispezione individuale solo per casi ambigui.
• Robustezza agli Attacchi Furtivi: Gli autori sottolineano che il loro metodo è specificamente efficace contro attacchi "vincolati da metriche" (Euclideo/Coseno) e attacchi "sparsi" (Neurotoxin), noti per sconfiggere le difese convenzionali basate su norme o direzione.
• Scalabilità e Adattabilità: Utilizzando l'Ottimizzazione Bayesiana per la sintonizzazione dei pesi e indicatori consapevoli della modalità, il framework è progettato per essere adattabile a diversi tipi di dati e strutture di modelli senza richiedere una nuova sintonizzazione manuale per ogni nuovo scenario.
• Fattibilità a Lungo Termine: L'inclusione del meccanismo del Punteggio di Reputazione è evidenziata come un modo per ammortizzare il costo computazionale dell'ispezione nel tempo, permettendo al sistema di diventare più efficiente mentre apprende il comportamento dei client partecipanti.

Gli autori concludono che TTI bilancia con successo le esigenze competitive di sicurezza (basso ASR), utilità (alta MTA) ed efficienza (minimo sovraccarico), fornendo una strategia di difesa pratica per la prossima generazione di sistemi di apprendimento federato wireless.