EnCAgg: Enhanced Clustering Aggregation for Robust Federated Learning against Dynamic Model Poisoning

Sintesi Tecnica di "EnCAgg: Enhanced Clustering Aggregation for Robust Federated Learning against Dynamic Model Poisoning"

Enunciato del Problema
L'Apprendimento Federato (FL) consente l'addestramento decentralizzato dei modelli preservando la privacy dei dati, ma rimane vulnerabile agli Attacchi di Avvelenamento del Modello (MPA). In questi attacchi, client maliziosi caricano gradienti creati ad arte per interrompere la convergenza globale. Le minacce recenti sono sempre più subdole e dinamiche; gli attaccanti possono vincolare finemente gli aggiornamenti per mimare statistiche benigne o alternare comportamenti benigni e maliziosi tra le iterazioni. I meccanismi di difesa esistenti affrontano due limitazioni primarie:

1. Assunzioni Statiche: Molti metodi si basano su soglie fisse o su un numero fisso di cluster (ad esempio, K-means), assumendo una proporzione nota e relativamente bassa di avversari. Questi falliscono quando il rapporto malizioso fluttua dinamicamente o quando gli attaccanti dominano l'insieme dei client.
2. Perdita di Gradienti Benigni: A causa dell'eterogeneità dei dati, i gradienti benigni esibiscono naturalmente diversità. I metodi di filtraggio tradizionali spesso scambiano questi aggiornamenti benigni diversificati per outlier o rumore, scartandoli e degradando la capacità di generalizzazione del modello globale.

Metodologia: Framework EnCAgg
Gli autori propongono EnCAgg, un metodo di aggregazione robusto che utilizza un piccolo insieme di client benigni noti come riferimenti per identificare e filtrare i gradienti maliziosi senza assumere una proporzione maliziosa fissa. Il framework opera attraverso tre stadi sequenziali:

1. Clustering di Gradienti a Bassa Dimensionalità Basato sulla Densità:

   • Proiezione: I gradienti ad alta dimensionalità sono proiettati su uno spazio 2D utilizzando l'Analisi delle Componenti Principali (PCA), selezionando specificamente le due dimensioni con la varianza maggiore. Questo amplifica la separazione tra aggiornamenti benigni e maliziosi.
   • Selezione del Raggio: Un raggio di clustering dinamico ($\epsilon$) è determinato calcolando la distanza euclidea tra due client "radice" selezionati casualmente dall'insieme benigno noto.
   • Clustering e Filtraggio: DBSCAN (un algoritmo basato sulla densità) clusterizza i gradienti proiettati. Il server identifica il cluster benigno verificando se i client radice rientrano in un cluster o trovando il cluster più vicino ai gradienti radice. Viene applicato un vincolo di densità ($\gamma$) per filtrare potenziali "attacchi di propagazione" in cui gradienti maliziosi formano una catena verso il cluster benigno.

2. Generazione di Gradienti a Bassa Dimensionalità con Potenziamento del Clustering:

   • Per recuperare i gradienti benigni che sono stati erroneamente classificati come rumore (outlier) nel primo round, viene impiegato un modello generativo.
   • Questo modello impara a generare pseudo-gradienti vicino al confine del cluster benigno identificato. Questi pseudo-gradienti agiscono come "ponti", collegando outlier benigni sparsi al cluster benigno principale.
   • Il generatore è ottimizzato utilizzando una funzione di perdita composita composta da:
     • Perdita di Classificazione del Clustering: Incoraggia i pseudo-gradienti ad essere assegnati al cluster benigno.
     • Perdita di Diversità Direzionale: Previene il collasso dei gradienti generati in un singolo punto, garantendo una dispersione simmetrica.
     • Perdita di Diversità Distanziale: Garantisce che i gradienti generati siano spazialmente separati per evitare un'eccessiva concentrazione.

3. Ri-Clustering di Gradienti a Bassa Dimensionalità:

   • I gradienti reali mantenuti e i pseudo-gradienti generati sono combinati per un secondo round di clustering DBSCAN.
   • L'effetto "ponte" dei pseudo-gradienti permette agli outlier benigni sparsi di essere assorbiti nel cluster benigno.
   • Solo i gradienti reali corrispondenti al cluster benigno finale sono aggregati per aggiornare il modello globale; i pseudo-gradienti vengono scartati.

Contributi Chiave

1. Adattamento Dinamico: Il metodo non richiede conoscenze a priori della proporzione di client maliziosi. Si adatta a strategie di avvelenamento dinamiche in cui l'intensità dell'attacco e il rapporto malizioso variano tra le iterazioni.
2. Strategia di Clustering Innovativa: Introduce un approccio di clustering a bassa dimensionalità basato sulla densità che sfrutta riferimenti benigni noti per distinguere gli aggiornamenti maliziosi preservando al contempo la diversità degli aggiornamenti benigni.
3. Meccanismo di Recupero Generativo: La progettazione di un generatore di clustering potenziato che produce pseudo-gradienti per recuperare outlier benigni erroneamente classificati, migliorando significativamente la ritenzione degli aggiornamenti utili.
4. Analisi Teorica: Il paper fornisce un'analisi di convergenza sia per il modello generatore che per il modello globale, dimostrando che la convergenza è garantita sotto vincoli specifici sul raggio di clustering e sui parametri di densità, anche in presenza di client maliziosi.

Risultati Sperimentali
Gli autori hanno valutato EnCAgg su MNIST, CIFAR-10 e sul dataset MIND (raccomandazione di notizie) contro tre strategie di attacco: UA-FedRec, LIE (Little is Enough) e Min-Max.

• Fideltà: In ambienti non avversariali, EnCAgg ha raggiunto prestazioni comparabili al FedSGD standard, con gap di accuratezza entro lo 0,8% per i task di immagine e lo 0,3% per le metriche di raccomandazione.
• Robustezza:
  • Sotto rapporti maliziosi bassi (10%), EnCAgg ha superato le linee di base (Krum, Median, FLTrust, ecc.) contro attacchi subdoli come LIE e Min-Max, mantenendo un'alta accuratezza laddove altri metodi fallivano.
  • Sotto rapporti maliziosi alti (60%), dove la maggior parte delle difese collassava, EnCAgg ha mantenuto prestazioni robuste (ad esempio, ~98% di accuratezza su MNIST e >80% su CIFAR-10).
  • Il metodo è rimasto efficace anche quando i client maliziosi componevano fino all'80% del totale, con solo un degrado lieve delle prestazioni.
• Attacchi Adattivi: Anche quando gli attaccanti possedevano la conoscenza completa della regola di aggregazione e hanno creato attacchi adattivi mirati alla proiezione a bassa dimensionalità, EnCAgg ha mantenuto un'alta accuratezza (94,67% a un rapporto malizioso del 60%), dimostrando un compromesso tra furtività a bassa dimensionalità ed efficacia dell'attacco ad alta dimensionalità.
• Studi di Ablazione: La rimozione della riduzione della dimensionalità o del modello generatore ha comportato cali significativi delle prestazioni, confermando che entrambi i componenti sono essenziali per l'efficacia del metodo.

Significato
Il paper afferma che EnCAgg affronta il divario critico nelle difese esistenti riguardo alle strategie di avvelenamento dinamiche e subdole. Spostandosi dalle soglie fisse e dalle assunzioni di maggioranza, e utilizzando invece un approccio di clustering potenziato generativo basato su riferimenti, EnCAgg raggiunge un equilibrio superiore tra robustezza (filtraggio degli attacchi) e fideltà (ritenzione di aggiornamenti benigni diversificati). Gli autori sostengono che questo approccio offra una soluzione più resiliente per le implementazioni FL nel mondo reale, dove il comportamento dei client e le intensità degli attacchi sono imprevedibili.