Model Multiplicity for Adversarial Detection in Small Language Model Training on Edge Devices

Sintesi Tecnica: Molteplicità del Modello per il Rilevamento Adversariale nell'Addestramento di Small Language Models su Dispositivi Edge

1. Definizione del Problema

Il documento affronta le vulnerabilità di sicurezza intrinseche nel fine-tuning distribuito di Small Language Models (SLM) su dispositivi edge. Sebbene l'apprendimento automatico basato su edge offra privacy e reattività in tempo reale, la dipendenza da nodi non affidabili, eterogenei e con connettività intermittente introduce rischi significativi. Nello specifico, i dispositivi compromessi possono iniettare aggiornamenti avvelenati (ad esempio, trigger di backdoor, attacchi a deriva lenta o gradienti scalati) che manipolano furtivamente il modello globale.

Gli autori identificano un limite critico nelle difese esistenti:

• Metodi di Aggregazione Robusta (ad esempio, Krum, Trimmed Mean) filtrano gli outlier statistici ma falliscono contro bias coordinati o di bassa entità che spostano la media senza aumentare la varianza.
• Rilevatori di Anomalie Temporali (ad esempio, Flanders) analizzano le sequenze di aggiornamento per rilevare deviazioni. Tuttavia, questi si basano su osservazioni ripetute di specifici client. In ambienti edge realistici, caratterizzati da una partecipazione intermittente (disponibilità dei client sparsa e non stazionaria), le cronologie temporali diventano troppo scarse per una potenza statistica affidabile, causando il fallimento di questi rilevatori.

2. Metodologia: Multi-Model Rotation (MMR)

La soluzione proposta, Multi-Model Rotation (MMR), sposta il paradigma della difesa da un singolo modello globale a un sistema di ensemble di più modelli indipendenti.

• Meccanismo Core: Invece di mantenere un unico modello globale $\theta_t$, il sistema mantiene un pool di $N_m$ istanze di modelli leggeri (ad esempio, DistilGPT-2). In ogni round, il server campiona sottoinsiemi disgiunti o parzialmente sovrapposti di client edge e li assegna all'addestramento di specifiche repliche di modelli in modo indipendente.
• La Divergenza come Segnale: Poiché ogni modello è addestrato su un sottoinsieme di client campionato casualmente e differente, essi evolvono lungo traiettorie distinte. Il sistema monitora la divergenza tra questi modelli utilizzando due metriche primarie:
  1. Divergenza dei Parametri: La distanza euclidea normalizzata tra i parametri dei modelli ($\theta_i$ e $\theta_j$).
  2. Divergenza della Loss: La differenza nei valori di loss calcolati su un set di validazione (probe) condiviso lato server.
• Logica di Rilevamento: Se un sottoinsieme di client è malevolo, il modello (o i modelli) addestrato su quel sottoinsieme divergerà significativamente dalla media dell'ensemble. Questa divergenza funge da segnale intrinseco di avvelenamento.
• Attribuzione e Risposta: Quando un modello viene segnalato come anomalo, il sistema traccia i client responsabili in base alla cronologia di assegnazione client-modello. Le azioni correttive includono l'isolamento dei client segnalati, la ricalibrazione del peso dei loro aggiornamenti o il rollback dello stato del modello.
• Soglia Adattiva: Il sistema utilizza soglie basate sui dati (media + molteplici deviazioni standard) per la divergenza e i picchi di loss, evitando iperparametri fissi per adattarsi alla naturale variabilità dell'addestramento.

3. Fondamenti Teorici

Il documento fornisce due risultati teorici per giustificare l'approccio:

• Teorema 1 (Divergenza inter-modello sotto avvelenamento): Dimostra che in presenza di client malevoli che iniettano un bias additivo, la divergenza quadratica attesa tra due modelli addestrati indipendentemente aumenta. Ciò stabilisce che l'avvelenamento crea un'incoerenza rilevabile tra le traiettorie dei modelli, anche se i singoli modelli appaiono statisticamente normali.
• Teorema 2 (Fallimento del rilevamento temporale sotto partecipazione intermittente): Dimostra che i rilevatori temporali per singolo client falliscono con alta probabilità quando la probabilità di partecipazione del client ($q$) è bassa. La probabilità di avere osservazioni insufficienti per raggiungere la potenza statistica aumenta al diminuire di $q$, rendendo inaffidabile il rilevamento basato sulla cronologia.

4. Valutazione Sperimentale

Gli autori hanno valutato MMR rispetto ai baseline (Flanders, aggregazione robusta e assenza di difesa) utilizzando simulazioni di addestramento di SLM (DistilGPT-2) su 100 client edge con diversa disponibilità ($q \in \{0.2, 0.5, 1.0\}$).

• Scenari di Attacco: La valutazione ha coperto attacchi di backdoor, attacchi a deriva lenta e attacchi a gradiente scalato.
• Risultati Chiave:
  • Prestazioni di Rilevamento (AUC): MMR ha costantemente ottenuto l'Area Sotto la Curva (AUC) più elevata, oscillando tra 0.75 e 0.9 durante i round. Al contrario, Flanders è degradato nel tempo (stabilizzandosi vicino a 0.55) e l'approccio Robust è rimasto inferiore (0.65–0.7).
  • Tempestività (TTD): MMR ha dimostrato un rilevamento quasi immediato (Time-to-Detection vicino allo zero) anche a bassa disponibilità ($q=0.2$). I baseline hanno mostrato ritardi e variabilità significativi.
  • Robustezza all'Intermittenza: MMR ha mantenuto prestazioni stabili al calare della disponibilità dei client, mentre i rilevatori temporali (Flanders) hanno sofferto di una ridotta potenza statistica.
  • Overhead: MMR ha comportato un modesto overhead di sistema. Sebbene richieda il mantenimento di più modelli, i costi di runtime e memoria (RSS) sono stati inferiori o comparabili a quelli di Flanders, che ha sofferto di un elevato overhead nella fase di rilevamento a causa della complessa gestione della cronologia temporale.

5. Significato e Rivendicazioni

Il documento afferma che la molteplicità del modello funge da meccanismo di difesa pratico ed efficace per l'apprendimento distribuito sicuro su dispositivi edge con risorse limitate.

• Cambio di Paradigma: Il lavoro sposta il rilevamento dal "livello dell'aggiornamento del client" (filtraggio dei singoli gradienti) al "livello dell'ensemble di modelli" (monitoraggio della coerenza della traiettoria). Ciò consente al sistema di rilevare l'avvelenamento attraverso la divergenza tra i modelli piuttosto che affidarsi alle statistiche per singolo client.
• Scalabilità: L'approccio ha una complessità computazionale indipendente dal numero di client, poiché evita calcoli a coppie per ogni client, rendendolo scalabile a grandi popolazioni edge.
• Praticità: Sfruttando la ridondanza esistente (molteplici modelli) per la sicurezza anziché solo per la tolleranza ai guasti, MMR fornisce una soluzione a basso overhead che è particolarmente efficace nei regimi di partecipazione sparsa e dinamica tipici dell'edge computing.

Gli autori concludono che, sebbene MMR offra una affidabilità e una velocità di rilevamento superiori rispetto ai metodi allo stato dell'arte, non analizza esaustivamente la robustezza contro avversari completamente adattivi e consapevoli dell'attacco, e la scalabilità di ensemble molto grandi merita ulteriori studi.