🤖 machine learning

TOFD: Target-Oriented Feature Decoupling against Poisoning Attacks in Split Federated Learning

Questo articolo propone il Target-Oriented Feature Decoupling (TOFD), un framework unificato per lo Split Federated Learning che integra l'inferenza del target, la purificazione dei campioni e l'ottimizzazione del disaccoppiamento per rilevare proattivamente e mitigare in modo robusto diversi attacchi di avvelenamento, mantenendo al contempo un basso overhead computazionale.

Autori originali: Yuhan Xie, Jingrong Huang, Chen Lyu

Pubblicato 2026-08-10

📖 4 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Yuhan Xie, Jingrong Huang, Chen Lyu

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immaginate un mondo in cui il vostro smartphone, il vostro smartwatch e il laptop del vostro vicino di casa si uniscono per imparare una nuova abilità, come riconoscere uccelli rari o diagnosticare condizioni della pelle, senza mai condividere le vostre foto private. Questa è la promessa dell'Apprendimento Federato (Federated Learning): un modo per far sì che i computer imparino insieme mantenendo i dati chiusi sui propri dispositivi. Ma c'è un ostacolo. Per far sì che questo funzioni su telefoni con batteria e potenza limitate, gli scienziati hanno inventato l'Apprendimento Federato Diviso (Split Federated Learning). Pensatelo come a una staffetta in cui il primo corridore (il vostro telefono) corre una parte del percorso, passa il testimone (una versione compressa e criptata dei dati) all'allenatore (un potente server centrale), che finisce la corsa. Questo risparmia l'energia del vostro telefono e mantiene private le vostre foto.

Tuttavia, proprio come in ogni corsa a staffetta, c'è il rischio di un sabotatore. Un giocatore malintenzionato potrebbe cercare di sostituire il testimone con uno falso, o correre lungo il percorso sbagliato, ingannando l'intero team e portandolo a imparare la cosa sbagliata. Questo è chiamato attacco di avvelenamento (poisoning attack). In passato, le difese contro questi attacchi erano spesso troppo pesanti da gestire per il server o troppo lente per intercettare gli imbroglioni prima che rovinassero la gara. La grande domanda che i ricercatori stanno cercando di rispondere è: come possiamo individuare i testimoni falsi e gli imbroglioni istantaneamente, senza rallentare la corsa o scartare i corridori onesti?

È qui che entra in gioco un nuovo framework chiamato TOFD (Target-Oriented Feature Decoupling - Disaccoppiamento delle Caratteristiche Orientato al Target). Gli autori, Yuhan Xie, Jingrong Huang e Chen Lyu, propongono un sistema intelligente in tre fasi per proteggere l'Apprendimento Federato Diviso da questi attacchi di avvelenamento. Essi sostengono che, poiché il "testimone" (i dati frantumati) passa attraverso il server, sia il luogo perfetto per catturare i malintenzionati.

In primo luogo, TOFD gioca il ruolo del detective per capire chi sta cercando di imbrogliare e cosa sta prendendo di mira. Invece di controllare ogni singolo corridore, cerca le "zone sicure" per ogni tipo di dato (come una specifica specie di uccello). Se il testimone di un corridore appare stranamente diverso dal normale schema del gruppo, il sistema lo segnala. Ma ecco il trucco: il sistema sa che a volte i corridori onesti potrebbero semplicemente correre in modo leggermente diverso perché hanno dati differenti (come una fotocamera diversa). Così, utilizza un test speciale di "Perturbazione del Margine" (Margin Perturbation) per distinguere tra una variazione innocua e un attacco malevolo.

In secondo luogo, una volta che il sistema ha individuato quale classe di dati è sotto attacco, non banna l'intero corridore. Invece, esegue una Purificazione del Campione (Sample Purification). Immaginate un buttafuori all'ingresso di un club che non caccia l'intero gruppo, ma controlla attentamente il documento d'identità di ogni singola persona. TOFD filtra solo i "testimoni avvelenati" specifici dei corridori sospetti, mantenendo quelli onesti. Ciò assicura che il team abbia ancora abbastanza dati da cui imparare senza essere contaminato.

Infine, anche dopo il filtraggio, alcuni schemi subdoli potrebbero scivolare via. Per gestire questo, TOFD utilizza una strategia di Ottimizzazione del Disaccoppiamento (Decoupling Optimization). Addestra un modello di "guida" speciale che impara l'aspetto del veleno. Poi, durante l'addestramento principale, spinge attivamente il modello del server lontano da quei modelli dannosi, neutralizzando efficacemente l'influenza del veleno.

I ricercatori hanno testato questo sistema su cinque diversi dataset, inclusi immagini di lesioni cutanee e cifre scritte a mano. I loro risultati suggeriscono che TOFD è altamente efficace nel catturare vari tipi di attacchi — che gli imbroglioni stiano falsificando i dati, le etichette o i pesi del modello — mantenendo al contempo il sistema veloce ed efficiente. Hanno anche fornito prove matematiche per dimostrare che il sistema alla fine si stabilizzerà e imparerà correttamente. In breve, TOFD offre uno scudo robusto e leggero che permette all'IA collaborativa di imparare in sicurezza, anche quando alcuni partecipanti cercano di giocare sporco.

Sintesi Tecnica: TOFD – Decoupling delle Caratteristiche Orientato al Target contro gli Attacchi di Avvelenamento nel Split Federated Learning

1. Definizione del Problema

Lo Split Federated Learning (SFL) combina i benefici della privacy del Federated Learning (FL) con l'efficienza computazionale dello Split Learning (SL), partizionando i modelli tra client e server. Mentre i client trasmettono rappresentazioni intermedie ("smashed data") al server per l'elaborazione successiva, questa architettura introduce vulnerabilità uniche. A differenza del FL standard, dove le difese si concentrano spesso sugli aggiornamenti del modello, l'SFL è suscettibile di attacchi di avvelenamento che prendono di mira fasi specifiche della pipeline, inclusi i dati delle caratteristiche locali, le etichette, i dati "smashed" e i pesi lato client.

I meccanismi di difesa esistenti, ampiamente adattati dal convenzionale FL, non riescono a sfruttare le caratteristiche specifiche dell'architettura SFL. Spesso trascurano il ruolo cruciale dei dati "smashed" come condotto primario per i segnali di avvelenamento. Di conseguenza, i metodi attuali faticano con tre sfide principali:

Elevato Overhead: La frequente trasmissione di dati "smashed" richiede meccanismi di rilevamento leggeri per evitare costi di comunicazione proibitivi.
Confusione Non-IID: In sistemi dinamici, distinguere tra distribuzioni di dati benigni non-IID e manipolazioni avversarie maligne è difficile, portando ad elevati tassi di falsi positivi.
Effetti Residui: Anche se i dati avvelenati vengono filtrati, i modelli malvagi lato client possono comunque contaminare il modello globale attraverso l'aggregazione, lasciando effetti avversari residui.

2. Metodologia: Framework TOFD

Gli autori propongono il Target-Oriented Feature Decoupling (TOFD), un framework unificato che integra il rilevamento proattivo con l'ottimizzazione robusta. TOFD opera attraverso una pipeline a tre stadi:

Stadio 1: Inferenza del Target (Class-Wise Attack Target Inference)

Questo stadio mira a identificare potenziali target di attacco con basso overhead, restringendo l'ambito alle classi sospette.

Costruzione della Zona Sicura Iniziale: Il sistema modella la distribuzione delle caratteristiche per classe dei dati "smashed" utilizzando un approccio Gaussiano empirico. Calcola la distanza 2-Wasserstein tra la distribuzione locale di un client e la distribuzione globale storica. Uno Z-score modificato identifica un insieme iniziale di "client sospetti" che cadono al di fuori di una zona sicura.
Verifica della Coerenza Distribuionale: Per distinguere il comportamento malvagio dalle variazioni benigne non-IID, il framework introduce un Distributional Consistency Score (DCS). Esso misura lo spostamento distributivo indotto da un client sospetto.
Perturbazione del Margine (MP): Viene stabilita una soglia basata sulla deviazione massima permessa all'interno della distribuzione benigna (MP). I client il cui DCS rientra nell'MP sono mantenuti come benigni; quelli che lo superano sono identificati come malvagi e inferiti come bersaglio di classi specifiche.

Stadio 2: Purificazione del Campione (Class-Calibrated Sample Purification)

Invece di scartare interi client (il che ridurrebbe la diversità dei dati), TOFD esegue un filtraggio fine sulle classi target identificate.

Sogliatura Adattiva: Per i campioni all'interno di una classe target, la deviazione dalla distribuzione globale viene quantificata. Una soglia calibrata per classe ( $\tau_k$ ) è calcolata dinamicamente utilizzando l'intervallo interquartile (IQR) e i valori MP. Questa soglia si adatta alle specifiche caratteristiche di dispersione di ogni classe.
Filtraggio: I campioni che superano la soglia sono classificati come malvagi ( $Z^-$ ), mentre quelli al di sotto sono mantenuti come benigni ( $Z^+$ ). Ciò assicura che solo le rappresentazioni benigne validate aggiornino la distribuzione globale e il modello lato server.

Stadio 3: Ottimizzazione del Decoupling (Malicious Feature Decoupling)

Per affrontare l'influenza avversaria residua dai modelli malvagi lato client che può persistere dopo il filtraggio, TOFD integra un obiettivo di decoupling nell'ottimizzazione lato server.

Modello di Guida Avversaria: Un modello di guida ( $R$ ), che condivide l'architettura del modello lato server, viene perfezionato sui dati "sashed" malvagi rilevati ( $Z^-$ ) per catturare i pattern indotti dall'attacco.
Funzione di Perdita Congiunta: Il modello lato server è ottimizzato utilizzando una funzione di perdita congiunta composta da:
1. Cross-Entropy Loss ( $L_{CE}$ ): Addestrata sui dati benigni validati ( $Z^+$ ) per mantenere le prestazioni del task.
2. Decoupling Loss ( $L_{MFD}$ ): Massimizza la divergenza di Kullback–Leibler (KL) tra il modello lato server e il modello di guida avversaria sui dati malvagi ( $Z^-$ ). Questo costringe il server a divergere dai pattern di attacco preservando al contempo l'integrità delle caratteristiche benigne.

3. Contributi Chiave

Il documento delinea quattro contributi primari:

Framework Unificato: TOFD è presentato come un framework che integra sistematicamente il rilevamento fine con l'ottimizzazione SFL, consentendo la mitigazione efficace di una vasta gamma di attacchi di avvelenamento (dati, pesi, smashed, etichette e multi-vettore).
Meccanismo di Disentanglement: Sfruttando l'inferenza per classe e la Perturbazione del Margine, il metodo disennesta il comportamento malvagio dalle variazioni benigne non-IID senza sacrificare la diversità dei dati.
Soppressione dei Residui: Una strategia di decoupling basata sulla guida avversaria è stata sviluppata per sopprimere l'influenza avversaria residua che persiste oltre la fase di rilevamento.
Garanzie Teoriche: Gli autori forniscono un'analisi teorica formale che caratterizza la complessità computazionale e stabilisce garanzie di convergenza per il framework TOFD.

4. Risultati Sperimentali

Esperimenti estesi sono stati condotti su cinque dataset (HAM10k, MNIST, F-MNIST, CIFAR10, CIFAR100) e diverse architetture di modelli (DenseNet121, ResNet18, ResNet50).

Performance: TOFD ha superato costantemente le difese allo stato dell'arte in diversi scenari di attacco, inclusa l'estrema etogeneità dei dati.
Metriche: Il framework ha dimostrato una robustezza superiore (mantenendo un'alta accuratezza sotto attacco) pur incorrendo in un basso overhead computazionale, rendendolo adatto alla distribuzione pratica.
Efficienza: Il metodo ha raggiunto un alto tasso di rilevamento dei campioni malvagi (MSDR) preservando al contempo le prestazioni dei client benigni.

5. Significato e Rivendicazioni

Il documento sostiene che TOFD affronti una lacuna critica nella sicurezza dell'SFL, andando oltre la semplice adattazione delle difese del FL. Il suo significato risiede nel:

Sfruttare il Paradigma Split: Utilizza in modo unico l'interfaccia dei dati "smashed" come un checkpoint strategico per l'intervento precoce, una caratteristica specifica dell'SFL che i lavori precedenti hanno trascurato.
Bilanciare Robustezza e Utilità: Impiegando un filtraggio calibrato per classe invece dell'esclusione a livello di client, mantiene la diversità dei dati e le prestazioni del modello in contesti non-IID.
Mitigazione Sistemica: L'integrazione dell'ottimizzazione di decoupling assicura che anche se alcuni segnali malvagi superano il rilevamento, la loro influenza sul modello globale finale viene soppressa.

Gli autori concludono che TOFD offre una soluzione teoricamente fondata, efficiente e robusta per proteggere lo Split Federated Learning contro complessi attacchi di avvelenamento.