技術的概要：Coward – 実用的な能動的連合学習バックドア検出のための衝突ベース OOD ウォーターマーキング

1. 問題定義

連合学習（FL）は、プライバシーを保護した協調学習を可能にする一方で、悪意のあるクライアントがトリガーを注入してグローバルモデルを操作するバックドア攻撃に対する重大な脆弱性を生み出します。既存の防御メカニズムは、2 つの重要な実用的な限界に直面しています。

• 受動的検出の限界（非 IID 分散）: 従来の受動的な手法は、モデルパラメータや勾配の異常値を検出することで悪意のあるクライアントを特定します。しかし、これらの手法は、FL における本質的な非独立同一分布（non-i.i.d.）データ分布とランダムなクライアント参加に対して非常に脆弱です。これらの要因により、良性のローカルモデルは高い分散を示し、しばしば悪意のある更新の統計的シグネチャを模倣してしまい、高い偽陽性率や検出漏れを引き起こします。
• 能動的検出の限界（OOD 予測バイアス）: BackdoorIndicator などの最近の能動的な手法は、OOD（Out-of-Distribution）パターンを注入することでトレーニングに介入しようとしています。これらは、悪意のあるモデルが良性のモデルよりもこれらのパターンをよりよく保持する「共存効果」に依存しています。しかし、これらの手法は、深層ニューラルネットワーク（DNN）が持つ本質的な OOD 予測バイアスによって損なわれています。DNN は、OOD サンプルを高い確信度で任意のクラスに分類する傾向があります。このバイアスにより、良性のクライアントが OOD パターンを予期せぬほど高く保持し、頻繁な誤判定（偽陽性）を引き起こすため、現在の能動的な手法は信頼性が低下しています。

2. 手法：Coward

著者らは、多重的バックドア衝突効果の発見に着想を得た能動的検出フレームワーク Coward（Robust federated backdoor Detection のための衝突ベース OOD WAtermarking）を提案します。

2.1 核心的洞察：衝突効果

既存の研究は、同じ ラベルを標的とするバックドアが共存することを観察していましたが、著者らは、異なる ラベルを標的とする連続的に植え付けられたバックドアが互いに著しく干渉し、抑制し合うことを発見しました。この「衝突効果」が、新しい検出パラダイムの基礎となります。

2.2 検出パラダイム：逆転した論理

Coward は、既存の能動的な手法の論理を逆転させます。

• 既存（共存）: 注入されたパターンの高い保持率 = 悪意あり。
• Coward（衝突）: 注入されたウォーターマーキングの高い保持率 = 良性。低い保持率（消去）= 悪意あり。

この逆転したパラダイムにおいて、良性クライアントにおける OOD バイアスによって引き起こされる高確信度の予測（従来は偽陽性の原因となっていたもの）は、ウォーターマーキングの保持を示すものとして有益となり得ます。

2.3 技術的実装

この手法は 3 つの段階で動作します。

1. ウォーターマーキング注入（サーバー側）:

   • サーバーは、OOD データ（例：CIFAR-10 タスク用の EMNIST）上に規制された双方向マッピングを構築します。
   • 規制されたベースマッピング（$\pi_1$）: OOD ラベルからタスクラベルへの固定された 1 対 1 のマッピングを確立し、OOD 空間を安定させ、曖昧さを低減します。これは BackdoorIndicator で使用されたランダムマッピングとは対照的です。
   • ターゲットウォーターマーキングマッピング（$\pi_2$）: OOD サンプルの特定のサブセットにトリガーパターンを割り当て、固定されたターゲットクラス（$y_m$）にマッピングします。
   • グローバルモデルは、元のタスク性能を維持しつつウォーターマーキングを埋め込むために、正則化項を伴うこの OOD データ上で微調整されます。

2. ウォーターマーキング相互作用（クライアント側）:

   • クライアントは、プライベートデータ上でローカルトレーニングを実行します。
   • 良性クライアント: タスク損失のみを最適化します。非 IID データにより OOD ウォーターマーキングをわずかに忘却する可能性がありますが、一般的にはトリガーからターゲットへのマッピングを保持します。
   • 悪意のあるクライアント: タスクと自身の特定のバックドア目的の両方を最適化します。彼らのバックドアがウォーターマーキングとは異なるクラスを標的としているため、衝突効果が発生します。つまり、悪意のあるバックドアはローカルトレーニング中にサーバーが注入したウォーターマーキングを積極的に抑制または消去します。

3. ウォーターマーキング検出（サーバー側）:

   • サーバーは、ウォーターマーキングされた OOD データセットを使用してローカルモデルを評価します。
   • 特定のトリガーからターゲットへのマッピングの精度を測定します。
   • 判定ルール: ウォーターマーキング精度が閾値 $\beta$ 未満のクライアントは、衝突によってウォーターマーキングが抑制されたことを示すものとして悪意ありとフラグ付けされます。精度の高いクライアントは良性とみなされます。

3. 主要な貢献

1. 限界の特定: 本論文は、非 IID データの不均質性が受動的検出をどのように損なうか、また OOD 予測バイアスが現在の能動的検出手法を根本的にどのように制限するかを厳密に分析し、実証します。
2. 多重的バックドア衝突の発見: 著者らは、異なるラベルを標的とする異なるバックドアが互いに干渉し、以前に植え付けられた効果を抑制する現象を特定し、特徴付けました。
3. Coward フレームワーク: この衝突効果を活用して逆転した検出パラダイムを創出する、新しい能動的検出手法です。この設計は、OOD バイアスを自然に相殺します。なぜなら、高確信度の良性予測（先行研究における誤りの源）が、今や良性の行動を正しく示すシグナルとなるからです。
4. 頑健性: この手法は、OOD バイアスの強度を本質的に制限する低侵襲なトレーニング介入を導入し、最先端のベースラインと比較して誤判定を大幅に削減します。

4. 実験結果

CIFAR-10、CIFAR-100、EMNIST などのベンチマークデータセットにおいて、さまざまな設定で広範な実験が行われました。

• 非 IID 耐性: Coward は、データ不均質性の度合い（$\alpha = 0.3$ から $0.9$）が変化する状況下でも、一貫して 95% 超の真陽性率（TPR）と 10.5% 未満の偽陽性率（FPR）を達成しました。対照的に、受動的な手法（MultiKrum、Flame など）は、深刻な不均質性下で TPR が大幅に低下し（しばしば 10% 未満）、性能を失いました。
• 高度な攻撃: この手法は、Neurotoxin や Chameleon などのステルス攻撃や、可視、不可視、セマンティックな各種トリガータイプに対して高い性能を維持しましたが、受動的な手法は著しい劣化を招きました。
• 多攻撃者シナリオ: 最大 70% のクライアントが悪意のある場合でも Coward は有効であり続けました。これは、異常値ベースの受動的な手法が完全に失敗するシナリオです。
• OOD バイアス軽減: BackdoorIndicator と比較して、Coward は OOD バイアスレベルとそれに伴う偽陽性率を大幅に削減しました。これは、多様な OOD データセットや合成 OOD データセットを使用した場合でも同様でした。
• 適応的攻撃: この手法は、ウォーターマーキングのターゲットを推測しようとする適応的な攻撃者に対する耐性を示しました。そのような試みはしばしば「局所的な衝突矛盾」を引き起こし、攻撃者自身のバックドアを弱体化させ、検出を回避するのを失敗させました。

5. 意義と主張

本論文は、Coward が連合学習における実用的な能動的バックドア検出に向けた重要な一歩であると主張しています。「パターン保持」（OOD バイアスに脆弱）から「パターン衝突」へと検出の基盤をシフトさせることで、この手法は以下の点を実現します。

• OOD バイアス課題の解決: DNN が OOD データに対して持つ本質的な高確信度バイアスを、欠点から良性の行動を示す信頼性の高いシグナルへと変換します。
• 非 IID 感受性の克服: 検出をパラメータ空間の異常値から切り離し、受動的な手法を悩ませるデータ不均質性に対して頑健にします。
• 新しいパラダイムの提供: 複数のバックドアの共存に依存するのではなく、それらの間の干渉を利用する FL セキュリティの新たな方向性を確立します。

著者らは、Coward が OOD バイアス課題を効果的に緩和し、グローバルモデルの主要な機能の完全性を維持しながら最先端の性能を達成すると結論付けています。