技術要約：堅牢なレピュテーション駆動型クラウドソーシング連邦学習 (R2CFL)

1. 問題提起

クラウドソーシング連邦学習 (CrowdFL) は、従来の連邦学習 (FL) を拡張し、オープンでヘテロジニアス（非均一）な参加を可能にするものである。ワーカーの選択を導き、誠実な行動を促すためにレピュテーション駆動型のインセンティブメカニズムが一般的に用いられているが、既存のフレームワークには以下の決定的な限界が存在する：

• ステルス型攻撃者に対する脆弱性: 現在のシステムは、悪意のある更新（例：バックドア攻撃やポイズニング攻撃）を生成し、良質な更新に酷似させる適応型攻撃者に対する堅牢性を定量化できていないことが多い。これらの「ステルス型」攻撃者は、標準的な検出メカニズム（堅牢な集約や異常フィルタリングなど）を回避し、将来のタスクに影響を与えるためにレピュテーションを徐々に蓄積することができる。
• レピュテーションと堅牢性のデカップリング（分離）: 既存のレピュテーションモデル（AutoDFL、SSMTDなど）は、集約プロセスの実際の堅牢性と切り離されていることが多い。これらは、悪意のある振る舞いが検知されなかった参加者に対して高い信頼スコアを割り当ててしまうことがあり、認識された信頼性と実際の信頼性の間に乖離を生じさせる。
• 定量的な保証の欠如: 適応的かつ回避的な条件下におけるレピュテーションメカニズムの公平性と堅牢性を、明示的に定量化する手法が不足している。

2. メソドロジー：R2CFL フレームワーク

著者らは、堅牢なレピュテーションモデルと幾何学的フィルタリング防御メカニズムを密接に結合させたフレームワークである R2CFL を提案する。このシステムは、スケーラビリティのために Layer-2 zk-rollup を利用し、中央集権的および分散型（ブロックチェーンベース）の両方の設定で動作する。

2.1 コアコンポーネント

• システムの構成要素: パブリッシャー（タスクの定義）、ワーカー（ローカルでの学習）、エバリュエーター／オラクル（フィルタリングと集約）、バリデータ（分散設定におけるブロックチェーンの維持）。
• 脅威モデル: システムは、戦略的な行動をとる、あるいは結託し、非標的型（ポイズニング）または標的型（バックドア）攻撃を行う可能性のあるワーカーが存在するオープンな環境を想定している。集約エンティティは、誠実だが好奇心旺盛な（honest-but-curious）性質を持つか、あるいはオラクルによって保護されていると仮定される。

2.2 R2-NNM 防御メカニズム

核心となる革新は、レピュテーションの進化を更新のフィルタリングに直接結びつけた2段階のパイプラインである Robust Reputation-Aware Nearest Neighbor Mixing (R2-NNM) である。

1. Robust Reputation-Aware Nearest Neighbor Mixing:

   • ローカル更新は、パラメータ空間における $k$ 個の近傍点を用いて平滑化される。
   • ミキシングの重みは、ローカルのレピュテーションスコア ($L_{rep}$) によって動的に調整される。
   • ウォームアップ期間 ($t \le T_{warm}$) を設けることで、初期段階では一様な重み付けを行い、初期のレピュテーション・バイアスを防ぐ。その後、レピュテーションによる重みがミキシング ($\gamma_t$) に徐々に影響を与えるようにし、検証された統計的一貫性のみが信頼を蓄積できるようにする。
   • 数式: $\tilde{\theta}^t_i = \sum_{j \in N_k(i) \cup \{i\}} w_{ij} \theta^t_j$ （ここで、重みは $L_{rep}$ に依存する）。

2. Robust Multi-Krum Selection:

   • ミキシングの後、Multi-Krum 選択ステップにより、ペア間の距離を最小化する更新のサブセットを選択し、ビザンチン的な振る舞いに対する保証を提供する。

2.3 データフリー・レピュテーションモデル

外部の検証用データセットや性能指標に依存する先行研究とは異なり、R2CFL は データフリー・レピュテーションモデル を採用している：

• 信頼の定義: 信頼は、外部の精度ではなく、敵対的条件下における堅牢なコンセンサスへの合意によって純粋に定義される。
• バイナリおよびソフト信号: クライアントは、フィルターによって受理されたかどうかに基づくバイナリインジケータ ($Reliable^t_i$) を受け取る。これは、ペア間距離の正規化された偏差（中央絶対偏差を使用）から導出されるソフトな信頼信号と組み合わされる。
• 更新ルール: ローカルレピュテーションは、ウォームアップによる安定化を伴う指数移動平均 (EMA) を通じて更新される。グローバルレピュテーションは、タスクレベルで非対称に更新され、コンセンサスからの逸脱を、一貫性への報酬よりも厳しく罰する。

3. 主な貢献

• R2CFL フレームワーク: レピュテーションを集約防御に直接統合し、レピュテーションの蓄積が基礎となる防御の真の堅牢性を反映するようにした新しいアーキテクチャ。
• R2-NNM メカニズム: レピュテーションがフィルタリングに影響を与え、フィルタリングがレピュテーションを形成するという、クローズドループ型の防御。これにより、ステルス型の攻撃者が徐々にシステムに浸透することを防ぐ。
• データフリー・レピュテーション: 検証不可能な外部の検証データへの依存を排除し、更新集団内の幾何学的一貫性に依拠するレピュテーションモデル。
• 定量可能な堅牢性: 本フレームワークは、レピュテーションスコアを通じて、基礎となる防御の真陽性率 (TPR) と偽陽性率 (FPR) を忠実に捉える手法を提供する。

4. 実験結果

著者らは、FashionMNIST、GTSRB、CIFAR-10 のデータセットを用い、様々な攻撃シナリオ（OMP、Neurotoxin、A3FL）およびデータ分布（IID および Non-IID）の下で R2CFL を評価した。

• 収束と堅牢性: R2-NNM は、既存の堅牢な防御策（M-Krum、FLAME、DeepSight、NNM）と同等またはそれ以上の性能を示す。適応的なバックドア攻撃やポイズニング攻撃に対しても、高い精度 (ACC) と低い攻撃成功率 (ASR) を維持する。
• 検出性能: R2-NNM は高い TPR（約 0.95–0.99）を達成しつつ、低い FPR を維持する。特に、過度なフィルタリングにより高い FPR を示す FLAME や、バックドア攻撃下で失敗する AutoDFL よりも優れた性能を発揮する。
• レピュテーションの有効性:
  • 分離: R2-NNM は、良質なレピュテーションと悪質なレピュテーションの間の分離度 ($\Delta = \bar{R}_B - \bar{R}_M$) において最も高い値（約 0.72–0.73）を達成しており、攻撃者の効果的な罰則化と誠実なワーカーの安定性を示している。
  • 公平性: このメカニズムは、データ不均一性（Non-IID）の設定下でも、一部のベースラインとは異なり、良質なクライアントに対して安定したレピュテーションを維持する。
• アブレーション研究:
  • ミキシングパラメータ ($k$): $k$ を増やすと公平性が向上する（FPR が減少する）が、過度なミキシングは TPR をわずかに低下させる可能性がある。
  • スケーラビリティ: ワーカーの数が増加しても、R2-NNM は安定した FPR を維持するが、より大きな連邦学習においては統計的な分離能が低下するため、TPR は自然に減少する。
  • 攻撃スケジュール: R2-NNM は、攻撃開始の遅延に対して堅牢である。M-Krum の FPR が攻撃の遅延によって4倍に跳ね上がるのに対し、R2-NNM の FPR の増加は緩やかであり、一貫して最も低い ASR を達成している。

5. 意義と主張

本論文は、CrowdFL における根本的な欠落、すなわちレピュテーションメカニズムと集約プロセスの統計的堅牢性の間の原理的な関連性の欠如に対処していると主張している。

• 段階的な浸透の防止: レピュテーションを集約フィルタリングと結合することで、ステルス型の攻撃者が徐々に信頼を蓄積することを防ぐ。
• 忠実な表現: レピュテーションスコアは、防御の真陽性と偽陽性の特性を正確に反映しており、動的な環境における信頼性の高い尺度を提供する。
• 限界と今後の展望: 著者らは、現在の設計はラウンドごとに変化する攻撃圧には適応しておらず、それが堅牢性と公平性のトレードオフにおいて最適ではない結果を招く可能性があることを謙虚に述べている。彼らは、強化学習を通じてハイパーパラメータをオンラインで学習させることを今後の課題として挙げている。

本研究は CKRISP プロジェクト (ANR-23-IAS4-0001) の支援を受けている。