💻 computer science

FedLNS: Leverage LayerNorm Signature Modeling to Mitigate Adversarial Manipulation in Federated LLMs

FedLNSは、正規化層のパラメータ変化の軽量な解析を通じて悪意のあるクライアントの更新をスクリーニングすることにより、追加のデータ交換やラベル付きの攻撃例を必要とすることなく、多様なモデルアーキテクチャにわたって優れた堅牢性を達成し、連合LLM学習における敵対的な操作を軽減するサーバーサイドのフレームワークである。

原著者： Kai Li, Jong-Ik Park, Carlee Joe-Wong, Wei Ni, Falko Dressler

公開日 2026-08-20

📖 1 分で読めます☕ さくっと読める

CC0 1.0

原著者： Kai Li, Jong-Ik Park, Carlee Joe-Wong, Wei Ni, Falko Dressler

原論文は CC0 1.0 (http://creativecommons.org/publicdomain/zero/1.0/) のもとパブリックドメインに提供されています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

大規模言語モデルは、私たちが日常的に利用しているスマートアシスタントや検索ツール、執筆補助の背後にあるエンジンです。これらのシステムは膨大な量のテキストを読み込むことで学習しますが、最も価値のある情報の多くは、個人のメッセージ、医療記録、あるいは企業の機密文書といったプライベートな場所に封じ込められています。これらのプライベートなデータを、それ自体を見ることなくモデルに学習させるために、研究者たちは「連合学習（フェデレーテッド・ラーニング）」と呼ばれる手法を用いています。この仕組みでは、データがモデルの方へ移動するのではなく、モデルがデータの方へと移動します。中央のコンピュータは、現在のモデルのコピーを多くの異なるデバイスに送り、各デバイスは自身のプライベートな情報に基づいて学習を行い、学んだ「変化」のみを返送します。その後、中央のコンピュータはこれらの変化を統合して、より賢く更新されたモデルを作成します。このプロセスはプライバシーを保護しますが、新たな脆弱性を生み出します。それは、中央のコンピュータがローカルデバイス上で何が起きたのかを知ることができないという点です。不誠実なデバイスは、プライベートなデータから学習しているふりをしながら、実際には偽の指示を与え、モデルが正しく話したり書いたりする能力を低下させるような有害な教訓を中央のコンピュータに採用させるよう、騙すことができるのです。

ある研究チームは、これらの不誠実な更新がグローバルモデルにダメージを与える前に、それらを検知する新しい方法を開発しました。彼らは自分たちのシステムを「FEDLNS」と呼び、これは中央サーバーに流れ込む情報に対するセキュリティ・チェックポイントのような役割を果たします。数十億もの数値を含む巨大なモデルの更新内容すべてを検査しようとするのではなく（それはあまりにも複雑で徹底的なチェックが困難です）、研究者たちはモデル内の非常に小さく特定の数値のセットに焦点を当てました。これらの数値は、モデルが言語の内部的な理解をどのようにスケーリングし、シフトさせるかを制御しており、モデルがどのように調整されたかを示す一種の「署名（シグネチャ）」として機能します。これらの特定の数値がどのように変化するかを監視することで、サーバーは「正常で誠実な学習」がどのようなものかというプロファイルを作成できます。デバイスが更新を送信すると、サーバーはその署名を他のデバイスからの署名の履歴と比較します。もしデバイスの変化が周囲の集団から乖離しすぎている場合、システムはそれを不審なものとしてフラグを立てて脇に置き、その悪い更新が最終的なモデルに混ざり込むのを防ぎます。

研究者たちは、このアプローチを、文章の次の単語を予測するものから、欠落した単語を埋めるもの、そして現代のチャットボットを動かしているものに近い大規模なモデルに至るまで、3つの異なるタイプの言語モデルでテストしました。彼らは、参加デバイスの最大40パーセントが、単語間の誤った関連性を教え込むことでモデルを意図的に破壊しようとする悪意のあるデバイスであるというシナリオをシミュレートしました。これらの困難な条件下において、この新システムは有害な更新を正常にフィルタリングすることに成功しました。この保護機能を備えたモデルは、既存の安全策を用いて学習されたモデルよりも大幅に優れた性能を示しました。具体的には、保護されたモデルは次の単語を予測する際のミスが少なくなり、次に優れた手法と比較して混乱が最大18パーセント減少しました。また、選択における不確実性も低くなり、混乱を招いたり意味不明な文章を生成したりする可能性が減少しました。

この発見を特に有用なものにしているのは、中央サーバーが既知の悪意あるアクターのリストを持つ必要もなく、嘘つきを捕まえるための別途の事前学習済み検出器を必要ともしない点です。システムは、単にグループ内のデバイスを観察することによって、何が正常であるかを学習します。システムは、誠実な振る舞いの信頼できるイメージを構築するために十分な数の異なるデバイスを見るまで待ち、それからスクリーニングを開始します。研究者たちは、システムがスクリーニングを開始する前に観察したデバイスが多いほど、その性能が高まることを発見しましたが、グループの一部のみの視覚情報でも効果的に機能できることがわかりました。決定的なことに、この保護は完全にサーバー側で行われるため、更新を送信するデバイス側のソフトウェアを変更したり、追加の情報を送信したりする必要はありません。そのため、この手法は既存のシステムに速度を落とすことなく容易に追加することができます。

この研究は、プライバシーや信頼できるデータを犠牲にすることなく、連合学習を保護することが可能であることを裏付けています。モデル全体ではなく、コンパクトでアーキテクチャを意識した署名に焦点を当てることで、研究者たちは、悪意のある操作が広がるのを阻止する軽量な盾を作り上げました。彼らのシミュレーションにおいて、このアプローチは、異なるデータ分布やモデルタイプにわたって、6つの一般的な安全技術を一貫して上回りました。結果として、モデルの微妙な内部の変化を監視することで、たとえ参加者の大部分がシステムを欺こうとしていたとしても、協調的な学習の完全性を維持できることが示されました。これは、悪意のあるアクターに簡単に騙されることなく、プライベートなデータから学習できる、より信頼性の高い人工知能を構築するための実用的な道筋を提示しています。

技術要約: FedLNS – 連合学習における大規模言語モデル（LLM）の敵対的改ざんを軽減するためのLayerNormシグネチャ・モデリングの活用

問題提起

連合学習（Federated Learning: FL）は、分散されたプライベートなデータから大規模言語モデル（LLM）を学習することを可能にするが、中央に生のテキストを集約することなく実現できる一方で、このアーキテクチャには重大なセキュリティ上のギャップが存在する。すなわち、サーバーは、クライアントの更新を生成するローカルな入力、ターゲット、または最適化プロセスを検証することができない。悪意のあるクライアントは、正しいターゲット・トークンを誤ったものに置き換えることで（ターゲット操作）、ローカルな監督プロセスを操作し、誤ったコンテキストとトークンの関連付けを最適化させることが可能である。これらの汚染された更新が統計的に集約されると、グローバルモデルの性能を低下させ、信頼性の低い、あるいは幻覚（ハルシネーション）を伴う生成のリスクを高める。

既存のビザンチン耐性を持つFL手法（例：Multi-Krum、座標ごとの中央値、トリム平均）は、通常、モデル全体の更新に対して動作する。このアプローチは、サーバー側の処理を現代的なLLMの高次元性に縛り付けることになり、膨大なパラメータセットにおける良質なバリエーションの中に、悪意のある逸脱が隠されてしまう。さらに、近年の次元削減手法や教師ありスクリーニング手法は、ラベル付きの攻撃サンプル、信頼できるサーバーデータ、または別途訓練された検知器を必要とすることが多いが、これらは実用的な連合学習の設定では利用できないことが多い。

手法: FedLNS

著者らは、軽量で教師なしの悪意ある更新のスクリーニングのために設計されたサーバーサイドのフレームワークである FedLNS（Federated Learning with Normalization Signatures）を提案する。この核心となる革新性は、クライアントの更新をフルモデルのパラメータベクトルによってではなく、訓練可能な正規化層（Normalization-layer）のパラメータの変化から導出されるコンパクトな「シグネチャ」によって表現することにある。

1. 正規化層シグネチャ:
数百万のパラメータを分析する代わりに、FedLNSは各ラウンド $t$ における各クライアント $i$ のシグネチャ $s_{t,i}$ を抽出する。このシグネチャは、クライアントのローカルモデルと現在のグローバルモデルとの間における、訓練可能な正規化パラメータ（例：LayerNormやRMSNormにおけるスケーリングおよびバイアス）の差として定義される：
$s_{t,i,\ell} = p_\ell(w_{t,i}) - p_\ell(w_t)$
ここで、 $p_\ell$ は正規化層 $\ell$ の連結された訓練可能パラメータを表す。これらの層は隠れ表現のスケーリングとシフトを制御するため、そのパラメータの変化は、ローカル学習がモデルの内部表現をどのように変化させたかを示す、アーキテクチャに即したコンパクトな指標となる。

2. サーバーサイド・ヒストリーバンクと堅牢なリファレンス:
サーバーは、観測されたクライアントの最新の正規化シグネチャを保存するヒストリーバンク $B_t$ を保持する。十分な数の異なるクライアント・アイデンティティ（ $M_{act}$ ）が観測されると、サーバーは現在のラウンドのための堅牢なリファレンスを構築する：

堅牢な統計量: 各正規化層について、サーバーはヒストリーバンク内のシグネチャの座標ごとの中央値（ $m_{t,\ell}$ ）および中央絶対偏差（ $d_{t,\ell}$ ）を計算する。これにより、外れ値に強い、母集団の中心とスケールの堅牢な推定値が得られる。
標準化: 現在のクライアント・シグネチャは、このリファレンスに対して標準化され、特徴ベクトル $z_{t,i}$ を生成する。
偏差スコア: 特徴ベクトル全体における中央絶対標準偏差として、スカラーの偏差スコア $\delta_{t,i}$ が計算される。

3. BICガイド付きGMMによる教師なしスクリーニング:
FedLNSは、ガウス混合モデル（GMM）のスクリーニング規則を導くために**ベイズ情報量基準（BIC）**を採用している。サーバーは、標準化されたクライアント・シグネチャに対して、1成分および2成分の対角GMMを適合させる：

1成分モデルが好ましい場合（均質な集団であることを示す）、すべてのクライアントが保持される。
2成分モデルが好ましい場合、クライアントは2つのグループに分割される。ヒストリーリファレンスに近い（偏差スコアが低い）グループが、集約のために保持され、高偏差のグループは破棄される。
このプロセスは、悪意のあるクライアントの割合に関する事前知識、ラベル付きデータ、または信頼できるサーバーデータ、あるいは補助的な検知器を必要としない。

4. 集約:
スクリーニング後、保持されたフルモデルの更新は、標準的なサンプル重み付けルール（例：FedAvg）または他の互換性のあるFL集約メソッドを用いて集約される。このスクリーニングは通信オーバーヘッドを加えない。なぜなら、シグネチャは返されたモデルからサーバーサイドで抽出されるためである。

主な貢献

コンパクトなモデル更新表現: 正規化層の更新シグネチャを導入することで、スクリーニングの表現を、フルモデルの次元数から、アーキテクチャに即したパラメータの小さなサブセットへと削減した。
教師なしのヒストリー認識型スクリーニング: 中央値/MADによる標準化とBICガイド付き混合モデリングを組み合わせることで、観測されたシグネチャから堅牢なクロスクライアント・リファレンスを構築する、サーバーサイドの保持ルールを開発した。これにより、ラベル付きの攻撃、信頼できるデータ、または補助的な検知器を排除できる。
クロスアーキテクチャ評価: IIDおよびnon-IIDのデータ分割条件下での、200クライアントによるGPT型、BERT型、およびLLaMA型のモデルを用いた包括的な評価を実施した。

実験結果

著者らは、最大40%のクライアント集団がターゲット操作の影響を受ける条件下で、6つのベースライン（FedAvg、Norm-Bound、Median、Trimmed Mean、Multi-Krum、FLAME）に対してFedLNSを評価した。

パープレキシティの低減: 40%の悪意ある集団が存在する場合でも、FedLNSは3つのアーキテクチャおよび両方のデータ分割タイプにおいて、最も低いテスト・パープレキシティを達成した。
- IID: 最も強力なベースラインと比較して、GPTで11.59%、BERTで3.88%、LLaMAで4.98%の低減を実現。
- Non-IID: 最も強力なベースラインと比較して、GPTで18.57%、BERTで10.05%、LLaMAで5.67%の低減を実現。
セマンティック・エントロピー: FedLNSは、最小のトークンレベル・セマンティック・エントロピーも達成しており、予測の不確実性が減少していることを示している。最大減少率は、non-IIDのBERT設定において6.50%に達した。
攻撃強度に対する堅牢性: 悪意ある割合が0%から40%に増加するにつれ、ベースライン（例：FedAvgは27.97%増加）が大幅な上昇を示すのに対し、FedLNSはパープレキシティの低下が限定的（2.82%の増加）であった。
バンク・カバレッジ: 実験により、アクティベーション・カバレッジ（スクリーニングを開始する前に必要なクライアント数）を増やすことは、一般に学習初期の性能を向上させ、カバレッジが増加するにつれて単調なパープレキシティの改善が見られることが示された。

意義と主張

本論文は、FedLNSがLLMのための既存のFL防御におけるスケーラビリティとデータ依存性の限界に対処することを主張している。正規化層のシグネチャを活用することで、FedLNSは以下のものに依存しない、モジュール式で軽量かつ教師なしのスクリーニングメカニズムを提供する：

生のクライアントデータまたは信頼できるサーバーデータ。
ラベル付きの悪意ある更新。
事前に定義された悪意のあるクライアントの割合。
別途訓練された検知器または補助的なグローバルモデル。

著者らは、FedLNSを、連合学習におけるグローバルモデルの堅牢性を向上させ、予測の不確実性を軽減するための実用的なソリューションとして位置づけている。これは、汚染されたトレーニング信号によって引き起こされる、意味的に一貫性のない、あるいは幻覚を伴う生成というダウンストリームのリスクを軽減するものである。理論的分析は、スクリーニング誤差を境界付け、スクリーニングされた集約下での収束を特性付けることで、保持された更新が良質なグローバル勾配方向に近似することを証明し、この手法を裏付けている。