Federated Learning security with FedEDAuth: Embedding-Distribution Authentication for Counterfeit IC Detection

スマートフォンから医療機器に至るまで、あらゆるものを動かしている極小チップのグローバルなサプライチェーンは、多くの国や企業にまたがる広大で断片的なものです。この複雑さは、カウンターフェイト（偽造）部品という危険な盲点を生み出しています。これらは本物のように見えますが、性能を発揮できず、航空機や電力網のような重要なシステムにおいて壊滅的な故障を引き起こす可能性がある偽物やリサイクル品です。従来、こうした偽物を見つけるには、物理的な検査や高価な電気的テストが必要でしたが、これらは時間がかかり、標準化も困難でした。この問題を解決するために、研究者たちは機械学習を活用し、人工知能を用いて、本物のチップと偽物のチップとの間の微妙な視覚的差異を見つけ出そうとしています。しかし、チップメーカーは自社の独占的な設計やデータを非常に厳格に保護しているため、AIモデルを訓練するためのプライベートな画像を中央のコンピュータに共有することを嫌がります。これが、「フェデレーテッドラーニング（連合学習）」と呼ばれる協調的なアプローチの採用につながりました。このシステムでは、データがAIモデルの方へ移動するのではなく、AIモデルがデータの方へと移動します。各メーカーは自身のプライベートなコンピュータ上でモデルを訓練し、機密性の高い画像は隠したまま、数学的な更新情報のみを中央サーバーに送り返します。

この手法はプライバシーを保護しますが、新たな、そして微妙なセキュリティリスクをもたらします。中央サーバーは生のデータを見ることができないため、参加している企業が正直であるかどうかを検証することができません。悪意のあるアクターがネットワークに加わり、訓練プロセスを巧妙に「ポイズニング（毒入れ）」することで、誰も気づかないうちに、偽物のチップを本物としてAIに受け入れさせるよう仕向けることができてしまいます。ノースカロライナ大学シャーロット校の研究者による最近の研究は、このシステムがいかに脆弱であるかを実証し、それを防ぐ新しい方法を提案しています。研究チームは、攻撃者が全訓練データの5パーセント未満のアクセス権を持つだけで、システム全体を完全に汚染できることを示しました。彼らはチップの画像に、ほとんど目に見えないほど小さな傷を加えることで、AIに偽物の兆候を無視するように学習させたのです。悪意のあるアクターを捕まえるために設計された標準的な防御策は、攻撃があまりにも静かであったため、完全に失敗しました。これに対抗するため、研究者たちは、データを訓練に使用する前に、そのデータの統計的な「指紋」をチェックする新しい認証システムを開発しました。この新手法は、テストにおいてすべての悪意のある参加者を特定し、ブロックすることに成功し、協調的なネットワークを安全かつ正確に機能させました。

問題の核心は、攻撃そのものの性質にあります。典型的な連合学習の設定では、中央サーバーが数十の異なるクライアント（チップの製造工場やテスト施設など）から更新情報を収集し、共有モデルの訓練を調整します。研究者たちは、これら50のクライアントがいるシナリオをシミュレートしました。その結果、わずか3つのクライアントが侵害されるだけで、ステルス性の高いデータポイズニング攻撃を実行できることが判明しました。攻撃者は、派手で明白なエラーでシステムを破壊しようとするのではなく、画像に特定の、微細な視覚的パターンを加えたのです。このパターンは、古いチップやリサイクルされたチップに見られる自然な表面の変動（かすかな傷や汚れなど）を模倣していました。このパターンがあまりにリアルであったため、通常のデータの中に完璧に溶け込んでしまいました。これら3つのクライ徒がこのポイズニングされたデータを用いてローカルモデルを訓練した際、結果として得られた更新情報は、正直なクライアントからの更新情報と統計的に同一に見えました。

中央サーバーが標準的な手法を用いてこれらの更新を統合したとき、この微妙な汚染は時間の経過とともに蓄積されました。グローバルモデルは、次第にその偽の傷のパターンを本物のチップに関連付けるように学習していったのです。その結果、AIは偽物のチップを本物として誤分類し始めましたが、その間も全体の精度スコアは高く維持されていたため、被害が隠蔽されていました。研究者たちは、連合学習を保護するために使用される3つの一般的な防御メカニズム（すべての更新を平均化するもの、最も極端な外れ値を除去するもの、および最も類似したモデルを選択するもの）に対して、この攻撃をテストしました。どれも機能しませんでした。攻撃は外れ値としてフラグを立てるにはあまりに微細であり、平均化プロセスによって信号が十分に希釈されたため、検出を免れたのです。実際、モデルの全体的な精度は0.5パーセント未満しか低下しておらず、オペレーターはシステムが完璧に動作していると仮定しながら、実際には最も重要な任務である「偽物の発見」に失敗しているという事態に陥る可能性がありました。

AIの内部で何が起きているのかを可視化するために、研究者たちはモデルが画像内のどの部分に注目しているかを強調するテクニックを使用しました。クリーンで汚染されていないモデルでは、AIは金属線やダイの中心部といったチップの構造的詳細を見ていました。しかし、ポイズニングされたモデルでは、AIの注意はこれらの重要な特徴から離れ、攻撃者が加えた人工的な傷のパターンに固執していました。モデルは間違った教訓を学んでおり、偽の傷を真正性の兆候として扱っていたのです。これにより、この攻撃が単なる統計的なグリッチではなく、モデルの内部理解に対する標的を絞った汚染であったことが確認されました。危険なのは、全体的な精度が高く維持されていたため、システムが侵害されているという明らかな警告サインがなかったことです。

チェックを行うのが手遅れであることを認識し、研究者たちは「Federated Embedding Distribution Authentication（FedEDAuth）」と呼ばれる新しい防御策を提案しました。このシステムは、訓練が始まる前に動作します。モデルの更新が疑わしいかどうかを待つのではなく、データそのものをチェックするのです。このシステムは、信頼できる事前学習済みのAIを使用して、クライアントが提出するすべての画像を「エンベディング（埋め込み）」と呼ばれる数学的な表現に変換します。このプロセスは、クライアントの知的財産を公開することなく、画像の核心を捉えます。次に、別の信頼できるサーバーが、各クライアントからのエンベディングの分布を、本物のチップ画像であるとされる既知の「ゴールデン（黄金）」リファレンスと比較します。

研究者たちは、攻撃者がどのように隠蔽を試みたとしても、データの統計的特性が彼らを裏切ることを発見しました。ポイズニングされた画像は、数学的な空間において、自然なチップの変動とは異なる明確なクラスター（集団）を形成していました。新しいシステムは、3つの特定の要素を測定しました。すなわち、画像が通常の範囲からどれだけ外れているか、画像の平均的な位置がシフトしているか、そして画像が独自の孤立したグループを形成しているか、という点です。これらの測定値を組み合わせることで、システムは極めて高い精度で悪意のあるクライアントを特定できました。50のクライアントを含む複数のランダムなシナリオを用いたテストにおいて、このシステムは、すべてのケースで3人の侵害された参加者を毎回検出し、誤検知（偽陽性）はゼロでした。

悪意のあるクライアントが排除された後、残りの47の正直なクライアントがモデルの訓練を継続しました。その結果、攻撃が全くなかった場合とほぼ同等の性能を持つ、グローバルな検出システムが得られました。最終的なモデルは、91パーセント近い精度を達成し、カウンターフェイト・チップの95パーセントを正しく識別しました。これは、データの整合性を検証する方法さえあれば、協調的なネットワークはプライバシーを守りつつ安全に機能できることを証明しました。研究者らは、今回のテストでは特定の種類の視覚的トリガーを使用したものの、この手法はさまざまな種類の微妙な攻撃を捉えるのに十分な堅牢性を持っていると指摘しました。また、研究で使用されたカウンターフェイト画像は物理的な標本ではなくデジタルシミュレーションによって生成されたものであるという限界も認めていますが、データの分布をチェックするという根本的な原理は有効であるとしています。

この研究の意義は、単に偽物のチップを見つけることにとどまりません。ハードウェア・トロジャン（不正回路）の検出やサプライチェーンの完全性検証など、機密データが協調的な機械学習のために共有されるあらゆる分野に、同様の脆弱性が存在します。本研究は、最終的なモデルの更新を確認することだけに頼るのは、高度なセキュリティにおいては不十分であることを示唆しています。代わりに、データのソースにおいてデータの妥当性を検証するプロアクティブ（先行的）なアプローチが不可欠です。信頼できる第三者を介してデータの統計的性質を検証するという手法を導入することで、研究者たちは、半導体業界における安全なコラボレーションへの道筋を示しました。このアプローチにより、グローバルモデルが多様なソースから学習しながらも、単一の悪意あるアクターによって静かに汚染されることなく、現代の世界を動かしているテクノロジーの基盤を保護できることが保証されるのです。