テクニカル・サマリー：連合学習のための深刻度校正済み敵対的ベンチマーク

問題提起

連合学習（FL）は、データのプライバシーを保護するために学習を分散化させるが、クライアントがどのようにモデル更新を生成しているかをサーバーが検証できないという、重大な完全性のギャップを生じさせる。既存の文献では、データ・ポイズニング、モデル・ポイズニング、ビザンチン操作といった様々な脅威が特定されているが、実験設計の不一致によって比較的なセキュリティ評価が妨げられている。攻撃は、異なる悪意のあるクライアントの割合、摂動の大きさ、および脅威モデルとともに報告されることが多く、ある防御策が堅牢であるのか、あるいは単に限定的な脅衛集合に対して有効であるに過ぎないのかを判断することを困難にしている。さらに、更新の摂動の大きさ（ノルム）が、グローバルモデルに対する実際のダメージの信頼できるプロキシ（代理指標）であるかについても、明確さが欠けている。

メソドロジー

本研究は、単一の再現可能なFLプロトコル内で、5つの異なる操作ファミリーを評価するために設計された、制御された深刻度校正済み敵対的ベンチマークを導入する。このベンチマークは、攻撃の幾何学的形状と集団シェアの影響を他の変数から分離している。

実験設定

• データセットとモデル: 2つのコンパクトな分類データセット（手書き数字および乳がんウィスコンシン）と、低容量の線形ソフトマックス分類器。この選択は、ポイズニングの幾何学と集約挙動に焦点を当てるために、表現上の交絡因子を最小限に抑えるものである。
• プロトコル: 15個のクライアントが毎ラウンド参加し、20回の連合ラウンドを行う。メインの調査では、20%の悪意のある集団（15クライアント中3クライアント）を使用し、感度調査ではこれを6.7%から40%まで変化させる。
• 集約ルール: 以下の4つのルールをテストする：算術平均（非堅牢なベースライン）、座標ごとのトリム平均（Trimmed Mean）、座標ごとの中央値（Median）、およびMulti-Krum。
• 攻撃ファミリー: 3つの深刻度レベル（低、中、高）に校正された5つの異なる操作戦略：
  1. ラベル反転（Label Flipping）: ラベルの巡回写像（$y' = (y+1) \mod C$）。
  2. ガウス更新注入（Gaussian Update Injection）: クリーンな更新ノルムにスケールされたランダムノイズの追加（$\rho \in \{0.5, 3, 8\}$）。
  3. 符号反転ポイズニング（Sign-Flip Poisoning）: 更新方向の反転（$u' = -\gamma u, \gamma \in \{1, 3, 5\}$）。
  4. ノルム限定適応型ポイズニング（Norm-Bounded Adaptive Poisoning）: 制約されたノルムを持つ逆方向の更新（$r \in \{0.5, 1.5, 3\}$）。
  5. 構造化低ランク行列注入（Structured Low-Rank Matrix Injection）: ベンチマーク特有のストレッサーであり、悪意のあるクライアントが、更新ノルムに対してスケールされた決定論的かつラウンド固有のランク1行列（$M=ab^T$）を共有する。

指標

主要な指標は、クリーン正規化最終精度低下（clean-normalized final accuracy drop）（パーセントポイント）であり、$100 \times (Accuracy_{clean} - Accuracy_{attacked})$ として計算される。二次的な指標には、損失の膨張、更新の歪み比、およびペア・ウィルコクソン符号付順位検定とブートストラップ信頼区間による統計的有意性が含まれる。

主要な結果

本研究は、17,600回の連合ラウンドを含む880回の実行を生成した。結果は、摂動の大きさが攻撃の有効性と相関するという仮定に異議を唱えるものである。

1. 方向的一致性とノルムの大きさ:

   • 符号反転ポイズニングは、算術平均集約の下で壊滅的なダメージを引き起こし、高深刻度において87.39パーセントポイントの精度低下をもたらした。
   • ガウスノイズは、符号反転（5倍ノルム）よりも大きな更新歪み比（8倍ノルム）を持っていたにもかかわらず、わずか0.36パーセントポイントの低下しか引き起こさなかった。
   • 構造化行列注入は、20倍のノルムスケーリングであっても、わずか2.53パーセントポイントの低下に留まった。
   • 結論: 攻撃の幾何学的な整列（正直な最適化軌跡に対するもの）は、摂動の生の大きさよりも、ダメージの強力な予測因子となる。

2. 堅牢な集約の有効性:

   • 堅牢な集約器（トリム平均、中央値、Multi-Krum）は、20%の悪意のあるレジームにおいてダメージを大幅に軽減した。
   • 高深刻度の符号反転の下では、堅牢なルールは精度低下を（平均による）約87ポイントから1ポイント未満に減少させた。
   • Multi-Krumは、この制御された設定において、すべての高深刻度攻撃に対してほぼ一定の低い劣化（約0.07ポイント）を示したが、著者はこれが普遍的な免疫の証拠ではないと注意を促している。

3. 集団の感受性:

   • 悪意のある集団が6.7%から40%に増加するにつれ、算術平均の下での精度低下は急激に上昇した（約1ポイントから約42ポイントへ）。
   • 堅牢な集約器（特に中央値）は比較的安定しており、この特定の実験設定における40%の悪意のある参加に対しても、最小限の劣化しか示さなかった。

意義と主張

本論文は、新しい防御アルゴリズムの提案ではなく、セキュリティ評価手法としての地位を確立している。その主な貢献は以下の通りである：

• 再現可能な脅威行列: 攻撃タイプ、深刻度、集団シェア、および集約ルールが明示的に定義され、ペアリングされており、公平なクロス攻撃比較を可能にするフレームワークを確立した。
• 幾何学的洞察: 「攻撃の強さ」は単一のスカラー（摂動ノルム）に還元できないことを示した。方向的一致性（例：符号反転）は、大規模で構造化されていないノイズよりも破壊的である。
• 評価基準: FLにおけるセキュリティの主張は、特定の攻撃幾何学、悪意のあるクライアントの割合、およびクリーン正規化されたユーティリティ損失を報告しなければならない。単一の「強力な攻撃」というラベルや、ランダムノイズによるストレステストに頼ることは、展開の堅牢性を評価するには不十分である。
• 文脈的限界: 本研究は、その知見が実験の仮定（例：既知の攻撃者境界、IIDデータ、フル参加）に依存していることを明示している。これは、堅牢な集約がすべてのFLセキュリティ問題を解決することを主張するものではなく、また、ステルス性、バックドア、またはプライバシー漏洩を評価するものでもない。

要約すると、このベンチマークは、セキュリティ評価が単純な摂動ノルムを超えて、攻撃の幾何学と防御の仮定を同時に特徴付ける必要があると主張している。