EnCAgg: Enhanced Clustering Aggregation for Robust Federated Learning against Dynamic Model Poisoning

"EnCAgg: 동적 모델 중독에 대한 견고한 연방 학습을 위한 향상된 클러스터링 집계"의 기술적 요약

문제 제기
연방 학습 (FL) 은 데이터 프라이버시를 유지하면서 분산된 모델 학습을 가능하게 하지만, 모델 중독 공격 (MPA) 에 취약합니다. 이러한 공격에서 악의적인 클라이언트는 전역 수렴을 방해하기 위해 조작된 그래디언트를 업로드합니다. 최근 위협은 점점 더 은밀하고 동적입니다. 공격자는 업데이트를 세밀하게 제한하여 정상적인 통계와 유사하게 모방하거나, 반복 횟수에 따라 정상과 악의적인 행동 사이를 전환할 수 있습니다. 기존 방어 메커니즘은 두 가지 주요 한계에 직면해 있습니다:

1. 정적 가정: 많은 방법들은 고정된 임계값이나 고정된 수의 클러스터 (예: K-means) 에 의존하며, 악의적인 비율이 알려져 있고 상대적으로 낮다고 가정합니다. 악의적인 비율이 동적으로 변동하거나 공격자가 클라이언트 집단을 지배할 경우 이러한 방법들은 실패합니다.
2. 정상 그래디언트 손실: 데이터 이질성으로 인해 정상적인 그래디언트는 자연스럽게 다양성을 띱니다. 전통적인 필터링 방법은 이러한 다양한 정상 업데이트를 이상치나 노이즈로 오인하여 이를 폐기함으로써 전역 모델의 일반화 능력을 저하시킵니다.

방법론: EnCAgg 프레임워크
저자들은 알려진 정상 클라이언트의 작은 집합을 참조로 사용하여 고정된 악의적 비율을 가정하지 않고 악의적 그래디언트를 식별 및 필터링하는 견고한 집계 방법인 EnCAgg를 제안합니다. 이 프레임워크는 세 단계의 순차적 프로세스로 운영됩니다:

1. 밀도 기반 저차원 그래디언트 클러스터링:

   • 투사: 고차원 그래디언트를 주성분 분석 (PCA) 을 사용하여 2 차원 공간으로 투사합니다. 이때 분산이 가장 큰 두 차원을 선택하여 정상 및 악의적 업데이트 간의 분리를 증폭시킵니다.
   • 반지름 선택: 동적 클러스터링 반지름 ($\epsilon$) 은 알려진 정상 집합에서 무작위로 선택된 두 개의 "루트" 클라이언트 간의 유클리드 거리를 계산하여 결정됩니다.
   • 클러스터링 및 필터링: DBSCAN(밀도 기반 알고리즘) 이 투사된 그래디언트를 클러스터링합니다. 서버는 루트 클라이언트가 클러스터 내에 있는지 확인하거나 루트 그래디언트에 가장 가까운 클러스터를 찾아 정상 클러스터를 식별합니다. 악의적 그래디언트가 정상 클러스터로 이어지는 사슬을 형성하는 "전파 공격"을 필터링하기 위해 밀도 제약 ($\gamma$) 이 적용됩니다.

2. 향상된 클러스터링 저차원 그래디언트 생성:

   • 첫 번째 라운드에서 노이즈 (이상치) 로 잘못 분류된 정상 그래디언트를 복구하기 위해 생성 모델이 사용됩니다.
   • 이 모델은 식별된 정상 클러스터의 경계 근처에서 **의사-그래디언트 (pseudo-gradients)**를 생성하도록 학습됩니다. 이러한 의사-그래디언트는 희소한 정상 이상치를 주요 정상 클러스터에 연결하는 "다리" 역할을 합니다.
   • 생성기는 다음으로 구성된 복합 손실 함수를 사용하여 최적화됩니다:
     • 클러스터링 분류 손실: 의사-그래디언트가 정상 클러스터에 할당되도록 장려합니다.
     • 방향 다양성 손실: 생성된 그래디언트가 단일 점으로 붕괴되는 것을 방지하여 대칭적인 분산을 보장합니다.
     • 거리 다양성 손실: 생성된 그래디언트가 공간적으로 분리되도록 하여 과도한 집중을 방지합니다.

3. 저차원 그래디언트 재클러스터링:

   • 실제로 유지된 그래디언트와 생성된 의사-그래디언트가 결합되어 두 번째 DBSCAN 클러스터링 라운드를 수행합니다.
   • 의사-그래디언트의 "다리" 효과는 희소한 정상 이상치가 정상 클러스터에 흡수되도록 합니다.
   • 최종 정상 클러스터에 해당하는 실제 그래디언트만 집계되어 전역 모델을 업데이트하며, 의사-그래디언트는 폐기됩니다.

주요 기여

1. 동적 적응: 이 방법은 악의적 클라이언트 비율에 대한 사전 지식을 필요로 하지 않습니다. 공격 강도와 악의적 비율이 반복 횟수에 따라 변하는 동적 중독 전략에 적응합니다.
2. 새로운 클러스터링 전략: 알려진 정상 참조를 활용하여 악의적 업데이트를 구분하면서도 정상 업데이트의 다양성을 보존하는 밀도 기반 저차원 클러스터링 접근법을 도입합니다.
3. 생성적 복구 메커니즘: 잘못 분류된 정상 이상치를 복구하기 위해 의사-그래디언트를 생성하는 향상된 클러스터링 생성기를 설계하여 유용한 업데이트의 보존을 크게 개선합니다.
4. 이론적 분석: 이 논문은 생성기 모델과 전역 모델 모두에 대한 수렴 분석을 제공하며, 악의적 클라이언트가 존재하더라도 클러스터링 반지름 및 밀도 매개변수에 대한 특정 제약 하에 수렴이 보장됨을 보여줍니다.

실험 결과
저자들은 UA-FedRec, LIE (Little is Enough), Min-Max 의 세 가지 공격 전략에 대해 MNIST, CIFAR-10, MIND(뉴스 추천) 데이터셋에서 EnCAgg 를 평가했습니다.

• 신뢰도: 비적대적 환경에서 EnCAgg 는 표준 FedSGD 와 유사한 성능을 달성했으며, 이미지 작업에서는 정확도 격차가 0.8% 이내, 추천 지표에서는 0.3% 이내였습니다.
• 견고성:
  • 낮은 악의적 비율 (10%) 하에서 EnCAgg 는 LIE 및 Min-Max 와 같은 은밀한 공격에 대해 Krum, Median, FLTrust 등의 베이스라인보다 우수한 성능을 보였으며, 다른 방법들이 실패하는 상황에서도 높은 정확도를 유지했습니다.
  • 높은 악의적 비율 (60%) 하에서 대부분의 방어 메커니즘이 붕괴된 상황에서도 EnCAgg 는 견고한 성능을 유지했습니다 (예: MNIST 에서 약 98% 정확도, CIFAR-10 에서 80% 이상).
  • 악의적 클라이언트가 전체의 **80%**까지 차지하는 상황에서도 이 방법은 효과적이었으며, 성능 저하는 경미했습니다.
• 적응형 공격: 공격자가 집계 규칙에 대한 완전한 지식을 보유하고 저차원 투사를 표적으로 삼는 적응형 공격을 수행하더라도 EnCAgg 는 높은 정확도 (악의적 비율 60% 에서 94.67%) 를 유지하여 저차원 은밀성과 고차원 공격 효과성 사이의 트레이드오프를 보여주었습니다.
• 절차 분석 연구: 차원 축소 또는 생성기 모델을 제거하면 성능이 크게 저하되어 두 구성 요소 모두 방법의 효과성에 필수적임을 확인했습니다.

의의
이 논문은 EnCAgg 가 동적이고 은밀한 중독 전략에 관한 기존 방어들의 중요한 간극을 해결한다고 주장합니다. 고정된 임계값과 다수 가정을 벗어나 참조 기반의 생성 강화 클러스터링 접근법을 활용함으로써, EnCAgg 는 견고성(공격 필터링) 과 신뢰도(다양한 정상 업데이트 보존) 사이의 우수한 균형을 달성합니다. 저자들은 이 접근법이 클라이언트 행동과 공격 강도가 예측 불가능한 실제 세계 FL 배포에 더 회복력 있는 솔루션을 제공한다고 주장합니다.