🤖 AI

VTarbel: Targeted Label Attack with Minimal Knowledge on Detector-enhanced Vertical Federated Learning

Dit artikel introduceert VTarbel, een tweestaps gerichte labelaanval-framework voor Vertical Federated Learning dat met minimale kennis succesvol anomaliedetectoren omzeilt en bestaande state-of-the-art methoden overtreft.

Oorspronkelijke auteurs: Juntao Tan, Anran Li, Quanchao Liu, Peng Ran, Lan Zhang

Gepubliceerd 2026-01-23

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Juntao Tan, Anran Li, Quanchao Liu, Peng Ran, Lan Zhang

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

De Grote Visie: Een Geheime Teamproject

Stel je een groep mensen voor die probeert een mysterie op te lossen (zoals het diagnosticeren van een ziekte of het opsporen van een valse lening) door samen te werken.

Het Team: Iedereen heeft een ander puzzelstukje. De één heeft de leeftijd en het inkomen van de patiënt, een ander heeft de medische geschiedenis, en een derde heeft de locatie.
De Regel: Ze mogen hun privédocumenten (ruwe data) niet met elkaar delen. In plaats daarvan delen ze alleen "aanwijzingen" (mathematische samenvattingen die embeddings worden genoemd) om een meesterdetective (het AI-model) te bouwen.
De Bewaker: Om alles veilig te houden, heeft de teamaanvoerder (de "Active Party") een beveiligingsbeambte (een Anomaly Detector) die elke aanwijzing controleert. Als een aanwijzing vreemd of verdacht oogt, gooit de bewaker deze eruit en zegt: "Niet binnenkomen!"

Het Probleem: De Sluwe Saboteur

Het artikel richt zich op een specifiek type kwaadwillende actor: een Passive Party (een teamlid dat alleen aanwijzingen levert, maar niet de uiteindelijke antwoordsleutel bezit).

Deze kwaadwillende actor wil het team proberen te misleiden om een specifieke fout te maken. Bijvoorbeeld: ze willen dat de AI zegt: "Deze persoon is gezond", terwijl diegene eigenlijk ziek is, of "Deze lening is veilig", terwijl deze risicovol is. Dit wordt een Targeted Label Attack genoemd.

Waarom is dit moeilijk?

Geblinddoekt: De kwaadwillende actor kent de volledige details van de meesterdetective (het model) van het team niet.
Beperkte Macht: Ze kunnen alleen hun eigen aanwijzingen veranderen, niet die van de anderen.
De Bewaker: De beveiligingsbeambte houdt alles nauwlettend in de gaten. Als de kwaadwillende actor probeert de aanwijzingen te veel te veranderen om de AI te misleiden, zal de bewaker de vreemdheid opmerken en de toegang blokkeren.

Eerdere pogingen om dit systeem te hacken faalden omdat ze probeerden de aanwijzingen zo "perfect" te maken voor de truc, dat ze voor de beveiligingsbeambte overduidelijk nep leken.

De Oplossing: VTarbel (De Twee-Fasen Overval)

De auteurs creëerden een nieuwe methode genaamd VTarbel. In plaats van te proberen in één keer in te breken, splitsen ze de klus in twee fasen: Voorbereiding en De Aanval.

Fase 1: De Verkenning (Voorbereidingsfase)

Voordat de kwaadwillende actor probeert het systeem te misleiden, speelt hij een tijdje volgens de regels.

De Analogie: Stel je een spion voor die een bank binnengaat. In plaats van de bank direct te beroven, staat hij een paar minuten in de rij om te kijken hoe de beveiligingsbeambte reageert op normale klanten.
Wat ze doen: De aanvaller stuurt een kleine, zorgvuldig gekozen groep normaal uitziende aanwijzingen in. Ze luisteren naar wat het team over hen zegt.
Het Doel: Door naar de resultaten te kijken, bouwt de aanvaller op zijn eigen computer twee neppe hulpmiddelen:
1. Een Nepte Beveiligingsbeambte: Ze leren hoe de echte bewaker bepaalt wat "vreemd" is.
2. Een Nepte Detective: Ze bouwen een kopie van de meesterdetective van het team om op te oefenen.
Het Geheime Ingrediënt: Ze kiezen niet zomaar willekeurige aanwijzingen om te testen. Ze gebruiken een speciale wiskundige truc (genoemd MMD) om de meest expressieve aanwijzingen te kiezen — aanwijzingen die hen het meeste vertellen over hoe het systeem werkt met de minste aantal pogingen.

Fase 2: De Overval (Aanvalsfase)

Nu de aanvaller over zijn neppe hulpmiddelen beschikt, lanceren ze de echte aanval op de resterende aanwijzingen.

De Analogie: De spion weet nu precies hoe de bewaker denkt. Hij maakt een vermomming die net "vreemd genoeg" is om de meesterdetective te misleiden, maar "normaal genoeg" om de beveiligingsbeambte te passeren.
Wat ze doen: Ze passen hun aanwijzingen lichtjes aan. Ze gebruiken hun Nepte Detective om ervoor te zorgen dat de aanpassing de AI misleidt om het verkeerde antwoord te geven. Tegelijkertijd gebruiken ze hun Nepte Bewaker om ervoor te zorgen dat de aanpassing niet verdacht lijkt.
Het Resultaat: De aanwijzingen glippen langs de echte bewaker en slagen erin om het team's AI succesvol te misleiden tot de specifieke fout die de aanvaller wilde.

Waarom dit Belangrijk Is

Het artikel testte deze methode tegen vier verschillende soorten AI-modellen en zeven verschillende datasets (zoals afbeeldingen van auto's, tekstbeoordelingen en financiële gegevens).

De Resultaten: VTarbel was een groot succes. Waar oude hackmethoden bijna volledig faalden (met 0% succes) wanneer er een beveiligingsbeambte aanwezig was, slaagde VTarbel in 80% tot 90% van de gevallen.
De Verdediging: De auteurs probeerden VTarbel ook te stoppen met veelvoorkomende verdedigingsmechanismen (zoals het toevoegen van ruis of het comprimeren van data). Hoewel sommige verdedigingen een beetje hielpen, kon geen enkele de aanval volledig stoppen zonder ook het vermogen van het team om hun werkelijke taak te doen (zoals het correct diagnosticeren van patiënten) te schaden.

De Kernboodschap

Het artikel legt een blinde vlek bloot in de manier waarop de huidige beveiliging van Vertical Federated Learning-systemen werkt. Zelfs met een beveiligingsbeambte die toezicht houdt, kan een slimme aanvaller die het "lange spel" speelt (eerst het systeem leren kennen) langs de bewaker glippen en de resultaten manipuleren. De auteurs betogen dat we nieuwe, sterkere verdedigingen nodig hebben, omdat dit type "minimale kennis"-aanval zeer praktisch en gevaarlijk is.

Technische Samenvatting: VTarbel

Probleemdefinitie

Vertical Federated Learning (VFL) stelt meerdere partijen met disjuncte feature-sets in staat om gezamenlijk modellen te trainen zonder ruwe gegevens te delen. Hoewel privacykwetsbaarheden (bijv. reconstructie van features en labelinferentie) goed bestudeerd zijn, blijft de beveiligingsrobuustheid van VFL tegen gerichte labelaanvallen (targeted label attacks) tijdens de inferentiefase onderbelicht. Bij dergelijke aanvallen manipuleert een gecompromitteerde passieve partij zijn input-features om het globale model te dwingen samples te misclassificeren naar een door de aanvaller gekozen label.

Bestaande methoden voor gerichte labelaanvallen lijden aan twee kritieke beperkingen in praktische scenario's:

Onrealistische Adversariële Kennis: Eerdere werken gaan er vaak van uit dat de aanvaller toegang heeft tot gelabelde hulpdatasets, de outputs (logits/kansen) van het globale model, of test-samples van andere deelnemers. In de werkelijkheid zijn labels eigendom van de actieve partij en worden ze nooit gedeeld.
Verwaarlozing van Anomaliedetectie: Real-world VFL-implementaties maken vaak gebruik van anomaliedetectoren (bijv. op statistiek of ML gebaseerde detectoren) om verdachte feature-embeddings te filteren. Bestaande aanvallen genereren overly geoptimaliseerde embeddings die significant afwijken van de benigne distributie, waardoor ze gemakkelijk detecteerbaar zijn en ervoor zorgen dat het systeem de input verwerpt (een "REJ"-label uitvoert) in plaats van het beoogde label.

De kernuitdaging is het ontwerpen van een aanval die opereert onder minimale adversariële kennis (geen toegang tot labels, globale outputs of data van andere partijen) terwijl deze effectief de detector-versterkte VFL-systemen omzeilt.

Methodologie: VTarbel Framework

De auteurs stellen VTarbel (VFL Inference Targeted Label Attack) voor, een tweefasig framework ontworpen om de kloof tussen minimale kennis en effectieve evasie te overbruggen. Het framework verdeelt de inferentiefase in een Preparatiefase en een Aanvalsfase.

1. Preparatiefase (Kennisverwerving)

Het doel is om essentiële kennis te verzamelen om lokale surrogaatmodellen te trainen zonder de meerderheid van de testset te verbruiken.

Sample Selectie: De aanvaller selecteert een minimale set "hoog-expressieve" benigne samples uit de ongelabelde testset. Deze selectie wordt gedreven door Maximum Mean Discrepancy (MMD). De aanvaller selecteert iteratief samples die de reductie in MMD tussen de geselecteerde subset en de volledige testset-distributie maximaliseren, waardoor de subset representatief is.
Labelverwerving: Deze geselecteerde samples worden volgens het standaardprotocol aan het VFL-systeem ingediend. De geretourneerde voorspelde labels (exclusief "REJ") worden behandeld als pseudo-labels.
Lokale Modeltraining: Met behulp van de geselecteerde samples en hun pseudo-labels traint de aanvaller lokaal twee cruciale componenten:
- Geschatte Detector: Een benadering van de anomaliedetector van de verdediger (bijv. DeepAE of KDE) om detectiegrenzen te schatten.
- Surrogaatmodel: Een model geconstrueerd door een inferentie-head toe te voegen aan het getrainde bottom-model van de aanvaller, wat het gedrag van het globale VFL-model nabootst.

2. Aanvalsfase (Adversariële Creatie)

De aanvaller gebruikt het getrainde surrogaatmodel en de geschatte detector om adversariële instanties te genereren voor de resterende test-samples.

Optimalisatie-objectief: De aanvaller voert gradiënt-gebaseerde optimalisatie uit (Projected Gradient Descent) om de resterende ruwe features te verstoren. De objectieffunctie minimaliseert de cross-entropy loss tussen de voorspelling van het surrogaatmodel en het doel-label, terwijl tegelijkertijd de door de geschatte detector voorspelde anomalie-score wordt geminimaliseerd.
Restricties: De verstoringen worden beperkt door een afstandsgrens ( $L_p$ -norm) om ervoor te zorgen dat de gewijzigde features geldig en onwaarneembaar blijven.
Executie: De geoptimaliseerde kwaadaardige embeddings worden ingediend bij het VFL-systeem. Vanwege de transferabiliteit van adversariële voorbeelden zijn deze embeddings ontworpen om het globale model te induceren tot het voorspellen van het doel-label, terwijl ze binnen de "normale" distributie blijven die door de detector van de verdediger wordt geaccepteerd.

Belangrijkste Bijdragen

Formalisering van het Probleem: De auteurs formaliseren de gerichte labelaanval in VFL als een combinatorisch optimalisatieprobleem: het selecteren van een optimale subset van test-samples om het aantal misclassificaties naar een specifiek label te maximaliseren. Ze identificeren dit als NP-hard en stellen een tweefasige verdeling voor om dit praktisch op te lossen.
Minimal-Knowledge Aanval Framework: VTarbel is het eerste framework dat is ontworpen om te opereren onder realistische beperkingen (geen toegang tot labels, globale outputs of andere partijen) terwijl het expliciet rekening houdt met anomaliedetectoren. Het maakt gebruik van een tweefasig paradigma waarbij de preparatiefase het gebruik van samples minimaliseert om expressieve lokale modellen te trainen, waardoor de meerderheid van de samples beschikbaar blijft voor de aanval.
Uitgebreide Evaluatie: Het framework wordt geëvalueerd over vier modelarchitecturen (MLP3, VGG13, ResNet18, DistilBERT), zeven multimodale datasets (TabFMNIST, CIFAR10, CINIC10, CIFAR100, TREC, IMDB) en twee anomaliedetectoren (DeepAE, KDE).

Experimentele Resultaten

Superieure Prestaties: VTarbel presteert consistent beter dan vier state-of-the-art baselines (LR-BA, HijackVFL, ADI, TIFS'23). Zo bereikt VTarbel op het VGG13-model met een DeepAE-detector een Attack Success Rate (ASR) van 90,39%, terwijl de beste baseline slechts 49,62% behaalt. In veel configuratiesies dalen baselines naar een ASR van bijna nul wanneer detectoren actief zijn, terwijl VTarbel een hoge succesrate behoudt.
Detector Evasie: Het framework slaagt erin detectie te omzeilen. De auteurs tonen aan dat de ASR van VTarbel hoog blijft, zelfs wanneer de detectiedrempel van de verdediger wordt aangescherpt, terwijl andere methoden volledig falen.
Robuustheid tegen Defensies: Het paper evalueert drie veelvoorkomende privacy-beschermende defensies (Noisy Embedding, Discrete Embedding, Compressed Embedding). Hoewel Compressed Embedding enige mitigatie laat zien (het verlagen van de ASR naar ~47-7% afhankelijk van de dataset), gaat dit gepaard met een aanzienlijk verlies aan de accuratesse van de hoofdtaken (een daling van >10-20%). De andere twee defensies zijn grotendeels ineffectief tegen VTarbel.
Ablatie-studies: Experimenten bevestigen dat beide fasen noodzakelijk zijn; het verwijderen van de preparatiefase (Only-Attack) resulteert in een ASR van 0% door het gebrek aan een getraind surrogaatmodel. Bovendien presteert de MMD-gebaseerde sample selectie aanzienlijk beter dan willekeurige selectie, vooral in ongebalanceerde datasets.

Betekenis en Claims

Het paper beweert dat VTarbel kritieke beveiligingsblindspots blootlegt in huidige VFL-implementaties. Het demonstreert dat zelfs met minimale kennis en in aanwezigheid van anomaliedetectoren, een passieve partij effectief de uitkomsten van VFL-inferentie kan manipuleren. De auteurs benadrukken dat bestaande defensies onvoldoende zijn, omdat ze ofwel de aanval niet stoppen, ofwel de bruikbaarheid van het VFL-systeem ernstig verminderen. Het werk onderstreept de dringende behoefte aan het ontwikkelen van robuuste, aanval-bewuste defensies die een hoge inferentie-accuratesse kunnen handhaven terwijl ze gerichte labelaanvallen beperken. De auteurs beweren niet het defensieprobleem te hebben opgelost, maar benadrukken de ernst van de dreiging om toekomstig onderzoek te motiveren.