Technische Samenvatting: FLRSP – Privacybehoudende Federated Learning met Willekeurig Geselecteerde Modelparameters

1. Probleemstelling

Het trainen van hoogwaardige Deep Neural Networks (DNN's) vereist doorgaans enorme hoeveelheden data, die vaak gevoelige of persoonlijke informatie bevatten. Hoewel Federated Learning (FL) het mogelijk maakt dat meerdere clients gezamenlijk een model trainen zonder ruwe data te delen, blijft het kwetsbaar voor privacy-aanvallen. Specifiek kunnen aanvallers de originele trainingsdata reconstrueren uit de gedeelde modelupdates (gradiënten of gewichten) met behulp van technieken zoals de Attention PRIvacy Leakage (APRIL)-aanval voor Vision Transformers (ViT) en adversariale optimalisatie-aanvallen voor Convolutional Neural Networks (CNN's).

Bestaande methoden voor beveiligingsverbetering lopen tegen aanzienlijke beperkingen aan:

• Differentiële Privacy (DP): Voegt ruis toe aan updates om aanvallen te weerstaan, maar verslechtert onvermijdelijk de modelnauwkeurigheid.
• Vaste-positiemethoden: Effectief voor ViT door updates van positionele embedding's op nul te zetten, maar ze falen wanneer modellen vanaf nul worden getraind (aangezien alle lagen moeten worden bijgewerkt) en zijn niet toepasbaar op CNN's.
• Vorige concepten voor willekeurige selectie: Eerder werk over willekeurig geselecteerde gradiënten was beperkt tot ViT-architecturen en het Federated Stochastic Gradient Descent (FedSGD)-algoritme.

De kernuitdaging is het ontwikkelen van een privacybehoudende FL-methode die robuust is tegen state-of-the-art beeldherstel-aanvallen over verschillende architecturen (ViT en CNN's) en algoritmen (FedSGD en FedAvg) zonder in te leveren op classificatienauwkeurigheid.

2. Methodologie: FLRSP

De auteurs stellen Federated Learning using Randomly Selected Model Parameters (FLRSP) voor. In dit kader selecteert elke client willekeurig een subset van modelparameters (gradiënten in FedSGD of gewichten in FedAvg) om te delen met de centrale server, terwijl de niet-geselecteerde parameters worden vervangen door nulwaarden.

Kernmechanisme

1. Willekeurige Selectie: Voorafgaand aan de transmissie past elke client een binaire willekeurige sequentie $B_{n,k,i}^l \in \{0, 1\}$ toe op de modelparameters $\theta_{n,k,i}^l$ (of gewichten $W_{n,k,i}^m$).
   • Als $B=1$, wordt de parameter gedeeld.
   • Als $B=0$, wordt de parameter op nul gezet.
   • De waarschijnlijkheid van het optreden van nul wordt aangeduid als $R$.
2. Server-aggregatie: De centrale server aggregeert de ontvangen updates. Cruciaal is dat de aggregatieformule rekening houdt met de door de willekeurige selectie geïntroduceerde sparsiteit. Voor FedSGD wordt de globale modelupdate $w_{k,i}^{l+1}$ berekend als:
   $$w_{k,i}^{l+1} = w_{k,i}^l - \eta \frac{\sum_{n=1}^N \bar{\theta}_{n,k,i}^l}{\sum_{n=1}^N B_{n,k,i}^l}$$
   (Als de noemer nul is, blijft de parameter ongewijzigd). Dit zorgt ervoor dat het globale model alleen wordt bijgewerkt met de niet-nul gradiënten, wat de leersnelheid effectief normaliseert op basis van het aantal deelnemende parameters.
3. Dynamische sequenties: In tegenstelling tot benaderingen met "bevroren gewichten", waarbij specifieke lagen permanent worden uitgesloten, gebruikt FLRSP verschillende willekeurige sequenties voor elke epoch (in FedAvg) of batch (in FedSGD). Dit zorgt ervoor dat alle parameters uiteindelijk in de loop van de tijd worden bijgewerkt, waardoor permanente informatieverlies wordt voorkomen.

Theoretische Basis

Het artikel biedt een convergentieanalyse die aantoont dat FLRSP stabiele convergentie-eigenschappen behoudt die vergelijkbaar zijn met standaard FL. De effectieve leersnelheid wordt aangepast met de factor $(1 - RN)$, waarbij $N$ het aantal clients is. Aangezien de leersnelheid positief blijft, is wiskundig bewezen dat de methode convergeert.

3. Belangrijkste Bijdragen

Het artikel schetst drie primaire bijdragen:

1. Nieuwe FL-methode: Een nieuwe aanpak om aanvallers te weren door willekeurig globale modelparameters te selecteren die op lokale servers worden berekend, toepasbaar op zowel ViT- als CNN-architecturen.
2. Generalisatie: De uitbreiding van het concept van willekeurige selectie (voorheen beperkt tot ViT en FedSGD) om FedAvg en ResNet-architecturen op te nemen.
3. Empirische verificatie: Uitgebreide experimenten die aantonen dat FLRSP state-of-the-art methoden (specifiek Differentiële Privacy en vaste-positiemethoden) overtreft in zowel robuustheid tegen aanvallen als classificatienauwkeurigheid.

4. Experimentele Resultaten

Experimenten werden uitgevoerd op het CIFAR-10-dataset met ViT (vit_small_patch16_224) en ResNet34 onder zowel FedSGD- als FedAvg-protocollen.

Classificatienauwkeurigheid

• ViT: FLRSP behield een nauwkeurigheid die vergelijkbaar was met standaard FL, zowel voor fijngefineerde voorgeprogrammeerde modellen als voor modellen die vanaf nul werden getraind. Daarentegen leed de vaste-positiemethode aan aanzienlijke nauwkeurigheidsdegradatie bij training vanaf nul, omdat het updates aan de positionele embedding-laag verhindert.
• ResNet: FLRSP bereikte hoge nauwkeurigheid over verschillende $R$-waarden (0,2, 0,5, 0,8). Terwijl Differentiële Privacy (DP) nauwkeurigheidsdegradatie vertoonde naarmate de privacy-intensiteit ($\epsilon$) toenam, behield FLRSP prestaties die dicht bij de baseline lagen.
• Niet-I.I.D.-data: Onder heterogene data-distributies (Dirichlet-distributie, $\alpha=0,1$) behield FLRSP een hogere nauwkeurigheid dan DP.

Robuustheid tegen Aanvallen

De studie evalueerde de weerstand tegen twee state-of-the-art aanvallen met behulp van de Structural Similarity Index Measure (SSIM) tussen originele en herstelde afbeeldingen:

• APRIL (ViT): Standaard FL stond volledige visuele reconstructie toe. FLRSP (zelfs met $R=0,2$) voorkwam reconstructie effectief en bereikte een robuustheid die gelijkwaardig was aan de vaste-positiemethode.
• Adversariale optimalisatie (CNN): Standaard FL en DP (zelfs met lage $\epsilon$) stonden aanzienlijke beeldherstelling toe (SSIM-waarden vaak > 0,6). FLRSP verlaagde de SSIM-waarden drastisch (vaak < 0,1), waardoor visuele reconstructie bijna onmogelijk werd.
• Vergelijking: FLRSP behaalde consistent lagere SSIM-waarden (wat betere privacy aangeeft) dan DP, terwijl het een hogere classificatienauwkeurigheid behield.

5. Betekenis en Claims

Het artikel beweert dat FLRSP succesvol de afweging tussen privacy en bruikbaarheid in Federated Learning aanpakt. Door parameters willekeurig te selecteren, verstoort de methode de wiskundige vergelijkingen die nodig zijn voor gradiëntgebaseerde beeldherstel-aanvallen (specifiek het verbreken van de cosinus-ähnelijkheid in adversariale optimalisatie en de gesloten-vorm vergelijkingen in APRIL).

De auteurs benadrukken dat FLRSP een generaliseerbare oplossing is die toepasbaar is op willekeurige modellen (inclusief ViT en ResNet) en algoritmen (FedSGD en FedAvg). In tegenstelling tot eerdere methoden die ofwel de nauwkeurigheid verslechteren (DP) ofwel architectuurspecifiek zijn (vaste positie), biedt FLRSP een robuust verdedigingsmechanisme dat modelprestaties behoudt. De studie concludeert dat FLRSP een haalbare en effectieve methode voor beveiligingsverbetering is voor praktische Federated Learning-scenario's.