Byzantine-Robust Aggregation for Securing Decentralized Federated Learning

Resumo Técnico: Agregação com Robustez Bizantina para Segurança de Aprendizado Federado Descentralizado

Declaração do Problema

O Aprendizado Federado Descentralizado (DFL) estende o paradigma do Aprendizado Federado (FL) ao eliminar o servidor central, aumentando assim a escalabilidade, a tolerância a falhas e a privacidade ao evitar um ponto único de falha. No entanto, essa descentralização introduz vulnerabilidades de segurança significativas, particularmente em relação a falhas Bizantinas, onde clientes maliciosos (nós Bizantinos) tentam interromper o processo de aprendizado enviando atualizações de modelos arbitrárias ou envenenadas.

Embora existam inúmeros algoritmos de agregação robustos a ataques Bizantinos para o FL centralizado (CFL), o artigo observa que a maioria é projetada para cenários centralizados e pode não ser igualmente eficiente em ambientes descentralizados. No DFL, a ausência de um coordenador central complica a implementação de algoritmos de segurança uniformes, e a natureza dinâmica das topologias descentralizadas, combinada com a heterogeneidade das capacidades dos nós, cria desafios únicos. A literatura existente carece de um algoritmo de agregação robusto a ataques Bizantinos especificamente projetado para DFL que considere estatísticas espaciais e temporais.

Metodologia

Os autores propõem o WFAgg, um novo algoritmo de agregação robusto a ataques Bizantinos projetado especificamente para ambientes DFL. O núcleo da metodologia envolve um processo de filtragem de múltiplos estágios e agregação ponderada executado localmente por cada nó com base nos modelos recebidos de seus vizinhos.

1. Configuração do Sistema:
O sistema é modelado como um cenário cross-device onde $N$ clientes colaboram através de um grafo não direcionado $G$. Os clientes se comunicam via um protocolo inspirado em Gossip, encaminhando modelos treinados para todos os vizinhos. O objetivo é minimizar a função de perda empírica em toda a rede sem um servidor central.

2. O Algoritmo WFAgg:
O WFAgg emprega uma abordagem de três filtros para identificar e mitigar modelos maliciosos antes da agregação. Um modelo só é considerado "benigno" se passar por critérios específicos nestes filtros. Os filtros operam sequencialmente:

• WFAgg-D (Baseado em Distância): Calcula a distância euclidiana entre cada modelo recebido e a mediana dos modelos recebidos. Seleciona os $K-f-1$ modelos com as menores distâncias, onde $K$ é o número de modelos recebidos e $f$ é o número estimado de nós maliciosos.
• WFAgg-C (Baseado em Similaridade): Calcula a distância de cosseno entre os modelos recebidos e o modelo mediana. Também emprega o clipping de magnitude baseado na magnitude da mediana. Seleciona os $K-f-1$ modelos com as menores distâncias de cosseno, filtrando efetivamente modelos que se desviam significativamente em direção.
• WFAgg-T (Baseado em Tempo): Analisa a evolução temporal das atualizações do modelo. Compara a atualização atual de um vizinho contra uma janela de tempo de suas atualizações anteriores (usando distância euclidiana e similaridade de cosseno). Utiliza uma Média Móvel Exponencialmente Ponderada (EWMA) para estabelecer limiares de média e desvio padrão. Atualizações que caem fora desses limiares são sinalizadas como abruptas e potencialmente maliciosas.

3. Agregação Ponderada (WFAgg-E):
Uma vez que os filtros identifiquem subconjuntos de modelos benignos ($T_1, T_2, T_3$), o algoritmo atribui pesos a cada modelo recebido com base em quantos filtros o identificaram como benigno.

• Um modelo identificado pelos três filtros recebe o peso mais alto ($\tau_1 + \tau_2 + \tau_3$).
• Um modelo identificado por apenas um filtro recebe peso zero (rejeitado).
• Um modelo identificado por dois filtros recebe um peso parcial.
  A agregação final utiliza uma média ponderada coordenada por coordenada (semelhante ao FedAvg, mas com ponderação diferencial para o modelo local e vizinhos), controlada por um fator de suavização $\alpha$.

Principais Contribuições

O artigo descreve quatro contribuições primárias:

1. Design de Algoritmo Inovador: O desenvolvimento do WFAgg, um algoritmo de agregação robusto a ataques Bizantinos especificamente para DFL que integra técnicas de filtragem espacial (distância/similaridade) e temporal.
2. Avaliação Comparativa: Uma avaliação sistemática de algoritmos de agregação robustos a ataques Bizantinos de estado da arte (SOTA) centralizados (Mean, Median, Trimmed-Mean, Krum, Multi-Krum, Clustering) quando aplicados a cenários descentralizados, destacando suas limitações.
3. Validação Empírica: Experimentos extensos em uma tarefa de classificação de imagens IID (MNIST) sob vários cenários de ataque Bizantino (Ruído, Inversão de Sinal, Inversão de Rótulo, ALIE, IPM) demonstrando que o WFAgg supera os esquemas centralizados em ambientes descentralizados.
4. Framework de Simulação: A implementação de um simulador DFL baseado em Python para conduzir esses experimentos, suportando topologias tanto centralizadas quanto descentralizadas.

Resultados

Os experimentos foram conduzidos em uma rede de 20 nós (10% maliciosos) usando uma topologia de grafo 8-regular. Os resultados indicam:

• Robustez Contra Ataques: O WFAgg mitigou com sucesso todos os ataques testados (incluindo Ruído, Inversão de Sinal, Inversão de Rótulo, ALIE e variantes de Manipulação de Produto Interno - IPM) tanto em cenários centralizados quanto descentralizados.
• Comparação com SOTA:
  • Algoritmos centralizados padrão como Mean e Trimmed-Mean falharam em convergir ou sofreram quedas significativas de precisão sob ataques de Ruído e IPM-100 em cenários descentralizados.
  • Algoritmos baseados em distância (Krum, Multi-Krum) tiveram dificuldades com ataques IPM-0.5 em cenários descentralizados devido à incapacidade de distinguir mudanças direcionais sutis.
  • Métodos baseados em Clustering falharam sob ataques de Ruído em cenários descentralizados.
  • WFAgg manteve alta precisão (ex: ~95-98% em vários cenários) e alcançou convergência mais rápida em comparação com os algoritmos SOTA testados no cenário descentralizado.
• Consistência do Modelo: Usando a métrica R-quadrado ($R^2$) para medir a similaridade dos modelos locais entre nós benignos, o WFAgg demonstrou consistência de convergência superior em comparação com algoritmos SOTA de filtragem como Krum e Clustering, que mostraram valores de $R^2$ mais baixos devido aos nós selecionarem subconjuntos diferentes de modelos.
• Desempenho Individual do Nó: A análise da evolução da precisão individual dos nós mostrou que os nós benignos convergiram para alta precisão em poucos rounds, mesmo cercados por vizinhos maliciosos, enquanto os nós maliciosos foram efetivamente isolados pelo mecanismo de ponderação.

Significância e Alegações

O artigo afirma que o WFAgg representa uma abordagem inovadora na literatura, pois é o primeiro a abordar explicitamente a robustez Bizantina em cenários descentralizados ao considerar estatísticas espaciais e de variação temporal. Os autores afirmam que sua integração de múltiplos filtros leves permite que o sistema se adapte à natureza dinâmica e adversária dos ambientes IoT descentralizados.

O estudo conclui que, embora os esquemas de agregação robustos centralizados existentes ofereçam alguma proteção, eles são insuficientes para os desafios específicos do DFL. O algoritmo WFAgg proposto fornece uma alternativa mais eficiente e robusta, garantindo a precisão e a convergência do modelo mesmo na presença de diversos ataques Bizantinos. Os autores sugerem que trabalhos futuros devem focar na otimização de redes de comunicação (por exemplo, usando Redes Definidas por Software - SDN) para reduzir ainda mais o overhead e a latência nesses processos de aprendizado descentralizados.