Resumo Técnico: VTarbel

Definição do Problema

O Aprendizado Federado Vertical (VFL) permite que múltiplas partes com conjuntos de características disjuntos treinem modelos de forma colaborativa sem compartilhar dados brutos. Embora vulnerabilidades de privacidade (ex: reconstrução de características e inferência de rótulos) sejam bem estudadas, a robustez de segurança do VFL contra ataques de rótulo direcionados durante a fase de inferência permanece pouco explorada. Nesses ataques, uma parte passiva comprometida manipula suas características de entrada para forçar o modelo global a classificar incorretamente amostras em um rótulo escolhido pelo adversário.

Os métodos existentes de ataque de rótulo direcionado sofrem de duas limitações críticas em cenários práticos:

1. Conhecimento Adversário Irrealista: Trabalhos anteriores frequentemente assumem que o atacante tem acesso a conjuntos de dados auxiliares rotulados, saídas do modelo global (logits/probabilidades) ou amostras de teste de outros participantes. Na realidade, os rótulos são proprietários da parte ativa e nunca são compartilhados.
2. Negligência da Detecção de Anomalias: Implementações reais de VFL frequentemente empregam detectores de anomalias (ex: baseados em estatística ou ML) para filtrar embeddings de características suspeitos. Ataques existentes geram embeddings excessivamente otimizados que se desviam significativamente da distribuição benigna, tornando-os facilmente detectáveis e fazendo com que o sistema rejeite a entrada (retornando um rótulo "REJ") em vez do rótulo direcionado.

O desafio central é projetar um ataque que opere sob conhecimento mínimo de adversário (sem acesso a rótulos, saídas globais ou dados de outras partes) enquanto evade efetivamente sistemas de VFL reforçados por detectores.

Metodologia: Estrutura VTarbel

Os autores propõem o VTarbel (VFL Inference Targeted Label Attack), uma estrutura de dois estágios projetada para preencher a lacuna entre o conhecimento mínimo e a evasão eficaz. A estrutura particiona a fase de inferência em um Estágio de Preparação e um Estágio de Ataque.

1. Estágio de Preparação (Coleta de Conhecimento)

O objetivo é coletar conhecimento essencial para treinar modelos substitutos locais sem consumir a maioria do conjunto de teste.

• Seleção de Amostras: O atacante seleciona um conjunto mínimo de amostras benignas de "alta expressividade" do conjunto de teste não rotulado. Esta seleção é impulsionada pela Discrepância de Média Máxima (MMD). O atacante seleciona iterativamente amostras que maximizam a redução da MMD entre o subconjunto selecionado e a distribuição total do conjunto de teste, garantindo que o subconjunto seja representativo.
• Aquisição de Rótulos: Estas amostras selecionadas são submetidas ao sistema VFL seguindo o protocolo padrão. Os rótulos previstos retornados (excluindo "REJ") são tratados como pseudo-rótulos.
• Treinamento de Modelo Local: Usando as amostras selecionadas e seus pseudo-rótulos, o atacante treina localmente dois componentes críticos:
  • Detector Estimado: Uma aproximação do detector de anomalias do defensor (ex: DeepAE ou KDE) para estimar as fronteiras de detecção.
  • Modelo Substituto (Surrogate Model): Um modelo construído anexando um cabeçalho de inferência ao modelo inferior treinado pelo atacante, mimetizando o comportamento do modelo VFL global.

2. Estágio de Ataque (Criação Adversária)

O atacante utiliza o modelo substituto treinado e o detector estimado para gerar instâncias adversárias para as amostras de teste restantes.

• Objetivo de Otimização: O atacante realiza uma otimização baseada em gradiente (Gradiente Descendente Projetado) para perturbar as características brutas restantes. A função objetivo minimiza a perda de entropia cruzada entre a previsão do modelo substituto e o rótulo direcionado, enquanto simultaneamente minimiza o escore de anomalia previsto pelo detector estimado.
• Restrições: As perturbações são limitadas por um limite de distância ($L_p$-norm) para garantir que as características modificadas permaneçam válidas e imperceptíveis.
• Execução: Os embeddings maliciosos otimizados são submetidos ao sistema VFL. Devido à transferibilidade de exemplos adversários, esses embeddings são projetados para induzir o modelo global a prever o rótulo direcionado, permanecendo dentro da distribuição "normal" aceita pelo detector do defensor.

Principais Contribuições

1. Formalização do Problema: Os autores formalizam o ataque de rótulo direcionado em VFL como um problema de otimização combinatória: selecionar um subconjunto ideal de amostras de teste para maximizar o número de classificações incorretas em um rótulo específico. Eles identificam isso como NP-difícil e propõem um particionamento de dois estágios para resolvê-lo de forma prática.
2. Estrutura de Ataque de Conhecimento Mínimo: O VTarbel é a primeira estrutura projetada para operar sob restrições realistas (sem acesso a rótulos, saídas globais) enquanto considera explicitamente detectores de anomalias. Ele utiliza um paradigma de dois estágios onde o estágio de preparação minimiza o uso de amostras para treinar modelos locais expressivos, preservando a maioria das amostras para o ataque.
3. Avaliação Abrangente: A estrutura é avaliada através de quatro arquiteturas de modelo (MLP3, VGG13, ResNet18, DistilBERT), sete conjuntos de dados multimodais (TabFMNIST, CIFAR10, CINIC10, CIFAR100, TREC, IMDB) e dois detectores de anomalia (DeepAE, KDE).

Resultados Experimentais

• Desempenho Superior: O VTarbel supera consistentemente quatro baselines de última geração (LR-BA, HijackVFL, ADI, TIFS'23). Por exemplo, no modelo VGG13 com um detector DeepAE, o VTarbel alcança uma Taxa de Sucesso de Ataque (ASR) de 90,39%, enquanto o melhor baseline alcança apenas 49,62%. Em muitas configurações, os baselines caem para um ASR próximo de zero quando os detectores estão ativos, enquanto o VTarbel mantém altas taxas de sucesso.
• Evasão de Detector: A estrutura evade a detecção com sucesso. Os autores demonstram que o ASR do VTarbel permanece alto mesmo quando o limiar de detecção do defensor é endurecido, enquanto outros métodos falham completamente.
• Robustez a Defesas: O artigo avalia três defesas comuns de preservação de privacidade (Embedding Ruidoso, Embedding Discreto, Embedding Comprimido). Embora o Embedding Comprimido mostre alguma mitigação (reduzindo o ASR para ~47-7% dependendo do conjunto de dados), isso ocorre a um custo significativo para a acurácia de inferência da tarefa principal (caindo em >10-20%). As outras duas defesas são amplamente ineficazes contra o VTarbel.
• Estudos de Ablação: Experimentos confirmam que ambos os estágios são necessários; remover o estágio de preparação (Apenas-Ataque) resulta em 0% de ASR devido à falta de um modelo substituto treinado. Além disso, a seleção de amostras baseada em MMD supera significativamente a seleção aleatória, especialmente em conjuntos de dados desbalanceados.

Significância e Alegações

O artigo afirma que o VTarbel revela pontos cegos de segurança críticos nas implementações atuais de VFL. Demonstra que, mesmo com conhecimento mínimo e na presença de detectores de anomalias, uma parte passiva pode manipular efetivamente os resultados da inferência do VFL. Os autores enfatizam que as defesas existentes são insuficientes, pois ou falham em deter o ataque ou degradam severamente a utilidade do sistema VFL. O trabalho ressalta a necessidade urgente de desenvolver defesas robustas e conscientes de ataques que possam manter alta acurácia de inferência enquanto mitigam ataques de rótulo direcionado. Os autores não alegam ter resolvido o problema da defesa, mas sim destacam a gravidade da ameaça para motivar pesquisas futuras.