Resumo Técnico: Coward – Marca d'água OOD baseada em Colisão para Detecção Proativa Prática de Backdoors Federados

1. Declaração do Problema

O Aprendizado Federado (FL) permite treinamento colaborativo que preserva a privacidade, mas introduz vulnerabilidades significativas a ataques de backdoor, onde clientes maliciosos injetam gatilhos para manipular o modelo global. Mecanismos de defesa existentes enfrentam duas limitações práticas críticas:

• Limitações da Detecção Passiva (Divergência Não-IID): Métodos passivos tradicionais identificam clientes maliciosos detectando outliers em parâmetros ou gradientes do modelo. No entanto, esses métodos são altamente suscetíveis às distribuições de dados inerentemente não independentes e identicamente distribuídas (não-i.i.d.) e à participação aleatória de clientes no FL. Esses fatores causam alta variância em modelos locais benignos, frequentemente imitando as assinaturas estatísticas de atualizações maliciosas, levando a altas taxas de falsos positivos ou detecções perdidas.
• Limitações da Detecção Proativa (Viés de Predição OOD): Métodos proativos recentes, como o BackdoorIndicator, tentam intervir no treinamento injetando padrões Fora de Distribuição (OOD). Eles dependem do "efeito de coexistência", onde modelos maliciosos retêm esses padrões melhor do que os benignos. No entanto, esses métodos são minados pelo viés inerente de predição OOD de Redes Neurais Profundas (DNNs). As DNNs tendem a classificar amostras OOD em classes arbitrárias com alta confiança. Esse viés faz com que clientes benignos exibam retenção inesperadamente alta de padrões OOD, levando a julgamentos equivocados frequentes (falsos positivos) que tornam os métodos proativos atuais pouco confiáveis.

2. Metodologia: Coward

Os autores propõem o Coward (Marca d'água OOD baseada em Colisão para Detecção Robusta de Backdoors Federados), um framework de detecção proativa inspirado na descoberta de um efeito de colisão de múltiplos backdoors.

2.1 Insight Central: O Efeito de Colisão

Enquanto trabalhos existentes observaram que backdoors direcionados ao mesmo rótulo coexistem, os autores descobriram que backdoors plantados consecutivamente direcionados a diferentes rótulos interferem e suprimem significativamente uns aos outros. Esse "efeito de colisão" forma a base do novo paradigma de detecção.

2.2 O Paradigma de Detecção: Lógica Invertida

O Coward inverte a lógica dos métodos proativos existentes:

• Existente (Coexistência): Alta retenção de um padrão injetado = Malicioso.
• Coward (Colisão): Alta retenção de uma marca d'água injetada = Benigno. Baixa retenção (apagamento) = Malicioso.

Neste paradigma invertido, as previsões de alta confiança causadas pelo viés OOD em clientes benignos (que anteriormente causavam falsos positivos) tornam-se benéficas, pois indicam a preservação da marca d'água.

2.3 Implementação Técnica

O método opera em três etapas:

1. Injeção de Marca d'água (Lado do Servidor):

   • O servidor constrói um mapeamento dual regulado em dados OOD (por exemplo, EMNIST para uma tarefa CIFAR-10).
   • Mapeamento Base Regulado ($\pi_1$): Um mapeamento fixo e um-para-um de rótulos OOD para rótulos da tarefa é estabelecido para estabilizar o espaço OOD e reduzir ambiguidade. Isso contrasta com os mapeamentos aleatórios usados no BackdoorIndicator.
   • Mapeamento de Marca d'água Direcionado ($\pi_2$): Um subconjunto específico de amostras OOD recebe um padrão de gatilho e é mapeado para uma classe alvo fixa ($y_m$).
   • O modelo global é ajustado finamente nesses dados OOD com um termo de regularização para preservar o desempenho original da tarefa enquanto incorpora a marca d'água.

2. Interação da Marca d'água (Lado do Cliente):

   • Os clientes realizam treinamento local em seus dados privados.
   • Clientes Benignos: Otimizam apenas para a perda da tarefa. Eles podem esquecer ligeiramente a marca d'água OOD devido a dados não-i.i.d., mas geralmente preservam o mapeamento de gatilho para alvo.
   • Clientes Maliciosos: Otimizam tanto para a tarefa quanto para seu objetivo específico de backdoor. Como seu backdoor visa uma classe diferente da marca d'água, ocorre o efeito de colisão: o backdoor malicioso suprime ou apaga ativamente a marca d'água injetada pelo servidor durante o treinamento local.

3. Detecção da Marca d'água (Lado do Servidor):

   • O servidor avalia os modelos locais usando o conjunto de dados OOD marcado.
   • Ele mede a precisão do mapeamento específico de gatilho para alvo.
   • Regra de Decisão: Clientes com precisão da marca d'água abaixo de um limiar $\beta$ são sinalizados como maliciosos (indicando que a marca d'água foi suprimida por uma colisão). Clientes com alta precisão são considerados benignos.

3. Contribuições Principais

1. Identificação de Limitações: O artigo analisa e demonstra rigorosamente como a heterogeneidade de dados não-i.i.d. mina a detecção passiva e como o viés de predição OOD limita fundamentalmente os métodos de detecção proativa atuais.
2. Descoberta de Colisão de Múltiplos Backdoors: Os autores identificam e caracterizam o fenômeno onde backdoors distintos direcionados a diferentes rótulos interferem entre si, suprimindo efeitos previamente plantados.
3. Framework Coward: Um método de detecção proativa inovador que aproveita esse efeito de colisão para criar um paradigma de detecção invertido. Este design contrabalança naturalmente o viés OOD, pois previsões benignas de alta confiança (uma fonte de erro em trabalhos anteriores) agora sinalizam corretamente comportamento benigno.
4. Robustez: O método introduz uma intervenção de treinamento de baixa disrupção que limita inerentemente a força do viés OOD, reduzindo significativamente os julgamentos equivocados em comparação com baselines de última geração.

4. Resultados Experimentais

Extensos experimentos foram conduzidos em conjuntos de dados de referência (CIFAR-10, CIFAR-100, EMNIST) sob várias configurações:

• Resiliência Não-IID: O Coward consistentemente alcançou Taxas de Verdadeiros Positivos (TPR) acima de 95% e Taxas de Falsos Positivos (FPR) abaixo de 10,5% em vários graus de heterogeneidade de dados ($\alpha = 0,3$ a $0,9$). Em contraste, métodos passivos (por exemplo, MultiKrum, Flame) viram as TPRs caírem significativamente (frequentemente abaixo de 10%) sob heterogeneidade severa.
• Ataques Avançados: O método manteve alto desempenho contra ataques sigilosos (por exemplo, Neurotoxin, Chameleon) e vários tipos de gatilhos (visíveis, invisíveis, semânticos), enquanto métodos passivos sofreram degradação substancial.
• Cenários de Múltiplos Atacantes: O Coward permaneceu eficaz mesmo quando até 70% dos clientes eram maliciosos, um cenário onde métodos passivos baseados em outliers falharam completamente.
• Mitigação de Viés OOD: Comparado ao BackdoorIndicator, o Coward reduziu significativamente o nível de viés OOD e a taxa resultante de falsos positivos, mesmo ao usar conjuntos de dados OOD diversos ou sintéticos.
• Ataques Adaptativos: O método demonstrou resiliência contra atacantes adaptativos tentando adivinhar o alvo da marca d'água. Tais tentativas frequentemente induziram uma "contradição de colisão local", enfraquecendo o próprio backdoor do atacante e falhando em contornar a detecção.

5. Significado e Alegações

O artigo afirma que o Coward representa um passo significativo em direção à detecção proativa prática de backdoors no Aprendizado Federado. Ao mudar a base de detecção de "preservação de padrão" (que é vulnerável ao viés OOD) para "colisão de padrão", o método:

• Resolve o Desafio do Viés OOD: Transforma o viés inerente de alta confiança das DNNs em dados OOD de uma responsabilidade em um sinal confiável para comportamento benigno.
• Supera a Sensibilidade Não-IID: Desacopla a detecção de outliers no espaço de parâmetros, tornando-a robusta à heterogeneidade de dados que aflige métodos passivos.
• Fornece um Novo Paradigma: Estabelece uma nova direção para a segurança de FL que utiliza a interferência entre múltiplos backdoors em vez de depender de sua coexistência.

Os autores concluem que o Coward alivia efetivamente o desafio do viés OOD, alcançando desempenho de última geração enquanto mantém a integridade da funcionalidade primária do modelo global.