Power to the Clients: Federated Learning in a Dictatorship Setting

1. Problema Investigado

O artigo aborda uma vulnerabilidade crítica no Aprendizado Federado (FL) que foi pouco explorada na literatura existente. Enquanto a maioria dos estudos foca em defender contra ataques de Byzantine (que visam degradar a performance global ou impedir a convergência) ou ataques de backdoor (que inserem comportamentos maliciosos específicos), este trabalho identifica uma nova classe de ameaça: clientes ditadores.

O objetivo de um cliente ditador não é necessariamente destruir o modelo, mas sim dominar unilateralmente o processo de aprendizado. O cliente malicioso busca:

• Preservar totalmente a sua própria contribuição no modelo global.
• Eliminar completamente a influência de todos os outros clientes (benignos ou não) no modelo final.
• Fazer com que o modelo global convirja para a distribuição de dados do próprio cliente ditador, como se os outros participantes nunca tivessem existido.

O cenário assume que os clientes maliciosos têm capacidades limitadas: não possuem acesso privilegiado ao servidor, não conhecem os dados ou atualizações dos outros clientes, e têm apenas comunicação mínima entre si (no caso de ditadores colaborativos).

2. Metodologia e Algoritmos

Os autores propõem algoritmos matemáticos precisos que permitem aos clientes maliciosos manipular os gradientes enviados ao servidor para "cancelar" matematicamente as atualizações dos demais participantes.

A. Cliente Ditador Único (Single Dictator)

Um único cliente malicioso ($m$) executa o seguinte processo:

1. Rastreamento Local: O cliente mantém uma cópia local do modelo ($\hat{\theta}_t^m$) que simula como o modelo evoluiria se apenas ele estivesse treinando.
2. Reconstrução do Gradiente Agregado: O cliente estima o gradiente agregado que o servidor usou na rodada anterior (baseado na diferença entre o modelo enviado e o recebido, e na taxa de aprendizado $\eta$).
3. Atualização Manipulada: Em vez de enviar seu gradiente real calculado sobre o modelo atual do servidor, o cliente envia uma atualização calculada ($M_t$) que:
   • Adiciona o gradiente do seu modelo local simulado.
   • Subtrai o gradiente agregado real do servidor (reconstruído) menos o seu próprio gradiente original.
   • Resultado: A soma das atualizações no servidor cancela matematicamente os gradientes de todos os outros $N-1$ clientes, deixando apenas a trajetória de aprendizado do ditador.

B. Clientes Ditadores Colaborativos (Collaborative Dictators)

Um grupo de $P$ clientes maliciosos coordena-se para dominar o sistema:

• Eles mantêm um modelo local sincronizado ($\hat{\theta}_t^P$) que representa o treinamento exclusivo do grupo.
• Cada membro do grupo envia uma atualização manipulada que cancela a influência dos $N-P$ clientes benignos.
• O grupo troca gradientes internamente para atualizar seu modelo coletivo, garantindo que o modelo global do servidor evolua exatamente como se apenas eles estivessem treinando.

C. Cenários Complexos: Traição e Dominação Mútua

O artigo explora dinâmicas avançadas entre ditadores:

• Traição Estratégica: Um cliente dentro de um grupo colaborativo pode secretamente manter um modelo individual e, em um momento específico, enviar uma atualização que elimina a contribuição de seu parceiro, assumindo o controle total do modelo.
• Dominação Mútua (Todos são Ditadores): Se todos os $N$ clientes agirem como ditadores independentes, o sistema entra em um estado de caos onde as atualizações se cancelam mutuamente de forma destrutiva, resultando em uma "subida de gradiente" (gradient ascent) em vez de descida, fazendo o modelo divergir e falhar em aprender qualquer coisa.

3. Resultados Experimentais

Os autores validaram suas teorias em tarefas de Visão Computacional (MNIST, CIFAR-10) e Processamento de Linguagem Natural (AG News).

• Eficácia do Ataque Único: Quando um cliente se torna ditador, o modelo global atinge 0.00% de precisão nos dados dos clientes benignos, enquanto mantém alta precisão (ex: >93% no MNIST) nos dados do ditador. O modelo ignora completamente as distribuições de dados dos outros.
• Eficácia Colaborativa: Grupos de ditadores (2 ou 3 clientes) conseguem suprimir totalmente os benignos. O modelo global reflete apenas a distribuição de dados do grupo ditador.
• Robustez a Defesas:
  • O ataque é eficaz mesmo com clipping de gradiente (uma defesa comum), especialmente quando múltiplos ditadores colaboram, pois seus gradientes combinados ainda superam os benignos.
  • O ataque funciona mesmo em cenários onde clientes são removidos aleatoriamente a cada rodada (dropout).
• Cenário de Traição: Os experimentos mostram que um cliente ditador pode cooperar inicialmente e, em uma rodada específica, "trair" seu parceiro, fazendo com que o modelo perca a precisão nos dados do parceiro e foque exclusivamente no traidor.

4. Contribuições Principais

1. Definição Formal de "Clientes Ditadores": Introdução de uma nova classe de adversário no FL com o objetivo específico de isolamento de contribuição, diferente dos ataques tradicionais de Byzantine.
2. Algoritmos de Ataque Analíticos: Desenvolvimento de métodos que permitem a um cliente (ou grupo) dominar o modelo global sem conhecimento prévio dos dados dos outros, exigindo apenas a taxa de aprendizado (que pode ser estimada).
3. Análise de Dinâmicas Multiagente: Investigação de cenários onde ditadores competem, colaboram ou se traem, revelando a instabilidade inerente a coalizões maliciosas.
4. Validação Empírica Abrangente: Demonstração prática da viabilidade do ataque em diferentes datasets e modalidades (CV e NLP), incluindo a análise de cenários de "todos contra todos".

5. Significado e Implicações

Este trabalho expõe uma vulnerabilidade fundamental no mecanismo de agregação padrão do FL (como a média simples). Ele demonstra que:

• Privacidade não garante Segurança: Mesmo sem acesso aos dados brutos dos outros, um cliente pode manipular o modelo para refletir apenas seus dados.
• Viés em Aplicações Críticas: Em cenários como saúde (hospitais) ou recomendação, um "ditador" poderia enviesar o modelo global para favorecer uma demografia específica ou um hospital específico, prejudicando a generalização e a equidade para populações sub-representadas.
• Incentivos Perversos: Em sistemas baseados em recompensas por contribuição, um ditador pode maximizar sua recompensa artificialmente suprimindo os outros.
• Necessidade de Novas Defesas: As defesas atuais contra Byzantine (que focam em detectar outliers ou ruído) podem não ser suficientes contra ditadores, pois as atualizações manipuladas são projetadas para parecerem consistentes com a trajetória de aprendizado de um único cliente legítimo, apenas isolado.

Em resumo, o artigo alerta que o FL, em sua forma atual, é suscetível a uma "ditadura" onde um ator malicioso pode silenciar toda a rede e impor sua própria visão de mundo ao modelo global.