FedTrident: Resilient Road Condition Classification Against Poisoning Attacks in Federated Learning

1. Problema e Contexto

O artigo aborda a vulnerabilidade dos Sistemas Inteligentes de Transporte (ITS) que utilizam Aprendizado Federado (FL) para Classificação de Condições Rodoviárias (RCC).

• Contexto: O FL permite que veículos treinem modelos de Deep Neural Networks (DNN) colaborativamente sem compartilhar dados brutos de imagem, preservando a privacidade e reduzindo a latência. A RCC é crítica para a segurança, permitindo que veículos antecipem condições perigosas (como estradas escorregadias ou irregulares) e ajustem a tração e a suspensão.
• Ameaça: O sistema é vulnerável a Ataques de Inversão de Rótulo Direcionados (TLFAs - Targeted Label-Flipping Attacks). Clientes maliciosos (veículos) podem reetiquetar seus dados locais de forma sutil (ex: classificar uma estrada "irregular" como "lisa").
• Impacto: Diferente de ataques não direcionados que degradam a precisão geral, os TLFAs visam erros específicos que colocam a segurança em risco. Se o modelo global aprender a ignorar estradas irregulares, os veículos podem não reduzir a velocidade em situações perigosas, aumentando o risco de acidentes.
• Limitações das Soluções Existentes: Mecanismos de defesa atuais falham em manter o desempenho próximo ao nível de um cenário sem ataques devido a três falhas principais:
  1. Falta de detecção de modelos locais envenenados adaptada especificamente para TLFAs (muitos métodos genéricos confundem a heterogeneidade natural dos dados com ataques).
  2. Ausência de exclusão robusta de clientes maliciosos baseada no histórico de comportamento.
  3. Falta de mecanismos para remediar o modelo global que já foi corrompido por contribuições passadas antes da exclusão do atacante.

2. Metodologia: FedTrident

O FedTrident é uma defesa holística que integra três módulos principais em cada rodada de FL:

A. Detecção de Modelos Locais Envenenados (Análise Neuronal)

• Intuição: Em um TFLA, os parâmetros do modelo conectados diretamente aos neurônios de saída da classe fonte (verdadeira) e da classe alvo (falsa) exibem as maiores discrepâncias.
• Processo:
  1. Extração de Características: O servidor analisa as mudanças de parâmetros (magnitudes e ângulos) na camada de saída do modelo de cada cliente.
  2. Identificação de Alvos: Calcula-se uma pontuação combinada para identificar quais dois neurônios (classes) estão sendo alvo do ataque naquela rodada.
  3. Agrupamento (Clustering): Os parâmetros relacionados a esses neurônios são extraídos e agrupados usando um Modelo de Mistura Gaussiana (GMM). O GMM separa probabilisticamente os clientes benignos dos envenenados, lidando melhor com a heterogeneidade dos dados do que métodos de agrupamento rígido (como K-Means).

B. Exclusão de Clientes Veiculares Maliciosos (Classificação Adaptativa)

• Mecanismo: O sistema mantém uma pontuação de reputação (rating) para cada cliente.
• Atualização:
  • Se o modelo de um cliente for detectado como benigno, sua pontuação aumenta.
  • Se for detectado como envenenado, a pontuação diminui.
• Exclusão: Quando a pontuação de um cliente cai abaixo de um limiar mínimo, ele é adicionado a uma "lista negra" (blacklist) e excluído das rodadas futuras. Isso evita que atacantes persistentes continuem a envenenar o modelo ao longo do tempo.

C. Remediação do Modelo Global Corrompido (Machine Unlearning)

• Problema: Mesmo após excluir um cliente, o modelo global já pode ter sido corrompido por suas contribuições em rodadas anteriores.
• Solução: O FedTrident utiliza técnicas de Machine Unlearning (aprendizado não aprendido). Ao excluir um cliente, o sistema subtrai as contribuições históricas acumuladas desse cliente do modelo global atual.
• Eficiência: Em vez de re-treinar o modelo do zero, o sistema aplica uma correção aproximada baseada nas atualizações acumuladas, restaurando o estado "limpo" do modelo.

3. Principais Contribuições

1. Primeira Defesa Integrada: É a primeira solução que sistematicamente combina detecção, exclusão e remediação para TLFAs em FL-RCC.
2. Análise Neuronal Específica: Desenvolveu um método de detecção focado em neurônios de saída específicos, permitindo identificar o objetivo do ataque (classes fonte e alvo) mesmo em ambientes dinâmicos e heterogêneos.
3. Mecanismo de Remediação Ativa: Introduz a capacidade de "limpar" o modelo global de contribuições passadas de atacantes, algo que soluções anteriores (como DEFEND e FLARE) não faziam.
4. Avaliação Abrangente: Testes extensivos em seis arquiteturas de DNN (ResNet, MobileNet, EfficientNet, DeiT, etc.) e múltiplas tarefas de RCC (atrito, material, irregularidade).

4. Resultados Experimentais

Os experimentos foram realizados com 100 clientes (30% maliciosos) em cenários de dados não-IID (heterogêneos) e sob ataques dinâmicos.

• Desempenho Superior: O FedTrident superou oito métodos de base (incluindo FedAvg, Krum, FLAME, FLARE e DEFEND).
• Métricas Chave:
  • SRE (Recall da Classe Fonte): O FedTrident alcançou uma melhoria média de 9,49% em relação à melhor defesa existente.
  • ASR (Taxa de Sucesso do Ataque): Reduziu a taxa de sucesso do ataque em 4,47% em média em comparação com as melhores defesas.
  • Equivalência ao Cenário Sem Ataques: O desempenho do FedTrident sob ataque foi estatisticamente comparável ao desempenho do modelo treinado sem nenhum ataque (FedAvg-NA), recuperando quase totalmente a precisão e a segurança.
• Resiliência:
  • Mantém baixa taxa de erro mesmo com altas taxas de clientes maliciosos (até 40%).
  • Robusto a diferentes níveis de heterogeneidade de dados (Non-IID).
  • Eficaz contra ataques dinâmicos, onde o atacante muda as classes alvo durante o treinamento.
• Estudo de Ablação: Confirmou que a combinação dos três módulos (Detecção + Exclusão + Remediação) é essencial para o desempenho máximo, com a remediação trazendo ganhos adicionais significativos.

5. Significado e Impacto

O trabalho é significativo para a segurança de sistemas de transporte autônomo e inteligente:

• Segurança Viária: Ao mitigar eficazmente ataques que visam subestimar condições perigosas (ex: gelo ou buracos), o FedTrident previne acidentes causados por falhas de percepção do veículo.
• Viabilidade do FL em ITS: Demonstra que o Aprendizado Federado pode ser seguro e robusto contra adversários sofisticados, removendo uma barreira crítica para sua adoção em larga escala em frotas de veículos.
• Generalização: A abordagem baseada em análise neuronal na camada de saída é agnóstica ao modelo, podendo ser aplicada a outras tarefas de classificação em DNNs além da RCC.

Em resumo, o FedTrident estabelece um novo estado da arte na defesa de sistemas FL contra ataques direcionados, garantindo que a colaboração entre veículos para melhorar a segurança rodoviária não seja comprometida por agentes maliciosos.