ProtoGuard-SL: Prototype Consistency Based Backdoor Defense for Vertical Split Learning

Título: ProtoGuard-SL: Defesa de Backdoor Baseada em Consistência de Protótipos para Aprendizado Dividido Vertical

1. O Problema

O Aprendizado Dividido Vertical (Vertical Split Learning - SL) é um paradigma de aprendizado colaborativo onde múltiplas partes (clientes) possuem características complementares dos mesmos dados, mas não podem compartilhar os dados brutos devido a restrições de privacidade. Um servidor central possui as etiquetas (labels) e coordena o treinamento.

Embora o SL evite a troca de dados brutos, ele introduz uma nova superfície de ataque na interface de embeddings (representações intermediárias) trocados entre os clientes e o servidor. O artigo foca em ataques de backdoor baseados em envenenamento de embeddings:

• Vulnerabilidade: Clientes maliciosos podem injetar "gatilhos" (triggers) sutis nas representações intermediárias (embeddings) enviadas ao servidor.
• Desafio: Esses ataques são altamente furtivos. Ao contrário de ataques em dados brutos, os embeddings envenenados muitas vezes possuem distribuições estatísticas que se sobrepõem significativamente às dos dados benignos no espaço original, tornando difícil a detecção por métodos convencionais de anomalia geométrica.
• Limitação das Defesas Atuais: Métodos existentes (como privacidade diferencial, poda de modelos ou defesas específicas de FL) oferecem robustez limitada contra ataques adaptativos, muitas vezes sacrificando a precisão do modelo (utilidade) ou falhando em remover os backdoors.

2. Metodologia: ProtoGuard-SL

Os autores propõem o ProtoGuard-SL, uma defesa executada no lado do servidor que explora a consistência de representação condicional à classe no espaço de embeddings. A abordagem baseia-se na observação de que, embora os ataques possam esconder-se geometricamente, eles inevitavelmente perturbam a consistência semântica que os dados benignos de uma mesma classe compartilham.

O método opera em duas etapas principais:

A. Representação Baseada em Consistência de Protótipos

Em vez de analisar os embeddings brutos, o servidor transforma o espaço de características em um espaço relacional:

1. Construção de Protótipos Robustos: O servidor utiliza as etiquetas disponíveis para calcular um protótipo para cada classe. Para garantir robustez contra uma pequena fração de dados envenenados, o protótipo de cada classe é definido como a mediana (coordenada a coordenada) dos embeddings dessa classe, e não a média.
2. Transformação de Consistência: Cada embedding é transformado em um vetor de consistência. Este vetor representa a similaridade de cosseno do embedding em relação a todos os protótipos de classe.
   • Resultado: Embeddings benignos exibem padrões de similaridade estáveis e consistentes com sua classe. Embeddings envenenados, devido à distorção semântica introduzida pelo gatilho, produzem perfis de similaridade anômalos, tornando-se separáveis dos benignos neste novo espaço.

B. Filtragem Conformal Condicional à Classe

Para identificar e remover os embeddings anômalos sem assumir uma distribuição paramétrica específica:

1. Pontuação de Desvio: Calcula-se a distância entre o vetor de consistência de um embedding e o padrão de referência (mediana dos vetores de consistência) da sua classe.
2. Filtragem Conformal: Utiliza-se uma estratégia de filtragem baseada em p-valores conformais. O sistema classifica um embedding como benigno se sua pontuação de desvio não for estatisticamente significativa em relação à distribuição de desvios da mesma classe.
   • Isso permite uma detecção robusta que não depende de suposições sobre a forma da distribuição dos dados e é resistente a desequilíbrios de classe.

3. Principais Contribuições

• Identificação de Propriedade Fundamental: Os autores demonstram que a consistência de representação condicional à classe é uma propriedade fundamental de embeddings benignos no SL e que ataques de backdoor disruptam essa estrutura.
• Nova Representação Relacional: Propõem uma transformação que mapeia embeddings para um espaço de consistência de protótipos, aumentando drasticamente a separabilidade entre dados benignos e envenenados.
• Mecanismo de Filtragem Robusto: Desenvolvem um filtro livre de distribuição e condicional à classe que mitiga ataques de backdoor mantendo a precisão dos dados benignos.
• Validação Abrangente: O método foi testado em três conjuntos de dados distintos (CIFAR-10, SVHN e Bank Marketing) e contra três tipos de ataques (VILLAIN, SplitNN e BadVFL).

4. Resultados Experimentais

Os experimentos compararam o ProtoGuard-SL com defesas de base (sem defesa, Privacidade Diferencial, Poda de Modelo, Poda de Neurônios Adversariais e VFLIP).

• Desempenho Superior: O ProtoGuard-SL alcançou o estado da arte (SOTA) em todos os cenários.
  • Taxa de Sucesso do Ataque (ASR): Reduziu a ASR para níveis extremamente baixos (entre 0,03 e 0,08), comparado a taxas próximas a 0,90 sem defesa.
  • Precisão do Modelo (MA): Mantive ou até melhorou a precisão em dados limpos (MA), evitando o compromisso (trade-off) entre segurança e utilidade observado em outras defesas (como VFLIP, que reduzia drasticamente a precisão).
• Análise de Ablação: A remoção de qualquer componente (representação de consistência, relação de todas as classes ou filtragem condicional) resultou em degradação significativa, provando a importância de cada módulo.
• Escalabilidade: O método manteve sua eficácia mesmo com o aumento do número total de clientes (de 2 a 8), enquanto defesas de base degradavam seu desempenho.
• Robustez Arquitetural: Funcionou consistentemente bem com diferentes arquiteturas de modelos locais (ResNet-18 e VGG-19).

5. Significado e Impacto

O trabalho é significativo porque aborda uma lacuna crítica na segurança do Aprendizado Federado Vertical. Ao demonstrar que a consistência semântica intra-classe é um indicador confiável de integridade, mesmo quando os dados brutos não são acessíveis, o ProtoGuard-SL oferece uma solução prática e robusta para proteger sistemas de aprendizado colaborativo contra ataques sofisticados e furtivos. A abordagem permite que instituições (como hospitais ou bancos) colaborem em modelos de IA sem o risco de serem comprometidas por backdoors ocultos nas representações intermediárias, garantindo tanto a privacidade quanto a segurança do modelo final.