FedIDM: Achieving Fast and Stable Convergence in Byzantine Federated Learning through Iterative Distribution Matching

1. Problema Identificado

O Federated Learning (FL) permite o treinamento de modelos de machine learning em dados descentralizados, preservando a privacidade. No entanto, essa arquitetura é vulnerável a ataques de Bizâncio, onde clientes maliciosos enviam atualizações de modelo manipuladas para corromper o modelo global.

Os desafios principais abordados pelo trabalho são:

• Convergência Lenta e Instável: A maioria dos métodos existentes de FL robusto a ataques de Bizâncio sofre de convergência lenta e instável.
• Colusão em Grande Escala: Quando uma proporção substancial de clientes maliciosos atua em colusão, os métodos atuais tendem a descartar erroneamente atualizações valiosas de clientes honestos, enquanto retêm atualizações envenenadas. Isso degrada a utilidade do modelo e impede a convergência estável.
• Ataques de "Label-Flipping": Durante a geração de dados condensados (necessária para aceleração), atacantes podem alterar rótulos para enganar o servidor, dificultando a detecção de anomalias devido à heterogeneidade dos dados e à perda de granularidade na compressão.

2. Metodologia: FedIDM

O FedIDM (Federated Learning via Iterative Distribution Matching) é um framework proposto que divide o processo de treinamento em duas etapas principais, utilizando correspondência de distribuição iterativa para criar dados sintéticos confiáveis ("condensed data").

A. Geração de Dados Condensados Tolerante a Ataques (ACDG)

O objetivo é criar um conjunto de dados sintético compacto que represente fielmente a distribuição global, mesmo na presença de ataques de alteração de rótulos (label-flipping).

• Rede de Retificação: Utiliza uma rede neural composta por um codificador compartilhado, um extrator de características $f(\cdot)$ e um classificador $h(\cdot)$.
• Correção de Rótulos Contrastiva: Combina Contrastive Learning com um Modelo de Mistura Gaussiana (GMM).
  • Os dados condensados são aumentados semanticamente e processados pelo GMM para modelar a distribuição latente.
  • O GMM estima a probabilidade de um rótulo ser benigno ou malicioso.
  • Rótulos suspeitos são corrigidos gerando "pseudo-rótulos" baseados nas previsões da rede de retificação.
• Objetivo: Gerar um conjunto de dados condensados "limpo" para treinar o modelo global e servir como base para a detecção de anomalias na próxima etapa.

B. Agregação Robusta com Rejeição Baseada em Contribuição Negativa (RA)

Nesta etapa, o servidor avalia as atualizações locais dos clientes em relação aos dados condensados gerados.

• Atualização Base: O servidor treina um modelo local usando os dados condensados (com pseudo-rótulos) para gerar uma "atualização base" ($g_s$).
• Avaliação de Contribuição:
  • Calcula-se a similaridade de cosseno entre a atualização local do cliente ($g_i$) e a atualização base ($g_s$).
  • Atualizações com contribuição negativa (que se desviam significativamente da direção da atualização base) são rejeitadas.
• Detecção de Anomalias e Filtragem:
  • Clustering (DBSCAN): Agrupa atualizações para reduzir redundância e identificar outliers sutis.
  • Ajuste de Magnitude: Ajusta a magnitude das atualizações restantes para a mediana das magnitudes originais, evitando que atualizações extremas dominem o treinamento.
  • Filtragem por Perda: Aplica as atualizações ao modelo global e calcula a perda nos dados condensados. As atualizações que causam o maior aumento de perda são eliminadas.
• Agregação Final: As atualizações restantes são agregadas ponderadas pela sua contribuição positiva.

3. Principais Contribuições

1. Novo Framework FedIDM: Introduz uma abordagem que utiliza correspondência de distribuição iterativa para garantir robustez sem sacrificar a velocidade de convergência.
2. Mecanismo ACDG: Propõe um esquema de geração de dados condensados que é tolerante a ataques de label-flipping, utilizando correção de rótulos contrastiva e GMM para purificar os dados sintéticos.
3. Estratégia de Agregação Híbrida: Combina rejeição baseada em contribuição negativa (direção) com filtragem baseada em perda (impacto no modelo), garantindo que apenas atualizações benéficas sejam agregadas.
4. Desempenho em Cenários de Alta Colusão: Demonstra eficácia mesmo quando até 50% dos clientes participantes são maliciosos e atuam em colusão, um cenário onde métodos anteriores falham.

4. Resultados Experimentais

Os autores avaliaram o FedIDM em três conjuntos de dados de referência (CIFAR-10, CIFAR-100 e Tiny-20) contra três ataques de estado da arte: LIE (Little Is Enough), STAT-OPT (Static Optimization) e DYN-OPT (Dynamic Optimization).

• Convergência: O FedIDM demonstrou convergência mais rápida e estável em comparação com métodos como FedAVG, Bulyan, Multi-Krum, Trimmed-mean e FLTrust.
• Taxa de Erro de Teste (TER):
  • Em todos os cenários de ataque e conjuntos de dados, o FedIDM obteve as menores taxas de erro.
  • Exemplo (CIFAR-10, ataque DYN-OPT): O FedAVG e métodos baseados em estatística falharam completamente (TER ~90%), enquanto o FedIDM manteve um TER de 13.75%.
  • O FedIDM superou consistentemente o FedDef e o FLTrust.
• Robustez a Não-IID: O método manteve eficácia sob diferentes graus de distribuição de dados não-IID (simulados via distribuição Dirichlet), embora o desempenho tenha diminuído levemente conforme a heterogeneidade aumentou.
• Resiliência à Colusão: O sistema manteve a robustez mesmo com 50% de clientes comprometidos.
• Avaliação de Componentes: Experimentos de ablação mostraram que remover o módulo ACDG torna o sistema vulnerável a ataques de label-flipping, e remover o módulo RA torna-o vulnerável a ataques de otimização dinâmica.

5. Significado e Impacto

O FedIDM representa um avanço significativo na segurança do Federated Learning.

• Solução para o Dilema Utilidade-Robustez: Resolve o compromisso comum onde a defesa contra ataques degrada a precisão do modelo. O FedIDM mantém a utilidade do modelo mesmo sob ataques severos.
• Escalabilidade para Colusão: É uma das poucas soluções que consegue lidar eficazmente com cenários onde a maioria dos clientes (até 50%) é maliciosa e colaborativa, um cenário crítico para aplicações reais.
• Eficiência: Ao utilizar dados condensados, o método acelera o processo de treinamento e a detecção de anomalias, tornando-o viável para sistemas com recursos limitados.

Em resumo, o FedIDM oferece um mecanismo robusto e eficiente para garantir a integridade e a convergência rápida de modelos federados em ambientes hostis e não confiáveis.