Resumo Técnico: Detecção e Mitigação de Ataques Backdoor em Sistemas OTA-FL

1. Declaração do Problema

A Aprendizagem Federada Over-the-Air (OTA-FL) aproveita a propriedade de superposição dos canais sem fio para alcançar uma agregação de modelos eficiente em termos de comunicação, oferecendo sobrecarga teoricamente livre de escala para redes de borda móvel. No entanto, essa eficiência introduz uma vulnerabilidade de segurança crítica: o Servidor de Parâmetros (PS) recebe apenas o sinal agregado, não as atualizações individuais dos clientes. Consequentemente, o PS não pode verificar a correção de atualizações locais específicas, tornando os mecanismos de defesa padrão inaplicáveis.

Essa vulnerabilidade é particularmente aguda contra ataques backdoor, onde adversários manipulam um subconjunto de clientes para incorporar comportamentos maliciosos ocultos (mapeamentos gatilho-alvo) no modelo global, mantendo alta precisão em entradas benignas. O desafio é exacerbado por:

• Restrições de Furtividade: Adversários sofisticados podem criar gradientes envenenados constrangidos por métricas específicas (por exemplo, distância Euclidiana ou similaridade de Cosseno) para imitar a deriva de gradiente benigna, evadindo métodos de detecção que dependem de métricas únicas.
• Dados Não-IID: Em cenários realistas com dados não independentes e identicamente distribuídos (Não-IID), clientes benignos exibem naturalmente deriva de gradiente devido à heterogeneidade dos dados. Isso dificulta que o PS distinga entre heterogeneidade estatística e atualizações maliciosas cuidadosamente elaboradas.
• Impossibilidade de Inspeção por Cliente: Diferentemente do FL tradicional, a OTA-FL impede que o PS inspecione ou filtre individualmente as atualizações dos clientes antes da agregação.

Defesas existentes para OTA-FL frequentemente dependem de estratégias intensivas em recursos (por exemplo, blocos de recursos dedicados, símbolos fictícios) ou mudanças arquitetônicas que comprometem a eficiência do sistema. Há uma necessidade de um mecanismo de defesa que minimize a sobrecarga enquanto identifica efetivamente ataques backdoor furtivos e constrangidos por métricas.

2. Metodologia: Confie-Depois-Inspeccione (TTI)

O artigo propõe Confie-Depois-Inspeccione (TTI), um framework de agregação robusta em duas etapas projetado para detectar e mitigar ataques backdoor em sistemas OTA-FL. A filosofia central é confinar a sobrecarga adicional de comunicação e computação exclusivamente a clientes "suspeitos", preservando a eficiência da agregação OTA para a maioria dos participantes confiáveis.

Etapa I: Classificação de Clientes via Pontuação de Confiança Consciente de Modalidade

A primeira etapa realiza uma triagem preliminar leve, do lado do cliente, para categorizar os clientes em três níveis: Confiáveis, Suspeitos e Maliciosos.

• Pontuação de Confiança Multi-Indicador Consciente de Modalidade: Em vez de depender de uma única métrica, o framework calcula uma pontuação de confiança composta ($TS$) baseada em múltiplos indicadores selecionados de acordo com a modalidade dos dados (por exemplo, forma de onda, texto, imagem) e arquitetura do modelo.
  • Indicadores Geométricos: Inclui Alinhamento de Direção Temporal (TDA), Norma Relativa $\ell_2$ e Espiculação (concentração de energia do gradiente).
  • Indicadores Específicos de Modalidade: Indicadores adicionais são adaptados para tarefas específicas (por exemplo, características específicas de texto para AG News).
  • Otimização de Pesos: Os pesos para esses indicadores não são ajustados manualmente, mas aprendidos via Otimização Bayesiana (BO). O processo de BO otimiza uma função objetivo de compromisso ($J$) que maximiza a Precisão da Tarefa Principal (MTA) enquanto minimiza a Taxa de Sucesso do Ataque (ASR) durante uma fase de calibração offline.
• Estratégia de Classificação: Com base nas pontuações de confiança calculadas, os clientes são particionados.
  • Confiáveis: Procedem diretamente para a agregação OTA.
  • Maliciosos: Excluídos imediatamente.
  • Suspeitos: Encaminhados para a Etapa II para inspeção mais profunda.

Etapa II: Inspeção Camada por Camada no Lado do PS

Clientes no nível "Suspeitos" passam por uma inspeção granular no Servidor de Parâmetros para distinguir entre deriva benigna e atualizações maliciosas.

• Decomposição Camada por Camada: O PS decompõe a atualização do modelo do cliente suspeito em gradientes individuais de camadas de rede neural.
• Extração de Recursos e Agrupamento: Para cada camada, o PS extrai recursos incluindo estrutura de sinal, forma de distribuição (curtose/assimetria), distância inter-cliente, desvio de referência, magnitude e similaridade direcional.
• Agrupamento Hierárquico Aglomerativo (AHC): O PS agrupa os clientes suspeitos em cada camada em dois grupos. O cluster "benigno" é identificado com base no alinhamento com um gradiente de referência confiável e reputação histórica, priorizando o alinhamento sobre a consistência interna (reconhecendo que atualizações benignas sob dados Não-IID podem ser altamente variáveis).
• Votação Majoritária: Um cliente é aceito se a fração de camadas classificadas como "benignas" exceder um limiar $\rho$.
• Mecanismo de Pontuação de Reputação (RS): Para fornecer defesa de longo prazo, o PS mantém uma pontuação de reputação persistente para cada cliente. Clientes que participam de agregações bem-sucedidas incrementam sua pontuação. Após um período de aquecimento, um filtro baseado no Desvio Absoluto Mediano (MAD) das pontuações de reputação é aplicado para excluir clientes com pontuações persistentemente baixas, mesmo que ocasionalmente evitem a inspeção camada por camada.

Fluxo de Trabalho Geral

O framework integra essas etapas em um processo iterativo:

1. Clientes calculam indicadores locais e os relatam ao PS.
2. O PS calcula pontuações de confiança e classifica os clientes.
3. Clientes confiáveis realizam agregação OTA; clientes suspeitos carregam atualizações individualmente.
4. O PS realiza inspeção camada por camada e filtragem por reputação.
5. O modelo global é atualizado usando o conjunto final de clientes aceitos.

3. Contribuições Principais

O artigo reivindica as seguintes contribuições específicas:

1. Pontuação de Confiança Multi-Indicador Consciente de Modalidade: Um mecanismo do lado do cliente que usa uma pontuação composta de indicadores específicos da tarefa, com pesos otimizados via Otimização Bayesiana. Essa abordagem oferece robustez contra ataques constrangidos por métricas que evadem defesas de métrica única.
2. Inspeção Camada por Camada no Lado do PS: Um módulo de detecção que opera na granularidade de camadas individuais de rede neural, em vez do modelo global. Isso aborda a limitação de métricas globais, que frequentemente falham em detectar perturbações backdoor esparsas ou localizadas (por exemplo, ataques Neurotoxin).
3. Mecanismo de Reputação de Longo Prazo: Um sistema de pontuação dinâmica que acumula evidências comportamentais ao longo do tempo, permitindo que o sistema identifique progressivamente clientes maliciosos e, eventualmente, dependa da filtragem por reputação para reduzir a sobrecarga computacional de longo prazo.
4. Validação Abrangente: Experimentos extensivos demonstrando que o framework suprime efetivamente vários ataques backdoor (Escalonamento Limitado, Constrangido por Euclidiana, Constrangido por Cosseno e Neurotoxin) enquanto mantém uma Precisão da Tarefa Principal competitiva.

4. Resultados Experimentais

Os autores avaliaram o TTI em três conjuntos de dados (RML2016.10A, AG News, CIFAR-10) com diferentes arquiteturas de modelo (CNN 1D, Text CNN, ResNet9) em configurações Não-IID.

• Supressão de Ataques: Sem defesa, ataques backdoor alcançaram altas Taxas de Sucesso de Ataque (ASR), frequentemente excedendo 80-99%. O framework TTI reduziu consistentemente a ASR para níveis próximos ao acaso (por exemplo, ~10% para CIFAR-10 de 10 classes) em todos os tipos de ataque.
• Precisão da Tarefa Principal (MTA): O framework manteve MTA competitiva, mostrando apenas degradação marginal em comparação com a linha de base sem ataque.
• Estudos de Ablação:
  • Indicador Único vs. Multi-Indicador: A classificação por indicador único (por exemplo, usando apenas a norma $\ell_2$) mostrou-se vulnerável a ataques especificamente projetados para evadir essa métrica. A abordagem multi-indicador provou-se necessária para robustez.
  • Camada por Camada vs. Modelo por Modelo: Substituir a inspeção camada por camada por inspeção de modelo inteiro degradou significativamente o desempenho contra ataques Neurotoxin, validando a necessidade de inspeção granular.
• Eficiência: Embora o TTI incorra em um tempo de execução ligeiramente maior por rodada do que linhas de base como Votação Melhor Esforço (BEV) ou FedSAC, essa sobrecarga é limitada ao nível "suspeito" (aproximadamente 30% dos clientes na configuração testada). O compromisso resulta em uma ASR significativamente menor, demonstrando um equilíbrio favorável entre robustez e eficiência.

5. Significado e Reivindicações

O artigo posiciona o TTI como uma solução para a "questão aberta" de defender a OTA-FL contra ataques backdoor sem comprometer a eficiência de comunicação que torna a OTA-FL atraente.

• Abordando a Limitação de Superposição: O framework reconhece a restrição fundamental de que o PS não pode ver atualizações individuais inicialmente. O TTI contorna isso usando relatórios leves do lado do cliente para triagem e reservando o upload/inspeção individual caro apenas para casos ambíguos.
• Robustez a Ataques Furtivos: Os autores enfatizam que seu método é especificamente eficaz contra ataques "constrangidos por métricas" (Euclidiana/Cosseno) e ataques "esparso" (Neurotoxin), que são conhecidos por derrotar defesas convencionais baseadas em norma ou direção.
• Escalabilidade e Adaptabilidade: Ao usar Otimização Bayesiana para ajuste de pesos e indicadores conscientes de modalidade, o framework é projetado para ser adaptável a diferentes tipos de dados e estruturas de modelo, sem exigir reajuste manual para cada novo cenário.
• Viabilidade de Longo Prazo: A inclusão do mecanismo de Pontuação de Reputação é destacada como uma maneira de amortizar o custo computacional da inspeção ao longo do tempo, permitindo que o sistema se torne mais eficiente à medida que aprende o comportamento dos clientes participantes.

Os autores concluem que o TTI equilibra com sucesso as demandas concorrentes de segurança (baixa ASR), utilidade (alta MTA) e eficiência (mínima sobrecarga), fornecendo uma estratégia de defesa prática para a próxima geração de sistemas de aprendizagem federada sem fio.