Resumo Técnico: ARGUS - Aproveitando Vizinhos Locais para Detecção de Backdoors em Aprendizado Descentralizado

Declaração do Problema

O Aprendizado Descentralizado (DL) permite que nós treinem colaborativamente modelos de aprendizado de máquina sem um servidor central, oferecendo escalabilidade e tolerância a falhas. No entanto, essa natureza colaborativa torna o DL vulnerável a ataques de backdoor. Em tais ataques, nós maliciosos injetam atualizações adversariais que ensinam o modelo global a classificar erroneamente entradas contendo um padrão de gatilho específico (por exemplo, um patch de pixels) para um rótulo alvo, mantendo alta precisão em entradas limpas.

As defesas existentes, projetadas principalmente para Aprendizado Federado (FL), dependem de um servidor central para agregar atualizações e realizar detecção global de anomalias ou agregação robusta. Essas abordagens são inaplicáveis a cenários totalmente descentralizados onde os nós se comunicam apenas com vizinhos imediatos e carecem de uma visão global das atualizações. Além disso, a heterogeneidade de dados (dados Não Independentes e Não Identicamente Distribuídos, ou NIID) complica a detecção, pois anomalias estatísticas locais causadas por diferenças na distribuição de dados podem ser confundidas com gatilhos de backdoor, levando a altas taxas de falsos positivos.

Metodologia: O Framework ARGUS

Os autores introduzem o ARGUS, um framework de detecção de backdoor nativo do DL que opera sem um coordenador central e não requer conhecimento prévio do gatilho. O ARGUS funciona por meio de um fluxo de trabalho de três etapas executado por nós honestos:

1. Detecção Local de Gatilhos

Ao receber uma atualização de modelo de um vizinho, cada nó honesto tenta independentemente reverter um potencial gatilho de backdoor usando seu conjunto de dados de validação local.

• Mecanismo: Adaptado da abordagem DETRIGGER, o nó calcula gradientes da camada de entrada para identificar uma pequena perturbação de entrada que força a classificação errônea para um rótulo alvo específico.
• Saída: Uma decisão binária sobre se a atualização é suspeita e um padrão de gatilho candidato ($\hat{\tau}$).
• Desafio: Em cenários NIID, a heterogeneidade dos dados locais causa gatilhos de "Falso Positivo" (FP). Esses gatilhos FP são estruturalmente inconsistentes entre diferentes nós detectores porque surgem de vieses de dados locais em vez de um sinal malicioso compartilhado.

2. Verificação Colaborativa

Para distinguir backdoors reais de falsos alarmes, o ARGUS aproveita a topologia da rede. Quando um nó sinaliza uma atualização, ele consulta os outros vizinhos do remetente para validar cruzadamente o gatilho recuperado.

• Insight de Similaridade Estrutural: Gatilhos de backdoor verdadeiros (Verdadeiros Positivos) implantados por um atacante são estruturalmente consistentes; diferentes nós honestos que revertem a mesma atualização maliciosa recuperarão padrões de gatilho semelhantes. Por outro lado, gatilhos FP induzidos pela heterogeneidade de dados aparecem como máscaras independentes e aleatórias.
• Métrica: O sistema utiliza uma métrica de Similaridade Estrutural (SSIM) nos mapas de energia dos pixels top-$k$ dos gatilhos recuperados.
• Regra de Decisão: Uma atualização é rejeitada apenas se pelo menos $\kappa$ vizinhos confirmarem a suspeita, relatando um gatilho com uma pontuação de similaridade acima de um limiar calibrado $\xi$. Este limiar é derivado offline usando um modelo de campo aleatório gaussiano de falsos positivos, não exigindo dados de treinamento ou conhecimento do gatilho real.

3. Máquina de Estados de Confiança

Para reduzir a sobrecarga computacional e lidar com atacantes persistentes, os nós mantêm uma máquina de estados de confiança por vizinho com três estados: CONFIADO, SUSPEITO e REJEITADO.

• Os nós transitam para SUSPEITO após rejeições confirmadas consecutivas e são permanentemente REJEITADOS se as rejeições persistirem em uma janela deslizante.
• Atualizações de nós REJEITADOS são automaticamente descartadas sem verificação adicional.

Contribuições Principais

1. Framework ARGUS: O primeiro framework de detecção de backdoor para DL onde os nós revertem gatilhos localmente e colaboram para verificá-los, eliminando a necessidade de um servidor central ou conhecimento do gatilho.
2. Garantias Teóricas de Convergência: O artigo fornece a primeira análise de convergência para uma defesa específica de backdoor em DL. Ele modela a rejeição de atualizações como falhas de links assimétricas e prova que o ARGUS preserva uma taxa de convergência comparável ao DL padrão, desde que a probabilidade de rejeitar falsamente atualizações honestas ($p_{fp}$) seja baixa.
3. Validação Empírica: Avaliação extensa em três conjuntos de dados (CIFAR-10, FEMNIST, TinyImageNet) contra baselines de última geração (MULTI-KRUM, BADFL, P2PCD) e níveis variados de heterogeneidade de dados.

Resultados Experimentais

• Supressão de Ataques: O ARGUS reduz a Taxa de Sucesso do Ataque (ASR) de mais de 70% (em cenários sem defesa) para abaixo de 7% em todas as configurações. Em FEMNIST e TinyImageNet, a ASR cai para próximo de zero.
• Utilidade do Modelo: O framework preserva a Precisão de Teste Limpa (CA) dentro de 5 pontos percentuais de um "oráculo onisciente" (uma defesa teórica que conhece as identidades dos atacantes).
• Robustez à Heterogeneidade: Diferentemente de baselines baseadas em distância como o MULTI-KRUM, cujo desempenho degrada significativamente à medida que a heterogeneidade de dados aumenta, a eficácia do ARGUS melhora ou permanece estável. Isso ocorre porque a verificação colaborativa filtra efetivamente as inconsistências estruturais causadas pela heterogeneidade de dados.
• Comparação com Baselines: O ARGUS supera as defesas existentes de DL (BADFL, P2PCD), que ou falham em suprimir backdoors ou causam quedas significativas de precisão (até 20 pontos percentuais).

Significado e Alegações

O artigo afirma que o ARGUS representa um passo fundamental em direção ao aprendizado descentralizado resiliente a backdoors. Seu significado principal reside em:

• Descentralização: Adaptar com sucesso a defesa contra backdoors a um ambiente sem servidor, utilizando a topologia ponto a ponto como um recurso em vez de uma limitação.
• Diferenciação: A capacidade de separar limpa backdoors reais de falsos positivos induzidos pela heterogeneidade de dados por meio de análise estrutural colaborativa.
• Rigor Teórico: Fornecer garantias formais de convergência que levam em conta a natureza probabilística da filtragem de atualizações na otimização descentralizada.

Os autores reconhecem limitações, observando que a abordagem atual foca em gatilhos de patch espacialmente localizados e ainda não aborda backdoors semânticos. Além disso, embora o framework rejeite efetivamente atualizações maliciosas, trabalhos futuros poderiam explorar o uso de gatilhos verificados para "desaprender" backdoors em vez de simplesmente descartar atualizações.