EnCAgg: Enhanced Clustering Aggregation for Robust Federated Learning against Dynamic Model Poisoning

Resumo Técnico de "EnCAgg: Agregação de Agrupamento Aprimorada para Aprendizado Federado Robusto contra Envenenamento de Modelos Dinâmico"

Declaração do Problema
O Aprendizado Federado (FL) permite o treinamento descentralizado de modelos preservando a privacidade dos dados, mas permanece vulnerável a Ataques de Envenenamento de Modelos (MPAs). Nessas ataques, clientes maliciosos carregam gradientes manipulados para interromper a convergência global. As ameaças recentes são cada vez mais furtivas e dinâmicas; atacantes podem restringir finamente as atualizações para imitar estatísticas benignas ou alternar entre comportamento benigno e malicioso ao longo das iterações. Os mecanismos de defesa existentes enfrentam duas limitações primárias:

1. Suposições Estáticas: Muitos métodos dependem de limites fixos ou de um número fixo de agrupamentos (por exemplo, K-means), assumindo uma proporção conhecida e relativamente baixa de adversários. Eles falham quando a proporção maliciosa flutua dinamicamente ou quando os atacantes dominam o conjunto de clientes.
2. Perda de Gradientes Benignos: Devido à heterogeneidade dos dados, os gradientes benignos exibem naturalmente diversidade. Métodos de filtragem tradicionais frequentemente confundem essas atualizações benignas diversas com outliers ou ruído, descartando-as e degradando a capacidade de generalização do modelo global.

Metodologia: Framework EnCAgg
Os autores propõem o EnCAgg, um método de agregação robusto que utiliza um pequeno conjunto de clientes benignos conhecidos como referências para identificar e filtrar gradientes maliciosos sem assumir uma proporção maliciosa fixa. O framework opera através de três etapas sequenciais:

1. Agrupamento de Gradientes de Baixa Dimensão Baseado em Densidade:

   • Projeção: Gradientes de alta dimensão são projetados em um espaço 2D usando Análise de Componentes Principais (PCA), selecionando especificamente as duas dimensões com maior variância. Isso amplifica a separação entre atualizações benignas e maliciosas.
   • Seleção de Raio: Um raio de agrupamento dinâmico ($\epsilon$) é determinado calculando a distância euclidiana entre dois clientes "raiz" selecionados aleatoriamente do conjunto benigno conhecido.
   • Agrupamento e Filtragem: O DBSCAN (um algoritmo baseado em densidade) agrupa os gradientes projetados. O servidor identifica o agrupamento benigno verificando se os clientes raiz caem dentro de um agrupamento ou encontrando o agrupamento mais próximo dos gradientes raiz. Uma restrição de densidade ($\gamma$) é aplicada para filtrar potenciais "ataques de propagação", onde gradientes maliciosos formam uma cadeia até o agrupamento benigno.

2. Geração de Gradientes de Baixa Dimensão com Agrupamento Aprimorado:

   • Para recuperar gradientes benignos que foram mal classificados como ruído (outliers) na primeira rodada, um modelo generativo é empregado.
   • Este modelo aprende a gerar pseudo-gradientes próximos à fronteira do agrupamento benigno identificado. Esses pseudo-gradientes atuam como "pontes", conectando outliers benignos esparsos ao agrupamento benigno principal.
   • O gerador é otimizado usando uma função de perda composta que compreende:
     • Perda de Classificação de Agrupamento: Incentiva que os pseudo-gradientes sejam atribuídos ao agrupamento benigno.
     • Perda de Diversidade de Direção: Impede que os gradientes gerados colapsem em um único ponto, garantindo dispersão simétrica.
     • Perda de Diversidade de Distância: Garante que os gradientes gerados estejam espacialmente separados para evitar superconcentração.

3. Reagrupamento de Gradientes de Baixa Dimensão:

   • Os gradientes reais retidos e os pseudo-gradientes gerados são combinados para uma segunda rodada de agrupamento DBSCAN.
   • O efeito de "ponte" dos pseudo-gradientes permite que outliers benignos esparsos sejam absorvidos no agrupamento benigno.
   • Apenas os gradientes reais correspondentes ao agrupamento benigno final são agregados para atualizar o modelo global; os pseudo-gradientes são descartados.

Principais Contribuições

1. Adaptação Dinâmica: O método não requer conhecimento prévio da proporção de clientes maliciosos. Adapta-se a estratégias de envenenamento dinâmico onde a intensidade do ataque e a proporção maliciosa variam entre as iterações.
2. Estratégia de Agrupamento Inovadora: Introduz uma abordagem de agrupamento de baixa dimensão baseada em densidade que aproveita referências benignas conhecidas para distinguir atualizações maliciosas, preservando ao mesmo tempo a diversidade das atualizações benignas.
3. Mecanismo de Recuperação Generativa: O desenho de um gerador de agrupamento aprimorado que produz pseudo-gradientes para recuperar outliers benignos mal classificados, melhorando significativamente a retenção de atualizações úteis.
4. Análise Teórica: O artigo fornece uma análise de convergência tanto para o modelo gerador quanto para o modelo global, demonstrando que a convergência é garantida sob restrições específicas nos parâmetros de raio de agrupamento e densidade, mesmo na presença de clientes maliciosos.

Resultados Experimentais
Os autores avaliaram o EnCAgg nos conjuntos de dados MNIST, CIFAR-10 e MIND (recomendação de notícias) contra três estratégias de ataque: UA-FedRec, LIE (Little is Enough) e Min-Max.

• Fidelidade: Em cenários não adversariais, o EnCAgg alcançou desempenho comparável ao FedSGD padrão, com lacunas de precisão dentro de 0,8% para tarefas de imagem e 0,3% para métricas de recomendação.
• Robustez:
  • Sob baixas proporções maliciosas (10%), o EnCAgg superou as linhas de base (Krum, Mediana, FLTrust, etc.) contra ataques furtivos como LIE e Min-Max, mantendo alta precisão onde outros métodos falharam.
  • Sob altas proporções maliciosas (60%), onde a maioria das defesas colapsou, o EnCAgg manteve desempenho robusto (por exemplo, ~98% de precisão no MNIST e >80% no CIFAR-10).
  • O método permaneceu eficaz mesmo quando os clientes maliciosos compunham até 80% do total, com apenas degradação leve de desempenho.
• Ataques Adaptativos: Mesmo quando os atacantes possuíam conhecimento total da regra de agregação e criaram ataques adaptativos visando a projeção de baixa dimensão, o EnCAgg manteve alta precisão (94,67% na proporção maliciosa de 60%), demonstrando um compromisso entre o sigilo de baixa dimensão e a eficácia do ataque de alta dimensão.
• Estudos de Ablação: A remoção da redução de dimensionalidade ou do modelo gerador resultou em quedas significativas de desempenho, confirmando que ambos os componentes são essenciais para a eficácia do método.

Significado
O artigo afirma que o EnCAgg aborda a lacuna crítica nas defesas existentes em relação a estratégias de envenenamento dinâmicas e furtivas. Ao afastar-se de limites fixos e suposições de maioria, e em vez disso utilizar uma abordagem de agrupamento baseada em referências e aprimorada por geração, o EnCAgg alcança um equilíbrio superior entre robustez (filtragem de ataques) e fidelidade (retenção de atualizações benignas diversas). Os autores postulam que essa abordagem oferece uma solução mais resiliente para implantações reais de FL, onde o comportamento dos clientes e as intensidades de ataque são imprevisíveis.