Resumo Técnico: TOFD – Desacoplamento de Características Orientado ao Alvo contra Ataques de Envenenamento em Aprendizado Federado Dividido

1. Declaração do Problema

O Aprendizado Federado Dividido (Split Federated Learning - SFL) combina os benefícios de privacidade do Aprendizado Federado (FL) com a eficiência computacional do Aprendizado Dividido (Split Learning - SL) ao particionar modelos entre clientes e servidores. Enquanto os clientes transmitem representações intermediárias ("smashed data") para o servidor para processamento posterior, esta arquitetura introduz vulnerabilidades únicas. Diferente do FL padrão, onde as defesas focam frequentemente em atualizações de modelos, o SFL é suscetível a ataques de envenenamento que visam estágios específicos do pipeline, incluindo representações de características locais, rótulos, smashed data e pesos do lado do cliente.

Os mecanismos de defesa existentes, amplamente adaptados do FL convencional, falham em aproveitar as características específicas da arquitetura SFL. Eles frequentemente negligenciam o papel fundamental do smashed data como o principal conduto para sinais de envenenamento. Consequentemente, os métodos atuais lutam contra três desafios principais:

1. Alta Sobrecarga (Overhead): A transmissão frequente de smashed data exige mecanismos de detecção leves para evitar custos de comunicação proibitivos.
2. Confusão por Não-IID: Em sistemas dinâmicos, distinguir entre distribuições de dados benignos não-IID e manipulações adversariais maliciosas é difícil, levando a altas taxas de falsos positivos.
3. Efeitos Residuais: Mesmo que os dados envenenados sejam filtrados, modelos maliciosos do lado do cliente ainda podem contaminar o modelo global através da agregação, deixando efeitos adversariais residuais.

2. Metodologia: Estrutura TOFD

Os autores propõem o Desacoplamento de Características Orientado ao Alvo (Target-Oriented Feature Decoupling - TOFD), uma estrutura unificada que integra detecção proativa com otimização robusta. O TOFD opera através de um pipeline de três estágios:

Estágio 1: Inferência de Alvo (Inferência de Alvo de Ataque por Classe)

Este estágio visa identificar potenciais alvos de ataque com baixa sobrecarga, restringindo o escopo a classes suspeitas.

• Construção da Zona de Segurança Inicial: O sistema modela a distribuição de características por classe do ssmash data usando uma abordagem Gaussiana empírica. Ele calcula a distância 2-Wasserstein entre a distribuição local de um cliente e a distribuição global histórica. Um Z-score modificado identifica um conjunto inicial de "clientes suspeitos" que caem fora de uma zona de segurança.
• Verificação de Consistência Distribucional: Para distinguir o comportamento malicioso de variações benignas não-IID, a estrutura introduz uma Pontuação de Consistência Distribucional (DCS). Ela mede o deslocamento de distribuição induzido por um cliente suspeito.
• Perturbação de Margem (MP): Um limiar é estabelecido com base no desvio máximo permitido dentro da distribuição benigna (MP). Clientes cujo DCS cai dentro do MP são retidos como benignos; aqueles que o excedem são identificados como maliciosos e inferidos como visando classes específicas.

Estágio 2: Purificação de Amostras (Purificação de Amostras Calibrada por Classe)

Em vez de descartar clientes inteiros (o que reduz a diversidade de dados), o TOFD realiza uma filtragem granular nas classes alvo identificadas.

• Limiarização Adaptativa: Para amostras dentro de uma classe alvo, o desvio da distribuição global é quantificado. Um limiar calibrado por classe ($\tau_k$) é calculado dinamicamente usando o intervalo interquartil (IQR) e os valores de MP. Este limiar adapta-se às características de dispersão específicas de cada classe.
• Filtragem: Amostras que excedem o limiar são classificadas como maliciosas ($Z^-$), enquanto aquelas abaixo dele são retidas como benignas ($Z^+$). Isso garante que apenas representações benignas validadas atualizem a distribuição global e o modelo do lado do servidor.

Estágio 3: Otimização de Desacoplamento (Desacoplamento de Características Maliciosas)

Para abordar a influência adversarial residual de modelos maliciosos do lado do cliente que podem persistir após a filtragem, o TOFD integra um objetivo de desacoplamento na otimização do lado do servidor.

• Modelo de Orientação Adversarial: Um modelo de orientação ($R$), que compartilha a arquitetura do modelo do lado do servidor, é ajustado (fine-tuned) nos dados maliciosos detectados ($Z^-$) para capturar padrões induzidos pelo ataque.
• Função de Perda Conjunta: O modelo do lado do servidor é otimizado usando uma função de perda conjunta composta por:
  1. Perda de Entropia Cruzada ($L_{CE}$): Treinada nos dados benignos validados ($Z^+$) para manter o desempenho da tarefa.
  2. Perda de Desacoplamento ($L_{MFD}$): Maximiza a divergência de Kullback–Leibler (KL) entre o modelo do lado do servidor e o modelo de orientação adversarial nos dados maliciosos ($Z^-$). Isso força o servidor a divergir dos padrões de ataque enquanto preserva a integridade das características benignas.

3. Principais Contribuições

O artigo descreve quatro contribuições primárias:

1. Estrutura Unificada: O TOFD é apresentado como uma estrutura que integra sistematicamente a detecção granular com a otimização SFL, permitindo a mitigação eficaz de uma ampla gama de ataques de envenenamento (dados, pesos, smashed, rótulos e multi-vetor).
2. Mecanismo de Desentranhamento: Ao utilizar a inferência por classe e a Perturbação de Margem, o método desentranha o comportamento malicioso das variações benignas não-IID sem sacrificar a diversidade de dados.
3. Supressão de Resíduos: Uma estratégia de desacoplamento baseada em orientação adversarial é desenvolvida para suprimir a influência de ataques residuais que persistem além da fase de detecção.
4. Garantias Teóricas: Os autores fornecem uma análise teórica formal caracterizando a complexidade computacional e estabelecendo garantias de convergência para a estrutura TOFD.

4. Resultados Experimentais

Experimentos extensivos foram conduzidos em cinco conjuntos de dados (HAM10k, MNIST, F-MNIST, CIFAR10, CIFAR100) e diversas arquiteturas de modelos (DenseNet121, ResNet18, ResNet50).

• Desempenho: O TOFD superou consistentemente as defesas de estado da arte em diversos cenários de ataque, incluindo heterogeneidade extrema de dados.
• Métricas: A estrutura demonstrou robustez superior (mantendo alta precisão sob ataque) enquanto incorria em baixa sobrecarga computacional, tornando-a adequada para implantação prática.
• Eficiência: O método alcançou altas Taxas de Detecção de Amostras Maliciosas (MSDR) enquanto preservava o desempenho dos clientes benignos.

5. Significância e Alegações

O artigo afirma que o TOFD aborda uma lacuna crítica na segurança do SFL ao ir além da simples adaptação das defesas de FL. Sua significância reside em:

• Explorar o Paradigma de Divisão (Split): Ele utiliza unicamente a interface de smashed data como um ponto de controle estratégico para intervenção precoce, uma característica específica do SFL que trabalhos anteriores negligenciaram.
• Equilibrar Robustez e Utilidade: Ao empregar a filtragem calibrada por classe em vez da exclusão por nível de cliente, ele mantém a diversidade de dados e o desempenho do modelo em configurações não-IID.
• Mitigação Sistêmica: A integração da otimização de desacoplamento garante que, mesmo que alguns sinais maliciosos ultrapassem a detecção, sua influência no modelo global final seja suprimida.

Os autores concluem que o TOFD oferece uma solução teoricamente fundamentada, eficiente e robusta para proteger o Aprendizado Federado Dividido contra ameaças complexas de envenenamento.