Resumo Técnico: Aprendizado Federado Colaborativo Robusto Baseado em Reputação (R2CFL)

1. Definição do Problema

O Aprendizado Federado Colaborativo (CrowdFL) estende o Aprendizado Federado (FL) tradicional ao permitir a participação aberta e heterogênea. Embora mecanismos de incentivo baseados em reputação sejam comumente usados para guiar a seleção de trabalhadores e encorajar o comportamento honesto, as estruturas existentes sofrem de limitações críticas:

• Vulnerabilidade a Adversários Sigilosos: Os sistemas atuais frequentemente falham em quantificar a robustez contra atacantes adaptativos que criam atualizações maliciosas (ex: ataques de backdoor ou envenenamento) que se assemelham de perto às benignas. Esses adversários "sigilosos" podem evitar mecanismos de detecção padrão (como agregação robusta ou filtragem de anomalias) e acumular reputação gradualmente para influenciar tarefas futuras.
• Desacoplamento de Reputação e Robustez: Modelos de reputação existentes (ex: AutoDFL, SSMTD) são frequentemente desacoplados da robustez real do processo de agregação. Eles podem atribuir pontuações de confiança elevadas a participantes cujo comportamento malicioso permanece não detectado, criando um descompasso entre a confiança percebida e a confiança real.
• Falta de Garantias Quantificáveis: Existe uma lacuna na quantificação explícita da justiça e da robustez dos mecanismos de reputação sob condições adaptativas e evasivas.

2. Metodologia: A Estrutura R2CFL

Os autores propõem o R2CFL, uma estrutura que acopla estreitamente um modelo de reputação robusto a um mecanismo de defesa de filtragem geométrica. O sistema opera em ambientes centralizados e descentralizados (baseados em blockchain), utilizando zk-rollups de Camada-2 para escalabilidade.

2.1 Componentes Principais

• Atores do Sistema: Publicadores (definem tarefas), Trabalhadores (treinam localmente), Avaliadores/Oráculos (filtram e agregam) e Validadores (mantêm a blockchain em configurações descentralizadas).
• Modelo de Ameaça: O sistema assume um ambiente aberto onde os trabalhadores podem ser estratégicos, coludir ou lançar ataques não direcionados (envenenamento) ou direcionados (backdoor). Assume-se que a entidade de agregação é honesta-mas-curiosa ou segura via oráculos.

2.2 O Mecanismo de Defesa R2-NNM

A inovação central é o Robust Reputation-Aware Nearest Neighbor Mixing (R2-NNM), um pipeline de dois estágios que vincula a evolução da reputação diretamente à filtragem das atualizações:

1. Robust Reputation-Aware Nearest Neighbor Mixing:

   • As atualizações locais são suavizadas usando seus $k$ vizinhos mais próximos no espaço de parâmetros.
   • Os pesos de mistura são modulados dinamicamente pelas pontuações de reputação local ($L_{rep}$).
   • Um período de aquecimento ($t \le T_{warm}$) garante uma ponderação uniforme inicialmente, evitando o viés de reputação precoce. Depois disso, os pesos de reputação influenciam gradualmente a mistura ($\gamma_t$), permitindo que a confiança se acumule apenas após a verificação da consistência estatística.
   • Fórmula: $\tilde{\theta}^t_i = \sum_{j \in N_k(i) \cup \{i\}} w_{ij} \theta^t_j$, onde os pesos dependem de $L_{rep}$.

2. Seleção Robust Multi-Krum:

   • Após a mistura, uma etapa de seleção Multi-Krum escolhe o subconjunto de atualizações que minimiza as distâncias pareadas, fornecendo garantias contra comportamentos bizantinos.

2.3 Modelo de Reputação Sem Dados (Data-Free)

Ao contrário de trabalhos anteriores que dependem de conjuntos de dados de validação externos ou métricas de desempenho, o R2CFL emprega um modelo de reputação sem dados:

• Definição de Confiança: A confiança é definida puramente pelo acordo com o consenso robusto sob condições adversárias, não pela acurácia externa.
• Sinais Binários e Suaves: Um cliente recebe um indicador binário ($Reliable^t_i$) baseado em se ele foi aceito pelo filtro. Isso é combinado com um sinal de confiança suave derivado do desvio normalizado das distâncias pareadas (usando Desvio Absoluto da Mediana).
• Regra de Atualização: A reputação local é atualizada via Média Móvel Exponencial (EMA) com estabilização por período de aquecimento. A reputação global é atualizada assimetricamente ao nível da tarefa, penalizando desvios do consenso mais pesadamente do que recompensando a consistência.

3. Principais Contribuições

• Estrutura R2CFL: Uma arquitetura inovadora que integra a reputação diretamente na defesa de agregação, garantindo que o acúmulo de reputação reflita a verdadeira robustez da defesa subjacente.
• Mecanismo R2-NNM: Uma defesa de ciclo fechado onde a reputação influencia a filtragem, e a filtragem molda a reputação. Isso evita que atacantes sigilosos se infiltrem gradualmente no sistema.
• Reputação Sem Dados: Um modelo de reputação que elimina a dependência de dados de validação externos não verificáveis, baseando-se na consistência geométrica dentro da população de atualizações.
• Robustez Quantificável: A estrutura fornece um método para capturar fielmente a Taxa de Verdadeiros Positivos (TPR) e a Taxa de Falsos Positivos (FPR) da defesa subjacente através de pontuações de reputação.

4. Resultados Experimentais

Os autores avaliaram o R2CFL nos datasets FashionMNIST, GTSRB e CIFAR-10 sob vários cenários de ataque (OMP, Neurotoxin, A3FL) e distribuições de dados (IID e Non-IID).

• Convergência e Robustez: O R2-NNM iguala ou supera as defesas de estado da arte (M-Krum, FLAME, DeepSight, NNM). Ele mantém alta acurácia (ACC) e baixa Taxa de Sucesso de Ataque (ASR) contra ataques de backdoor e envenenamento adaptativos.
• Desempenho de Detecção: O R2-NNM alcança alta TPR (aprox. 0,95–0,99) enquanto mantém baixa FPR. Notavelmente, supera o FLAME (que possui alta FPR devido à filtragem agressiva) e o AutoDFL (que falha sob ataques de backdoor).
• Efetividade da Reputação:
  • Separação: O R2-NNM alcança a maior separação ($\Delta = \bar{R}_B - \bar{R}_M$) entre as pontuações de reputação benignas e maliciosas (aprox. 0,72–0,73), indicando penalização eficaz de atacantes e estabilidade para trabalhadores honestos.
  • Justiça (Fairness): O mecanismo mantém uma reputação estável para clientes benignos em configurações IID e Non-IID, ao contrário de alguns baselines que degradam sob heterogeneidade de dados.
• Estudos de Ablação:
  • Parâmetro de Mistura ($k$): Aumentar $k$ melhora a justiça (reduz a FPR), mas a mistura excessiva pode degradar levemente a TPR.
  • Escalabilidade: À medida que o número de trabalhadores aumenta, o R2-NNM mantém uma FPR estável, embora a TPR diminua naturalmente devido à redução da separabilidade estatística em federações maiores.
  • Cronograma de Ataque: O R2-NNM é robusto ao início de ataques atrasados. Enquanto a FPR do M-Krum quadruplica quando os ataques são atrasados, a FPR do R2-NNM aumenta apenas moderadamente, e ele consistentemente alcança a menor ASR.

5. Significância e Alegações

O artigo afirma que o R2CFL aborda uma lacuna fundamental no CrowdFL: a falta de um vínculo principiológico entre os mecanismos de reputação e a robustez estatística do processo de agregação.

• Prevenção de Infiltração Gradual: Ao acoplar a reputação com a filtragem robusta, o sistema impede que adversários sigilosos acumulem confiança lentamente.
• Representação Fiel: As pontuações de reputação refletem com precisão as características de verdadeiros positivos e falsos positivos da defesa subjacente, fornecendo uma medida confiável de confiabilidade em ambientes dinâmicos.
• Limitações e Trabalho Futuro: Os autores observam modestamente que o design atual não se adapta à pressão adversarial variável por rodada, o que poderia levar a trade-offs de robustez-justiça subótimos sob ataques não estacionários. Eles sugerem que trabalhos futuros envolvam o aprendizado de hiperparâmetros online via aprendizado por reforço.

O trabalho é apoiado pelo projeto CKRISP (ANR-23-IAS4-0001).