Sovereign-Mohawk: Machine-Checked Hierarchical Byzantine Resilience and Probabilistic Composition for Federated Learning

在现代世界中，机器学习模型往往过于庞大，而数据也过于敏感，以至于无法集中收集。相反，一种被称为联邦学习的技术允许成千上万的设备（从智能手机到工业传感器）在不向中央服务器发送其私有数据的情况下，共同训练一个共享智能。每个设备从自身的本地信息中学习，并仅将一小部分更新后的模型参数发回进行合并。这种方法承诺了一个人工智能在不损害个人隐私的情况下不断进步的未来。然而，这种去中心化的系统面临着一个关键的脆弱性：“拜占庭”问题。在这种语境下，拜占庭故障是指网络中的某些参与者表现出恶意行为或发生故障，发送旨在破坏整个模型的损坏更新。如果即使是极少数的这些坏人能将他们的损坏数据混入最终的计算中，整个系统就会崩溃。

为了管理数百万台设备的庞大规模，工程师通常将这些参与者组织成一个层级结构，就像带有树枝和树叶的树一样。其理念是，如果每一个局部的设备组都在将数据向上层传递之前先检查自身的成员是否存在坏人，那么整个网络就应该是安全的。这是一个令人宽慰的假设：如果每个地方的监督者都尽职尽责，那么全局领导者就会安然无恙。但是，这个长期以来被视为设计这些系统之理所当然的假设，实际上是极其危险且存在缺陷的。瑞安·威廉姆斯（Ryan Williams）的一项名为“Sovereign-Mohawk”的新研究揭示了这一隐藏的弱点，并提供了一个用数学证明取代猜测、以确定性为基础的解决方案。

研究人员首先测试了“局部安全保证全局安全”这一普遍信念。他们构建了一个两层层级结构的正式数学模型，其中设备组向区域监督者发送更新，随后由监督者向全局领导者发送摘要。在他们的模型中，他们创造了一个场景：每一个区域监督者都完美地遵守了规则。每个局部组都有多数诚实设备，且局部过滤器成功拦截了各自小圈子内的明显坏人。然而，当研究人员观察宏观全局时，他们发现整个网络实际上被坏人所控制。通过精心布置恶意设备，使其在每个局部组中都处于检测阈值之下，他们成功创造了一种情况：即总网络中有百分之六十被对手控制。局部的守卫者们履行了职责，但整个系统却崩溃了。这并非对可能失败情况的模拟，而是一个经过机器校验的证明，证明了旧有的思维方式根本行不通。

在推翻了旧方法之后，团队需要寻找一种既不放弃局部处理效率，又能修复层级结构的方法。他们意识到，问题的根源在于设备的放置是可预测的。如果攻击者知道哪些设备会被分到一组，他们就可以安排其恶意节点以钻空子。为了解决这个问题，研究人员引入了一种随机分配的方法。他们不再让设备固定在特定的组内，而是提议通过一种类似于从帽子里抽签的过程将设备重新洗牌并分配到委员会中，但这一过程具有严格的数学保证。他们证明了，如果设备被随机分配到这些委员会中，那么恶意小组聚集足够多的坏人以突破局部过滤器的概率会变得微乎其微，甚至趋近于零。他们使用一个专门用于检查数学证明的计算机系统验证了这一点，结果显示，即使在一个拥有五万名成员的委员会中存在大量的坏人，失败的概率也小于一个极其巨大的数字——其零的数量比宇宙中的原子还要多。

这一理论上的突破并未止步于抽象概念。研究人员构建了一个运行中的软件系统，以展示他们的新方法如何在现实世界中运行。他们开发了一个使用 Go 语言编写的高速引擎，负责管理数千个模拟设备之间的数据流。该系统包含了多层保护措施，以确保隐私和安全。它在数据更新中加入了一种特定类型的数学噪声，以防止任何人通过逆向工程获取单个用户的私密信息。它还使用了先进的密码学工具，用以在不泄露数据本身的前提下证明所发送数据的有效性，并采用了旨在抵御未来量子计算机攻击的新型加密方法。

团队在一个模拟大规模网络的受控环境中测试了该系统，在单台物理计算机上运行了多达一千五百个虚拟设备。他们使系统遭受了激烈的攻击，其中高达百分之三十五的设备正积极试图破坏学习过程。尽管面临如此高强度的压力，系统依然稳固。模型持续学习并改进，在一百轮训练后达到了 86.4% 的准确率。这与一个完美的、未受攻击的系统（准确率为 88.2%）相比，下降幅度极小。这种安全性的成本出奇地低。检查证明和重新洗牌设备所增加的时间仅为每轮训练增加了约三十五毫秒，这种延迟极短，是以微秒来衡量的。

这项工作代表了我们思考如何保障大规模人工智能安全方式的重要转变。它使该领域从依赖于“局部检查如何扩展到全局”的乐观假设，转向建立在严谨的、经机器验证的保证基础之上。通过证明旧有的层级模型是破碎的，并提供了一种全新的、基于概率的组织网络方式，研究人员表明，构建既高效又能够抵御蓄意攻击者威胁的系统是完全可能的。“Sovereign-Mohawk”系统为未来提供了一个蓝图：即数百万台设备可以安全地进行协作，因为它们知道集体的智能受到的是数学精细校验的保护，而非仅仅依靠希望。