CRFL:バックドア攻撃に対する確実に堅牢なフェデレーテッドラーニング

CRFL: バックドア攻撃に対する検証可能なロバストなフェデレーテッドラーニング

バックドア攻撃:

バックドア攻撃は、深層学習における新たなセキュリティの脅威です。ディープニューラルモデルがバックドアに挿入されると、標準入力で正常に実行されますが、入力に特定のバックドアトリガーが含まれると、敵対者が指定した予測を行います。現在のテキストバックドア攻撃は、いくつかのトリッキーな状況では攻撃のパフォーマンスが低下します。

関連用語:

ユーザー: 防御者と同等で、DNN モデルの所有者です。
攻撃者: モデルにバックドアを埋め込みたい人。
クリーン入力: トリガーのない入力を指します。これは、元のトレーニングサンプル、検証サンプル、またはテストサンプルであり、クリーンサンプル、クリーンインスタンス、良性入力と同等です。
トリガー入力: バックドアをトリガーするために攻撃者によって指定されたトリガーを含む入力を指します。これは、トリガーサンプル、トリガーインスタンス、敵対的入力、毒された入力と同等です。
ターゲットクラス: 攻撃者によって指定されたトリガーに対応してトリガーされるターゲットラベルを指します。これは、ターゲットラベルに相当します。
ソースクラス: 攻撃者がトリガー入力を介して変更をトリガーしたい元のラベルを参照します。これはソースラベルと同等です。
潜在的表現: 潜在的特徴と同等で、高次元データの低次元的表現を指します (一般に入力を指します)。潜在的表現はニューラルネットワークの中間層からの特徴です。
デジタル攻撃: デジタル画像のピクセルを変更するなど、デジタル入力でマークされる敵対的摂動を指します。
物理的攻撃: 物理的世界のオブジェクトを攻撃するための敵対的妨害を指しますが、システムによってキャプチャされたデジタル入力は制御不能であり、現実世界で攻撃を開始すると理解できます。

バックグラウンド：

分散型の学習手法であるフェデレーテッドラーニングは、さまざまなクライアントからの情報を集約してグローバルモデルをトレーニングすることで大きな成功を収めています。

連合学習におけるセキュリティの問題:

悪意のあるユーザーは、バックドアを介してグローバルモデルに対してポイズニング攻撃やモデルの置き換えを実行し、グローバルモデルの予測結果を妨害します。

既存の方法の欠点:

いくつかの堅牢な集計方法を設計するか、バックドア用の経験的に堅牢なフェデレーテッドトレーニングプロトコルを設計することによって、多数の既存の方法が設計されていますが、これらの方法には堅牢性の検証が欠けています。

記事の寄稿:

バックドアに対する最初の検証堅牢なフェデレーテッドラーニングフレームワークである CRFL を提案します。CRFL は、モデルパラメーターのクリッピングとスムージングを使用してグローバルモデルの滑らかさを制御するため、限られた規模のバックドアに対して堅牢に検証できます。
提案手法の検証ロバスト性とフェデレーテッドラーニングのパラメータとの関係が指摘されています。これには、有害なインスタンスのレベル、攻撃者の数、およびトレーニング回数が含まれます。
検証のために広範な実験が行われ、連合学習におけるバックドア攻撃に対する最初の検証可能な堅牢性ベンチマークが提案されています。

1.はじめに

フェデレーテッドラーニングシナリオでは、バックドアなどの敵対的妨害をローカルクライアントに追加するのは簡単であり、それによってグローバルモデルのトレーニングに影響を与えます。これらの敵対的攻撃に対する既存の方法には、堅牢な集約関数の設計、経験的連合学習プロトコルの開発、ノイズ摂動の利用、トレーニング中の追加評価の追加などがあります。ただし、これらの方法には、特定の条件下でのバックドア攻撃に対する堅牢性の検証が欠けています。

**CRFL の具体的なプロセス:** トレーニングフェーズでは、各クライアントは、集計と更新のためにパラメーターをサーバーにアップロードできます。サーバーは主に、(1) クライアントから収集したモデル情報の集計、(2) ) 集約モデルの切断パラダイム; (3) プルーニングされたモデルにランダムノイズを追加; (4) 各クライアントに新しいモデルパラメータを返す。テスト段階では、サーバーは確率的パラメーターの平滑化法に基づいて最終的なグローバルモデルを平滑化し、平滑化されたモデルに基づいて最終的な予測を行います。

バックドアが認定の範囲内にある限り、トレーニングされたグローバルモデルはバックドア攻撃に対して検証可能なほど堅牢であることが理論的に証明されています。上記のロバスト性の検証を得るために、集約プロセスの各ステップで、集約プロセスをマルコフカーネルとして扱うことにより、集約モデルのコンパクト性が定量化されます。このモデルのコンパクトさとパラメーターの平滑化手順を使用して、最終的な予測を検証します。

2. 関連作品

**連合学習におけるバックドア攻撃:** 連合学習に対するバックドア攻撃の目的は、強力な有害なローカルモデルをトレーニングし、有害なモデルの更新を中央サーバーに送信して、グローバルモデルを誤解させることです。バックドア攻撃の目的は、トレーニングフェーズ中にバックドアパターンを挿入して、このパターンを含むテスト入力がターゲットラベルに誤分類されるようにすることです。フェデレーテッドラーニングでは、バックドアの攻撃者がローカルモデルのトレーニングを操作し、メインタスクとバックドアタスクを同時に適合させます。最後に、グローバルモデルは通常のサンプルでは正常に機能し、バックドアサンプルでは高い攻撃成功率を示します。攻撃者は、複数回繰り返してローカルでトレーニングすることにより、悪意のある更新をスケーリングできます。

堅牢なフェデレーテッドラーニング: (1) 有害な重みの特定と削減 [IID 問題の仮定の下で] (2) 堅牢なフェデレーテッドプロトコルの導入 (3) バックドア攻撃を識別するための追加の検証段階の追加。【検証ロバスト性】

3. 予選

3.1 連合学習

ターゲットを最適化します。

学習プロセスの 1 ラウンド (平均 SGD):

クライアント：

サーバ：

バックドア攻撃:

アタッカー：

サーバ：

4. 方法論

トレーニングプロセス:

テストプロセス:

** 集中型設定 (RAB) での証明可能なロバスト性との比較: **RAB は M ノイズ摂動データを使用して、入力データ摂動に属する M モデルをトレーニングします。CRFL はグローバルモデルのみをトレーニングし、最終的にモデルパラメーターの摂動を入力して、ノイズによって摂動されたモデルの M 個のコピーを生成します。