Clientes de Federated Learning podem detectar em 1-2 rodadas se o orquestrador manipula o treinamento contra eles
Aceito nos Proceedings on Privacy Enhancing Technologies (PoPETs) 2026, o estudo propõe três técnicas — label flipping, injeção de gatilho de backdoor e fingerprinting de modelo — para que clientes de Federated Learning verifiquem, do próprio lado, se um orquestrador desonesto está manipulando a agregação para induzir overfitting direcionado contra eles. As técnicas detectam a manipulação em apenas 1 a 2 rodadas de treinamento, com F1-score de até 0,7 em ataques de cliente único.
Federated Learning evita centralizar dados justamente para preservar privacidade, mas isso desloca a confiança para o orquestrador central, responsável por agregar os modelos locais de cada cliente. A maior parte da pesquisa em privacidade de FL foca em reduzir vazamento de informação durante o treinamento, deixando pouco explorado o cenário em que o próprio orquestrador manipula deliberadamente a agregação para prejudicar clientes específicos — induzindo overfitting direcionado que pode, por exemplo, degradar o modelo final de um concorrente ou extrair mais sinal sobre seus dados privados do que o protocolo pretende revelar.
Os três autores propõem três testes de integridade executados do lado do cliente, sem exigir mudanças no protocolo de agregação nem confiar cegamente no orquestrador. No label flipping, o cliente testa a agregação global invertendo rótulos localmente e observando se a resposta agregada se comporta de forma anômala. Na injeção de gatilho de backdoor, um gatilho é inserido deliberadamente no modelo local do cliente para detectar se a agregação preserva ou distorce esse sinal de forma inesperada. No fingerprinting de modelo, assinaturas digitais dos modelos locais permitem verificar se a agregação global mantém as características esperadas dos modelos que a compuseram. Qualquer uma das três técnicas permite que o cliente se desvincule do processo de treinamento assim que detectar manipulação, antes que o dano se consolide.
Em cenários de ataque contra um único cliente, as três técnicas detectam o overfitting induzido pelo orquestrador dentro de apenas 1 a 2 rodadas de treinamento, com F1-score de até 0,7; experimentos de escalabilidade mostram que a eficácia varia conforme a composição da coorte de clientes e os parâmetros específicos de cada método.
O trabalho, aceito no PoPETs 2026, desloca parte da responsabilidade de segurança em FL do orquestrador — que pode ser justamente o atacante — para os próprios clientes, dando-lhes uma forma prática de auditoria de integridade independente. Isso é particularmente relevante para consórcios de Federated Learning entre organizações que não confiam totalmente umas nas outras, como bancos ou hospitais compartilhando modelos sem compartilhar dados, onde nenhuma das partes quer depender apenas da boa-fé de quem coordena o processo.