STAR-FL: defesa em duas camadas contra envenenamento de dados em aprendizado federado
O paper propõe o STAR-FL, um framework de defesa para federated learning que combina clustering espaço-temporal para identificar atualizações maliciosas de clientes com um ajuste adaptativo da taxa de aprendizado na agregação, reduzindo o impacto de envenenamentos que escapam da primeira camada. Os autores reportam desempenho superior a defesas do estado da arte contra ataques de poisoning direcionados em múltiplos benchmarks de visão computacional.
Em federated learning, vários clientes treinam um modelo compartilhado localmente e enviam apenas atualizações de pesos para um servidor agregador, sem que os dados brutos saiam do dispositivo. Essa descentralização, boa para privacidade, também abre uma porta: um cliente malicioso pode enviar atualizações manipuladas (poisoning) para inserir um comportamento indesejado no modelo final, e o agregador, via de regra, não tem como inspecionar os dados que geraram aquela atualização.
O STAR-FL ataca o problema em duas etapas complementares. A primeira usa clustering espaço-temporal para comparar o padrão das atualizações de cada cliente ao longo do tempo e entre si, sinalizando como suspeitas aquelas que se desviam do comportamento coletivo — uma abordagem mais robusta do que olhar só a magnitude do update, já que ataques direcionados tendem a ser sutis o suficiente para não disparar filtros ingênuos. A segunda camada assume que nem toda atualização maliciosa será pega na primeira: durante a agregação, o algoritmo ajusta a taxa de aprendizado para reduzir a influência de qualquer contribuição residual suspeita, funcionando como uma rede de segurança para os poisonings que escaparam da detecção.
Os autores reportam que a combinação das duas camadas supera defesas do estado da arte na redução da taxa de sucesso de ataques de poisoning direcionados, avaliada em múltiplos benchmarks de visão computacional — um domínio onde FL é usado, por exemplo, em câmeras e dispositivos móveis que não podem compartilhar imagens brutas por razões de privacidade.
Na prática, esse tipo de defesa em camadas importa porque FL está sendo adotado justamente em cenários — saúde, dispositivos de borda, telecom — onde a superfície de clientes não confiáveis é grande e a auditoria de dados é impossível por design. Uma defesa que funciona tanto detectando quanto amortecendo o dano residual reduz a dependência de que a etapa de detecção seja perfeita, o que é mais realista operacionalmente.