FedLNS propõe triagem no servidor contra clientes maliciosos em treinamento federado de LLMs
Pesquisadores apresentam o FedLNS, um mecanismo do lado do servidor para detectar atualizações maliciosas em aprendizado federado de modelos de linguagem, sem exigir acesso aos dados brutos dos clientes nem exemplos rotulados de ataque. A ideia é usar as mudanças nos parâmetros das camadas de normalização (LayerNorm) de cada atualização de cliente como uma "assinatura" comparável a uma referência histórica robusta entre clientes. Em experimentos com até 40% dos clientes manipulando alvos de treino, o método reduziu a perplexidade do modelo global mais do que seis baselines concorrentes, em arquiteturas estilo GPT, BERT e LLaMA.
Aprendizado federado permite treinar um LLM a partir de dados privados distribuídos entre vários clientes sem que o servidor central veja os dados brutos — só recebe atualizações de parâmetros. Esse desenho resolve um problema de privacidade, mas cria outro: o servidor não tem como verificar diretamente se um cliente treinou honestamente. Um cliente malicioso pode enviar atualizações baseadas em alvos corrompidos ou associações errôneas entre contexto e token, e essas atualizações se propagam para o modelo global a cada rodada de agregação, degradando a qualidade e potencialmente aumentando alucinações do modelo final.
A solução técnica do FedLNS evita a abordagem mais óbvia (auditar o update inteiro, que é caro e exige dados de referência) observando que camadas de normalização (LayerNorm) mudam de forma característica quando o objetivo de treino de um cliente diverge do restante da população. O servidor extrai essas mudanças como uma assinatura compacta a partir do próprio modelo retornado pelo cliente — não é preciso pedir metadado extra, o protocolo federado padrão já fornece o necessário. Essa assinatura é então comparada contra uma referência robusta e "consciente do histórico" (history-aware) construída a partir de todos os clientes ao longo de rodadas anteriores, o que permite sinalizar clientes fora do padrão sem exemplos rotulados de ataque nem um conjunto de dados confiável no servidor. Atualizações sinalizadas são descartadas antes da agregação, que segue com regras padrão de FL.
Os autores testaram contra 200 clientes simulados, com até 40% da população injetando alvos manipulados, em três famílias de arquitetura (GPT, BERT, LLaMA) treinadas do zero, tanto em partição IID quanto não-IID dos dados. O FedLNS superou seis baselines de defesa em perplexidade de teste em todos os cenários, indicando que a assinatura de LayerNorm captura sinal de manipulação mesmo quando a distribuição de dados entre clientes já é naturalmente heterogênea (não-IID), condição em que defesas baseadas em distância de parâmetros costumam gerar falsos positivos.
O valor prático está em reduzir o custo operacional de proteger treinamento federado de LLMs: como não exige troca adicional de metadados nem dataset de referência confiável no servidor, é mais fácil de adotar por operadores que já rodam FL em produção (por exemplo, para personalizar modelos com dados de dispositivos móveis ou de organizações parceiras que não podem compartilhar dados brutos). É uma peça defensiva, não um ataque novo, mas relevante porque a superfície de ataque que endereça — envenenamento de clientes em FL de LLMs — tende a crescer conforme mais provedores adotam esse paradigma para evitar centralizar dados sensíveis.