Fed-ADR usa um orquestrador malicioso para coordenar clientes adversarios e derrubar defesas de aprendizado federado
Pesquisadores propuseram o Fed-ADR, um ataque contra aprendizado federado em que um servidor orquestrador malicioso coordena em tempo real um grupo heterogeneo de clientes adversarios -- alguns com alvo especifico, outros nao -- fazendo-os adaptar estrategicamente seus gradientes para escapar de defesas que assumem adversarios estaticos ou agindo isoladamente. O ataque reduz a acuracia do modelo global de mais de 90% para menos de 10%, contornando varias defesas consideradas estado da arte. Os mesmos autores propoem uma defesa que estima o gradiente real de cada cliente a partir do historico de atualizacoes, detectando coordenacao maliciosa sem overhead adicional relevante, e um mecanismo de recuperacao que restaura acuracia acima de 90% em poucas rodadas sem reiniciar o treinamento, com pelo menos 20 vezes menos custo computacional que retreinar do zero.
O problema com as defesas atuais de aprendizado federado e que a maioria assume adversarios estaticos, ou que agem de forma independente uns dos outros, avaliando cada atualizacao de gradiente isoladamente contra um perfil de comportamento malicioso ja conhecido. O Fed-ADR mostra que essa suposicao quebra quando existe coordenacao dinamica entre os clientes maliciosos participantes do treinamento.
Tecnicamente, o ataque funciona atraves de um servidor orquestrador malicioso, distinto do servidor de parametros legitimo, que coordena em tempo real um conjunto heterogeneo de clientes adversarios -- misturando atacantes com alvo especifico, que querem direcionar o modelo para um comportamento adversarial predefinido, e atacantes sem alvo, que querem apenas degradar a acuracia geral do modelo. A cada rodada de treinamento, os clientes adaptam estrategicamente seus gradientes com base na coordenacao central para escapar da deteccao do servidor de parametros legitimo, reduzindo a acuracia global de mais de 90% para menos de 10% e contornando defesas consideradas estado da arte no processo.
A defesa proposta em contrapartida muda o nivel de analise: em vez de julgar cada atualizacao de gradiente isoladamente, o mecanismo estima o gradiente verdadeiro esperado de cada cliente a partir do historico de atualizacoes anteriores, permitindo detectar em tempo real quando um grupo de clientes se desvia de forma coordenada -- nao apenas quando um cliente individual parece anomalo -- sem overhead computacional adicional relevante. Um segundo componente de recuperacao in-situ restaura o desempenho do modelo global sem reiniciar o treinamento do zero, cortando o custo computacional de recuperacao em pelo menos 20 vezes na comparacao com retreinar inteiramente.
Aprendizado federado e usado justamente em cenarios onde dados sensiveis -- saude, dispositivos moveis, sensores IoT -- nao podem ser centralizados, e a suposicao implicita de muitos deployments atuais e que adversarios agem de forma isolada. Este trabalho e um lembrete de que atacantes com capacidade de coordenar multiplos clientes comprometidos -- por exemplo, um insider controlando varios dispositivos, ou uma botnet participando do treinamento -- representam uma classe de ameaca mais forte do que a maioria dos benchmarks de defesa federada testa atualmente, exigindo deteccao no nivel de padrao coletivo, e nao apenas de outlier individual.