DecoyTrace usa iscas para detectar e isolar participantes maliciosos em aprendizado federado sem servidor central
Em aprendizado federado descentralizado, a ausência de um agregador central elimina o ponto natural de observação que defesas tradicionais usam para detectar atualizações de modelo envenenadas. O DecoyTrace propõe um nó móvel que distribui desafios-isca gerados por mapas caóticos entre vizinhos da rede P2P, permitindo identificar, isolar e recuperar de participantes maliciosos, restaurando a maior parte da utilidade do modelo em sessenta configurações de teste.
Aprendizado federado descentralizado (DFL) remove o servidor central de agregação presente no aprendizado federado tradicional, o que reduz um ponto único de falha e de observação — mas isso também tira das defesas convencionais o lugar onde elas normalmente inspecionam atualizações de modelo em busca de comportamento malicioso. Em uma rede par-a-par, atualizações com backdoor ou envenenamento semântico podem permanecer próximas de atualizações benignas no espaço de parâmetros enquanto se comportam de forma bem diferente em produção, escapando de defesas baseadas em inspeção passiva de parâmetros.
O DecoyTrace ataca esse problema com um esquema de engano ativo pensado especificamente para o cenário estritamente serverless: um DecoyNode móvel gera desafios de isca usando mapas caóticos (funções determinísticas mas com comportamento imprevisível, difíceis de antecipar por um atacante) e distribui, para cada vizinho, uma versão dupla do modelo — uma cópia limpa e uma cópia-isca — de acordo com o nível de confiança estabelecido com aquele vizinho. As respostas de cada vizinho a esses desafios são avaliadas por uma métrica semântica de três estados (benigno, suspeito, malicioso). Quando um participante é confirmado como malicioso, um protocolo distribuído o isola da rede e aciona uma rotina de reset ou recuperação do modelo, preservando o progresso de treinamento já obtido em vez de descartá-lo integralmente.
A avaliação cobre sessenta configurações combinando cinco datasets, três topologias de rede e quatro cenários de ataque/defesa na plataforma NEBULA. Em MNIST e FashionMNIST, o F1-score se mantém a até 0,03 do baseline, mesmo mitigando quedas de utilidade que chegariam a 0,37 sem defesa; em EMNIST e CIFAR-100 o desempenho iguala ou supera o baseline; já em CIFAR-10, considerado o cenário convolucional visualmente mais complexo testado, a diferença fica entre 0,05 e 0,10 abaixo do baseline. Como benefício operacional adicional, o mecanismo de contenção reduz uso de CPU e de rede em até dois terços após isolar os nós maliciosos.
O trabalho é relevante para qualquer organização que avalie aprendizado federado descentralizado em contextos sensíveis — saúde, dispositivos móveis, colaboração entre instituições que não confiam plenamente umas nas outras — justamente os cenários em que a ausência de um agregador central é a motivação original para escolher DFL, mas também o que historicamente deixava esses sistemas mais expostos a envenenamento silencioso. Os próprios autores reconhecem limitações em tarefas visualmente mais complexas e em modelos de ameaça com múltiplos atacantes coordenados simultaneamente (multi-atrator), áreas que permanecem em aberto.