READ-2315 Data Poisoning Attacks Against Federated Learning Systems

阅读记录

一、攻击模型

1. 攻击类型
   （1）多个恶意客户端进行有目标攻击：标签翻转攻击
   （2）服务器是诚实不受控制的
   （3）数据分布：iid
2. 攻击能力
   （1）攻击者只能操控自己的数据集和学习过程
   （2）攻击者只能改变数据，不能改变学习算法
3. FL中的标签翻转攻击
   （1）即使恶意客户端占比较小，攻击者也可以对全局模型产生有效攻击
   （2）攻击者可以进行有目标攻击，从而更不容易被检测出来
   （3）若在通信早期中投毒，全局模型仍然可以收敛；若在通信后期中投毒，攻击性更强
4. 标签翻转攻击类型
   （1）在无攻击情况下，原标签常被误判为目标标签
   （2）在无攻击情况下，原标签极少被误判为目标标签
   （3）在前两种极端情况之间

二、防御

1.思路：与诚实参与者的更新相比，恶意参与者的更新具有独特的特征。然而，DNN参数较多，需要手动分析参数更新
2.防御

（1）由于给定类的预测概率由DNN架构中最后一层决定，仅选取最后一层结点的参数，并添加到聚合器构建的全局列表U中。
（2）在多轮通信后，通过去除平均值并缩放到单位方差来标准化U
（3）标准化列表U0被输入主成分分析（PCA）
（4）为了便于可视化，绘制有两个组件的二维结果

总结

针对有目标投毒攻击，攻击者的目标是在维持其他类的识别准确率的前提下，降低目标类的识别准确率。对此不由得思考：有目标攻击者的模型更新只是在特定维度上不可用，但非目标类的相关神经元仍具有可用性。