Denial-of-Service or Fine-Grained Control: Towards Flexible Model Poisoning Attacks on Federated Learning

要約

タイトル – Federated Learningにおける柔軟なモデル毒化攻撃：DoSまたは細粒度の制御

要約 – Federated Learning（FL）は、アドバーサリがグローバル集計結果を破壊し、サービス拒否（DoS）を引き起こす毒化攻撃に脆弱です。最近のモデル毒化攻撃がDoSを引き起こすために特定の指定された方向に沿った悪意のある摂動の大きさを最適化するのに対し、我々は柔軟性に優れたモデル毒化攻撃（FMPA）を提案します。我々は実用的な脅威シナリオを考慮し、アドバーサリがFLシステムに関する追加の知識（例：集計ルールや良性デバイスのアップデート）を持っていないと仮定しています。FMPAは、グローバル履歴情報を利用して、次のラウンドのグローバルモデルを良性言及を参照として予測する推定器を構築します。その後、参照モデルを微調整して、低い精度と小さな摂動で目的の毒化モデルを得ます。FMPAは、DoSを引き起こすことが目的だけでなく、細粒度の制御可能な攻撃を発動するために自然に拡張することができます。これにより、悪意のあるFLサービスプロバイダは、気づかれずに競合他社に優位性を得ることができるため、DoS以外のFLにおける新しい攻撃面が開かれます。 DoSの目的でも、実験により、FMPAが6つの最新の攻撃に優れてグローバル精度を顕著に低下させることが示されました。

– Federated Learningは、毒化攻撃に脆弱であり、アドバーサリがグローバル集計結果を破壊し、サービス拒否（DoS）を引き起こすのに利用できる。
– FMPAは、最近のモデル毒化攻撃に対抗し、柔軟な攻撃目標を達成できる。
– FMPAは、グローバル履歴情報を利用して、次のラウンドのグローバルモデルを良性言及を参照として予測する推定器を構築し、参照モデルを微調整して目的の毒化モデルを得る。
– FMPAは、DoSを引き起こすだけでなく、細粒度の制御可能な攻撃を発動することもできる。
– 悪意のあるFLサービスプロバイダは、気づかれずに競合他社に優位性を得ることができるため、FMPAはDoS以外のFLにおける新しい攻撃面を開く。
– FMPAの実験により、FMPAが6つの最新の攻撃に優れてグローバル精度を顕著に低下させることが示されました。

要約(オリジナル)

Federated learning (FL) is vulnerable to poisoning attacks, where adversaries corrupt the global aggregation results and cause denial-of-service (DoS). Unlike recent model poisoning attacks that optimize the amplitude of malicious perturbations along certain prescribed directions to cause DoS, we propose a Flexible Model Poisoning Attack (FMPA) that can achieve versatile attack goals. We consider a practical threat scenario where no extra knowledge about the FL system (e.g., aggregation rules or updates on benign devices) is available to adversaries. FMPA exploits the global historical information to construct an estimator that predicts the next round of the global model as a benign reference. It then fine-tunes the reference model to obtain the desired poisoned model with low accuracy and small perturbations. Besides the goal of causing DoS, FMPA can be naturally extended to launch a fine-grained controllable attack, making it possible to precisely reduce the global accuracy. Armed with precise control, malicious FL service providers can gain advantages over their competitors without getting noticed, hence opening a new attack surface in FL other than DoS. Even for the purpose of DoS, experiments show that FMPA significantly decreases the global accuracy, outperforming six state-of-the-art attacks.

arxiv情報

提供元, 利用サービス

arxiv.jp, OpenAI