Mettere al sicuro l'apprendimento federato decentralizzato con difesa a bersaglio mobile

L'ascesa dell'Internet delle Cose (IoT) ha generato una quantità enorme di dati ogni giorno. Per gestire questi dati in modo sicuro e privato, l'Apprendimento Federato (FL) è diventato un metodo importante. FL consente a più dispositivi di collaborare per addestrare modelli di machine learning senza condividere i propri dati grezzi. Tuttavia, l'FL tradizionale si basa su un server centrale per combinare i risultati, il che può creare ritardi e vulnerabilità.

Per superare queste sfide, i ricercatori hanno sviluppato l'Apprendimento Federato Decentralizzato (DFL), che elimina il server centrale. Questo sistema consente ai dispositivi di comunicare direttamente, rendendo il sistema più stabile e affidabile. Tuttavia, la natura aperta del DFL lo rende vulnerabile agli attacchi, in particolare gli attacchi di avvelenamento, in cui cattivi attori manipolano dati o modelli per interrompere l'apprendimento.

#Sfide dell'Apprendimento Federato Decentralizzato

In un sistema DFL, alcuni partecipanti possono agire in modo malevolo, cercando di rovinare la qualità del modello. Poiché non c'è un'autorità centrale per supervisionare il processo, questi partecipanti possono facilmente introdurre dati dannosi o aggiornamenti di modello fuorvianti. La maggior parte dei metodi esistenti presume che tutti i dati siano simili e si comportino in modo uniforme, il che non è il caso nelle applicazioni reali. Questa assunzione di uniformità rende difficile identificare e separare i dati cattivi da quelli buoni durante l'addestramento.

Le sfide si amplificano quando si trattano dati non IID (non Indipendentemente e Identicamente Distribuiti), dove i partecipanti possiedono diversi tipi di dati che non seguono la stessa distribuzione. In contesti non IID, diventa difficile determinare se un modello sia stato manomesso o se rifletta semplicemente le caratteristiche uniche dei dati su cui è stato addestrato.

#Panoramica della Soluzione Proposta

Per affrontare questi problemi, viene presentato un nuovo approccio chiamato Difesa a Obiettivo Mobile (MTD). L'MTD funziona cambiando continuamente il metodo di operazione in modo da confondere gli attaccanti. Questa strategia rende più difficile per gli attaccanti compromettere con successo il sistema, poiché devono adattarsi a condizioni in cambiamento.

Questo approccio ha diverse caratteristiche chiave:

1. Punteggio di Reputazione Doppio: Il metodo valuta le prestazioni del modello in base a quanto bene corrisponde ai dati locali e come si comporta complessivamente.
2. Modalità Dinamiche: Il sistema ha modalità proattive e reattive, adattando le proprie risposte in base alla situazione.
3. Strategie Adattive: Utilizza metodi di aggregazione diversi per combinare i modelli, il che aiuta a evitare schemi prevedibili che gli attaccanti possono sfruttare.

#Come Funziona MTD

In MTD, ogni ciclo di addestramento del modello consiste in diverse fasi:

• Addestramento Locale: Ogni dispositivo addestra il proprio modello utilizzando i propri dati.
• Scambio di Modelli: I dispositivi condividono i loro aggiornamenti di modello con i dispositivi vicini.
• Valutazione della Reputazione: Ogni dispositivo valuta la qualità dei modelli ricevuti in base alle loro prestazioni.
• Applicazione di MTD: Il sistema implementa strategie MTD per mitigare gli attacchi.
• Aggregazione dei Modelli: Infine, i dispositivi combinano i loro modelli per creare un modello unificato per prestazioni migliori.

#Sistema di reputazione

Il sistema di reputazione gioca un ruolo fondamentale in MTD. Combina due elementi principali:

1. Similarità del Modello: Misura quanto un modello corrisponde alle prestazioni attese in base ai dati locali.
2. Prestazioni del Set di Validazione: Valuta quanto bene il modello funziona su un set di validazione separato.

Utilizzando questi due indicatori si crea un punteggio di reputazione completo che aiuta a identificare modelli e partecipanti potenzialmente malevoli.

#Implementazione di MTD

Il sistema MTD è progettato per essere adattabile e reattivo. Funziona modificando quali elementi vengono cambiati, come vengono cambiati e quando.

1. Cosa Cambiare: L'attenzione è rivolta a modificare i collegamenti di comunicazione tra i dispositivi e i metodi utilizzati per combinare gli aggiornamenti del modello. Questo riduce la probabilità che gli attaccanti possano prendere di mira nodi specifici o sfruttare strategie prevedibili.

2. Come Cambiare: Utilizza due strategie:

   • Topologia Dinamica: Cambia il modo in cui i dispositivi sono collegati, impedendo agli attaccanti di prendere facilmente di mira percorsi specifici.
   • Algoritmo di Aggregazione Dinamico: Seleziona casualmente diversi metodi per combinare i modelli per mantenere agilità e ridurre la prevedibilità.

3. Quando Cambiare: Il sistema opera in due modalità:

   • Modalità Proattiva: Cambia regolarmente la struttura della rete o i metodi di aggregazione.
   • Modalità Reattiva: Risponde solo quando viene rilevata un'anomalia.

La natura dinamica del sistema assicura che rimanga robusto contro gli attacchi.

#Sperimentazione con MTD

Per testare l'efficacia dell'approccio MTD, sono stati condotti esperimenti utilizzando dataset noti come MNIST, FashionMNIST e CIFAR-10. Questi dataset sono spesso usati per compiti di riconoscimento delle immagini, fungendo da benchmark per valutare le prestazioni del machine learning.

#Dataset e Modelli Utilizzati

1. MNIST: Un dataset di cifre scritte a mano composto da 60.000 immagini di addestramento e 10.000 immagini di test.
2. FashionMNIST: Un dataset con 60.000 immagini di addestramento e 10.000 immagini di test in dieci diverse categorie di moda.
3. CIFAR-10: Un dataset più complesso contenente 50.000 immagini di addestramento e 10.000 immagini di test in dieci classi.

Ogni dataset è stato testato in diverse condizioni, concentrandosi particolarmente su impostazioni non IID dove le distribuzioni dei dati variavano significativamente tra i partecipanti.

#Tipi di Attacchi Testati

Sono stati studiati tre tipi di attacchi per valutare l'efficacia di MTD:

1. Flipping di Etichette Non Mirati: Gli attaccanti cambiano le etichette dei campioni di dati, facendo sì che il modello apprenda informazioni errate.
2. Avvelenamento del Modello: Gli attaccanti alterano i pesi del modello introducendo rumore prima di condividere gli aggiornamenti del modello.
3. Attacchi Backdoor: Gli attaccanti inseriscono trigger specifici nei loro dati che causano al modello di classificare in modo errato alcuni input.

Gli esperimenti variavano il numero di nodi malevoli per simulare diversi livelli di minaccia.

#Risultati degli Esperimenti

Gli esperimenti hanno rivelato importanti intuizioni su come MTD possa mitigare vari attacchi:

#Prestazioni Senza Attacchi

In un ambiente controllato senza attacchi, diversi metodi di aggregazione si sono comportati in modo variabile in base alla topologia dei dispositivi connessi. Questa valutazione iniziale ha fornito una base per come le diverse configurazioni si comporterebbero in condizioni normali.

#Risultati Contro il Flipping di Etichette Non Mirati

Affrontando il flipping di etichette non mirati, sia le strategie MTD che gli algoritmi di base inizialmente si sono comportati bene con bassi livelli di attacco. Tuttavia, man mano che la proporzione di nodi compromessi aumentava, gli algoritmi di base faticavano a mantenere le prestazioni. Al contrario, le strategie MTD, soprattutto quelle che impiegano topologie dinamiche, hanno mostrato una forte resilienza, mantenendo un'alta efficacia anche quando un numero significativo di nodi era malevolo.

#Risultati Contro l'Avvelenamento del Modello

Gli attacchi di avvelenamento del modello hanno presentato sfide simili. Mentre gli algoritmi di base erano rapidamente sopraffatti man mano che aumentava il numero di nodi compromessi, le strategie MTD hanno mantenuto alti livelli di prestazioni. I modelli che impiegavano topologie dinamiche hanno mantenuto un alto F1-Score a vari livelli di minaccia, dimostrando un'efficace filtrazione degli aggiornamenti malevoli.

#Risultati Contro gli Attacchi Backdoor

Sebbene MTD abbia mostrato una migliore resilienza contro gli attacchi non mirati, gli attacchi backdoor hanno rappresentato una sfida maggiore. Il successo dell'attacco aumentava con il numero di nodi malevoli. Tuttavia, le strategie MTD che combinavano sia l'aggregazione dinamica che le modifiche topologiche hanno mostrato le migliori prestazioni contro gli attacchi backdoor, dimostrando il suo potenziale come meccanismo di difesa.

#Conclusione e Direzioni Future

L'approccio basato su MTD si dimostra un metodo efficace per proteggere i sistemi DFL contro vari tipi di attacchi di avvelenamento, in particolare in contesti non IID. Utilizzando un punteggio di reputazione doppio e modificando dinamicamente sia la topologia della rete che le strategie per l'aggregazione dei modelli, questo approccio migliora l'integrità e le prestazioni del modello.

Guardando avanti, ci sono opportunità per affinare ulteriormente le strategie MTD. La ricerca futura potrebbe esplorare ulteriori metodi per contrastare diversi tipi di attacchi, in particolare quelli mirati alle vulnerabilità backdoor. Inoltre, l'integrazione di strategie MTD più avanzate potrebbe arricchire le capacità difensive complessive dei sistemi DFL.

In generale, i risultati evidenziano l'importanza dell'adattabilità e della reattività nella difesa contro le minacce avversarie in un ambiente di apprendimento federato decentralizzato. I metodi sviluppati qui rappresentano un framework promettente per migliorare la sicurezza del machine learning nelle applicazioni del mondo reale dove la privacy dei dati e l'integrità del modello sono fondamentali.