PoisonedFL: Ataques de Envenenamiento de Modelos para el Aprendizaje Federado a través de la Consistencia Multi-Round

Los ataques de envenenamiento de modelos son amenazas de seguridad críticas para el Aprendizaje Federado (FL). Los ataques de envenenamiento de modelos existentes sufren de dos limitaciones clave: 1) logran una efectividad subóptima cuando se implementan defensas y/o 2) requieren conocimiento sobre las actualizaciones del modelo o datos de entrenamiento locales de clientes genuinos. En este trabajo, hacemos una observación clave: su efectividad subóptima surge de aprovechar únicamente la consistencia de actualizaciones del modelo entre clientes maliciosos dentro de rondas de entrenamiento individuales, haciendo que el efecto del ataque se cancele a sí mismo a través de las rondas de entrenamiento. A la luz de esta observación, proponemos PoisonedFL, que impone consistencia multi-ronda entre las actualizaciones del modelo de los clientes maliciosos sin requerir ningún conocimiento sobre los clientes genuinos. Nuestra evaluación empírica en cinco conjuntos de datos de referencia muestra que PoisonedFL rompe ocho defensas de última generación y supera a siete ataques de envenenamiento de modelos existentes. Además, también exploramos nuevas defensas que se adaptan a PoisonedFL, pero nuestros resultados muestran que aún podemos adaptar PoisonedFL para romperlas. Nuestro estudio muestra que los sistemas de FL son considerablemente menos robustos de lo que se pensaba anteriormente, subrayando la urgencia en el desarrollo de nuevos mecanismos de defensa.