联邦学习中内部规避攻击的特征刻画

联邦学习允许分布式系统中的客户端联合训练机器学习模型。然而，客户端的模型在训练和测试阶段都易受攻击。本文研究了对抗客户端实施“内部规避攻击”的问题：在测试时构造规避攻击以欺骗其他客户端。例如，攻击者可能出于经济利益，试图欺骗通过联邦学习训练的垃圾邮件过滤器和推荐系统。在联邦学习设定下，由于权重信息在客户端之间共享，对抗客户端对受害模型拥有大量信息。我们首次刻画了此类内部规避攻击针对不同学习方法的迁移性，并分析了根据客户端数据相似程度在模型准确率与鲁棒性之间的权衡。我们表明，联邦学习设定下的对抗训练防御对内部攻击仅表现出有限的改进。然而，将对抗训练与个性化联邦学习框架相结合，相比联邦对抗训练可将相对内部攻击鲁棒性提高60%，并且在有限系统资源下表现良好。