分布式学习在拜占庭环境下的隐藏脆弱性

尽管机器学习正经历备受赞誉的成功时代,人们仍对其支柱——随机梯度下降(SGD)的脆弱性表示担忧。近期已有方法被提出,以确保分布式SGD在训练阶段对抗发送污染梯度的对抗性(拜占庭)工作者的鲁棒性。其中一些方法已被证明是拜占庭弹性的:它们保证SGD在少数对抗性工作者存在时仍能收敛。我们在本文中表明,收敛并不足够。在高维 $d \gg 1$ 下,攻击者可利用损失函数的非凸性使SGD收敛到无效的模型。更确切地说,我们揭示出现有拜占庭弹性方案留下了 $\Omega\left(f(d)\right)$ 的投毒余地,其中 $f(d)$ 至少以 $\sqrt{d~}$ 的速度增长。基于这一漏洞,我们构建了一种简单攻击,并通过实验在CIFAR-10和MNIST上展示其从强到极强的有效性。我们引入Bulyan,并证明它将攻击者的余地显著缩减至狭窄的 $O( \frac{1}{\sqrt{d~}})$ 界限。我们经实证表明,Bulyan不受现有聚合规则脆弱性的影响,并且在所需批大小的可接受代价下,实现了如同仅使用非拜占庭梯度更新模型般的收敛。