通用多方投毒攻击

在这项工作中，我们展示了通用多方投毒攻击，其适应并适用于任意多方学习过程，且各方之间具有任意交互模式。更一般地，我们引入并研究了 $(k,p)$-投毒攻击，其中 adversary 控制 $m$ 方中的 $k\in[m]$ 方，并且对于每个被破坏的方 $P_i$，adversary 代表 $P_i$ 提交某些投毒数据 $\mathcal{T}'_i$，这些数据仍然与正确数据 $\mathcal{T}_i$ ``$(1-p)$ 接近''（例如，$\mathcal{T}'_i$ 的 $1-p$ 部分仍是诚实生成的）。我们证明，对于任何最终训练假设 $h$ 的“坏”性质 $B$（例如，$h$ 在特定测试样本上失败或具有“大”风险），若在无攻击时其发生概率为一个任意小的常数，则总存在一种 $(k,p)$-投毒攻击，将 $B$ 的概率从 $\mu$ 提升至 $\mu^{1-p \cdot k/m} = \mu + \Omega(p \cdot k/m)$。我们的攻击仅使用干净标签，且是在线的。更一般地，我们证明，对于定义在 $n$ 步随机过程 $\mathbf{X} = (x_1,\dots,x_n)$ 上的任意有界函数 $f(x_1,\dots,x_n) \in [0,1]$，即使以依赖概率 $p$ 覆盖 $n$ 个块中的每一个的 adversary，也能将期望输出至少提高 $\Omega(p \cdot \mathrm{Var}[f(\mathbf{x})])$。