Pesquisadores detectam ataque de inferência de rótulos em aprendizado federado vertical pela assimetria nos embeddings
O ataque MaliciousSGD permite que um participante de aprendizado federado vertical recupere rótulos privados mantidos por outra parte, manipulando seu próprio otimizador local sem alterar as mensagens trocadas com o servidor — o que torna defesas baseadas em perturbação de gradiente ineficazes. Os autores propõem uma defesa que detecta a assinatura estatística desse ataque nos embeddings recebidos e neutraliza apenas o participante malicioso.
Aprendizado federado vertical é usado quando organizações diferentes possuem conjuntos de atributos distintos sobre os mesmos indivíduos, mas apenas uma delas detém os rótulos (por exemplo, se um cliente é inadimplente). O ataque estudado, de autoria anterior de Fu et al. e aqui aprofundado, mostra que uma parte mal-intencionada que só possui atributos pode treinar seu modelo local com um otimizador modificado chamado MaliciousSGD, que força artificialmente uma estrutura de classes nos embeddings que ela produz, e depois usa aprendizado semi-supervisionado para inferir os rótulos privados da outra parte.
O ponto tecnicamente mais importante é que esse ataque opera inteiramente dentro do otimizador local do atacante, sem jamais alterar o conteúdo das mensagens enviadas ao servidor agregador. Isso explica por que defesas tradicionais, que tentam perturbar ou podar o gradiente compartilhado, simplesmente não têm o que detectar: o comportamento malicioso nunca aparece no canal de comunicação, só no processo interno de treinamento do atacante.
A contribuição central do artigo é mostrar que esse ataque, embora invisível no gradiente, deixa um rastro visível nos próprios embeddings que o servidor já recebe normalmente: a separabilidade de Fisher entre classes nos embeddings do atacante se distancia da separabilidade observada em participantes honestos, e essa divergência já é detectável nas primeiras épocas de treinamento. A defesa proposta usa esse sinal para agir seletivamente apenas sobre o participante suspeito — reduzindo a escala do gradiente dele em tarefas com poucas classes, ou aplicando uma projeção que preserva a norma em tarefas com muitas classes — sem penalizar os participantes honestos.
Em testes com CIFAR-10, CIFAR-100 e CINIC-10, a defesa reduziu a taxa de inferência de rótulos a um nível inferior ao vazamento que já ocorre naturalmente em treinamento honesto, com custo de precisão da tarefa principal inferior a dois pontos percentuais. Isso é relevante para qualquer consórcio de aprendizado federado vertical (comum em setores como banco e saúde, onde instituições compartilham treinamento sem compartilhar dados brutos) porque mostra que a privacidade dos rótulos não pode depender só de proteger o canal de comunicação — é preciso monitorar também o comportamento estatístico dos participantes.