StratFL modela defesa contra envenenamento encoberto de modelo em federated learning como jogo repetido
O artigo propoe o StratFL, um algoritmo de busca adversarial que trata a disputa entre servidor de federated learning e um atacante persistente (APT) que envenena modelos de forma intermitente e encoberta como um jogo repetido de informacao imperfeita. A abordagem melhora em cerca de 10% a acuracia de deteccao em relacao ao estado da arte em testes com MNIST e CIFAR-10.
Federated learning e usado em setores sensiveis como saude e financas justamente porque permite treinar modelos sem centralizar dados brutos dos participantes -- mas isso tambem abre uma superficie de ataque em que um participante malicioso pode enviar atualizacoes de modelo envenenadas. O problema tratado aqui e especificamente o 'covert model poisoning' (CMP): um atacante do tipo ameaca persistente avancada (APT) que injeta atualizacoes envenenadas de forma intermitente, para nao disparar os mecanismos de deteccao que assumem um comportamento malicioso constante.
A contribuicao central e modelar a interacao entre servidor e atacante como um jogo repetido de informacao imperfeita, em que nenhum dos dois lados observa diretamente as acoes do outro -- o servidor nao sabe com certeza se uma atualizacao e maliciosa, e o atacante nao sabe com certeza se foi detectado. Os autores desenvolvem algoritmos de atualizacao de crenca tanto para o lado do servidor quanto para um modelo do adversario, permitindo que a defesa adapte sua estrategia de aceitacao/rejeicao de atualizacoes ao longo do tempo com base em evidencia probabilistica acumulada, em vez de regras estaticas de deteccao de outliers.
Em testes com MNIST e CIFAR-10, o StratFL demonstra convergencia empirica dos algoritmos de crenca atraves de diferentes cenarios de seguranca, com ganho de cerca de 10% de acuracia sobre metodos de defesa existentes. O ganho, embora moderado, e relevante porque o cenario de ataque -- intermitencia deliberada para escapar de deteccao -- e justamente o que defesas estaticas de agregacao robusta (como trimmed mean ou Krum) tendem a errar.
Para equipes que operam ou avaliam implantacoes de federated learning em setores regulados, o valor pratico esta menos no numero de acuracia e mais na mudanca de paradigma: tratar deteccao de envenenamento como um problema de jogo adaptativo e de crencas, nao como um classificador estatico de atualizacoes 'boas vs ruins'. Isso tende a generalizar melhor contra atacantes que adaptam seu comportamento para evadir deteccao, um padrao cada vez mais comum em ameacas direcionadas a pipelines de ML distribuido.