跨域联邦学习的数据集相似度通用度量
内容提要
本文探讨了联邦学习中的安全威胁，提出了一种新型攻击方法Faker，该方法通过相似性度量实施模型中毒攻击。实验结果表明，Faker在降低模型精度方面优于传统攻击，并且能有效降低时间成本。研究还分析了Faker的扩展性及防御策略，强调了对相似性度量潜在风险的警惕。
延伸解读
相似性度量的安全盲点
文章指出，联邦学习中常用的相似性度量（如L2范数、欧氏距离、余弦相似度）在高维本地模型评估中存在弱点：不同参数值的模型可能被评估为相似。这种盲点可能被攻击者利用，设计出隐蔽的模型中毒攻击。这提醒我们，在依赖相似性度量进行模型筛选或聚合时，需警惕其潜在风险，不能仅凭相似性判断模型的可信度。
Faker攻击的威胁与效率
Faker是一种新型非定向模型中毒攻击，通过同时最大化被中毒本地模型的评估相似性和参数值差异来实施攻击。实验表明，Faker在降低模型精度方面优于传统攻击方法，并能减少时间成本。更严重的是，单个恶意客户端在有限知识下可一次性降低全局模型性能，这凸显了联邦学习系统面对高效攻击的脆弱性。
防御策略与扩展风险
针对Faker攻击，文章提供了模型评估策略SPP进行防御。同时，初步探讨了将Faker扩展到后门攻击和赛贝尔攻击的可能性，表明该攻击思路具有潜在泛化能力。鉴于联邦学习中许多机制使用相似性度量，研究强调应对这些度量的使用保持警惕，并考虑更鲁棒的防御手段。
Q&A
Faker攻击方法是如何实施的？
Faker通过最大化被中毒模型的相似性和参数差异来实施攻击。
Faker与传统攻击方法相比有什么优势？
实验结果表明，Faker在降低模型精度方面优于传统攻击方法，并能有效降低时间成本。
Faker攻击的扩展性如何？
Faker可以扩展到其他攻击类型，如后门攻击和赛贝尔攻击。
如何防御Faker攻击？
提供了一种模型评估策略SPP来防御Faker，强调对相似性度量使用的警惕。
相似性度量在联邦学习中存在哪些风险？
相似性度量在高维本地模型中可能评估为相同但参数值显著不同，存在潜在风险。
Faker攻击对全局模型的影响是什么？
Faker可以在对FL系统具有有限知识的情况下，单个恶意客户端一次性降低全局模型性能。
