FinBack：在联邦学习中向梯度压缩器植入后门

《IEEE Transactions on Information Forensics and Security》：FinBack: Infiltrating Backdoors into Gradient Compressors on Federated Learning

联邦学习中的梯度压缩方法能有效防御后门攻击，但研究指出除SignSGD外其他方法无效。提出的FinBack攻击可绕过SignSGD，在1%恶意客户端下实现90%以上攻击成功率，包含服务器合谋和不合谋两种模式。

　　

摘要：

联邦学习（FL）作为一种有前景的分布式机器学习范式，允许客户端在不共享原始训练数据集的情况下共同训练全局模型。然而，FL容易受到后门攻击的影响，恶意客户端会在其本地模型中注入特定的后门以操纵全局模型的输出。最近的研究广泛应用了梯度压缩技术来构建高效且抵御后门攻击的FL系统，但我们认为梯度压缩并不能被视为一种可靠的后门攻击防御策略。在这项工作中，我们系统地评估了梯度压缩对抗后门攻击的有效性。实验结果表明，除了SignSGD在防止后门注入的同时不会显著降低全局模型精度之外，大多数梯度压缩方法并不能有效防御后门攻击。此外，我们开发了一种新的自适应后门攻击方法，称为FinBack，该方法能够有效渗透到梯度压缩器SignSGD中，并通过在特定神经元上引发微小的权重变化来植入后门，这些变化不会与良性客户端产生冲突，同时避免良性客户端的反击和扰动触发机制，从而确保后门的有效性和持久性。FinBack包括两种攻击模式：需要服务器协作的FinBack和不需要服务器协作的FinBackR。广泛的实验验证了所提出攻击方法的有效性和持久性，即使在只有1%的恶意客户端的情况下，SignSGD的攻击成功率（ASR）也从10%提高到了90%以上。