防御基于联邦学习的入侵检测系统免受模型投毒攻击

《Neurocomputing》：Defending federated learning-based intrusion detection systems against model poisoning attacks

　　乌默·祖凯布（Umer Zukaib）|崔晓辉（Xiaohui Cui）|法希姆·尼亚兹（Fahim Niaz）|梁东（Dong Liang）|郑成良（Chengliang Zheng）|萨拉赫·乌德·丁（Salah Ud Din）
中国华南理工大学沈明武智能工程学院，广州，510640

**摘要**
基于联邦学习（Federated Learning, FL）的入侵检测系统（Intrusion Detection Systems, IDS）对于保护医疗物联网（Internet of Medical Things, IoMT）环境的安全性至关重要，同时还能保护数据隐私。然而，FL-IDS仍然容易受到投毒攻击和后门攻击的影响，攻击者会操纵本地更新来破坏全局模型的完整性。一个主要挑战是由于梯度幅度差异导致的收敛不一致性，这会引起更新方向的冲突、梯度遗忘以及隐蔽的后门攻击持续存在。现有的防御措施，如依赖辅助验证数据或客户端排除，不足以有效解决这些问题。

为了解决这些漏洞，我们提出了一种基于FL的新IDS框架，该框架采用了改进的深度神经网络（Deep Neural Network, DNN）架构。这项工作的创新之处在于通过一种统一的数据独立机制，同时解决了梯度不一致性和对抗性鲁棒性问题，从而稳定了学习动态并减轻了对抗性影响。该框架针对本地客户端进行了优化，能够提供准确的威胁检测，并适应异构网络环境。所提出的防御措施包括三个关键贡献：（1）结合了层内方向梯度投影（Intra-Layer Directional Gradient Projection）和层间梯度幅度归一化（Gradient-Magnitude Normalization）的梯度稳定策略，以减少后门风险；（2）通过基于梯度的 importance scoring 实现选择性参数化，既能保持高效的低维表示，又能保留关键的学习梯度；（3）采用隔离森林（Isolation Forest）机制来识别和排除被污染的梯度，从而保护模型完整性。该框架在独立同分布（IID）和非独立同分布（non-IID）环境下均表现出强大的鲁棒性，能够有效处理数据异构性问题。实验结果表明，在入侵检测任务中，该框架的平均准确率提高了10.18%。此外，在应用于跨域视觉场景以防御图像分类中的投毒攻击时，其平均准确率比最先进的联邦防御方法提高了6.89%。

**引言**
人工智能（Artificial Intelligence, AI）与医疗物联网（IoMT）的结合催生了医疗物联网人工智能（AIoMT）[1]。这种集成使得现代医疗设备能够实现先进的通信和智能数据处理[2]。然而，AIoMT网络中互联设备的快速增长显著增加了安全风险。为了解决这些问题，强大的网络入侵检测系统（IDS）对于保护敏感的医疗基础设施变得至关重要[3]。

在这种情况下，联邦学习（FL）为在AIoMT环境中部署IDS提供了一种实用且保护隐私的解决方案。FL允许在分布式医疗设备之间进行协作模型训练，而无需共享原始数据[4]。每个设备使用其私有数据在本地训练模型，只有模型更新被传输到中央服务器进行聚合[5]。这种去中心化的学习范式不仅保护了数据隐私，还自然支持了现实世界IoMT系统中常见的异构和非独立同分布数据分布。因此，基于FL的IDS为动态医疗环境提供了可扩展性和适应性[6][7]。

尽管有这些优势，基于FL的IDS仍然容易受到投毒攻击和后门攻击的影响。在这些攻击中，攻击者通过注入恶意数据来操纵本地训练过程，从而破坏全局聚合模型[8]。由于服务器无法直接访问本地数据，因此难以检测到这种恶意行为，这暴露了FL框架中的一个关键弱点[9]。

最近的一些研究提出了针对联邦学习中投毒攻击的高级人工智能防御机制。例如，刘等人[10]提出了DefendFL，这是一种基于余弦相似性和掩码验证的防御机制，能够识别并抑制异常的梯度更新，显示出相对较低的计算开销；然而，当攻击者密切模仿良性更新模式时，其性能可能会下降。同样，王等人[11]提出了一种双域信任评估策略，通过同时分析模型权重和梯度的距离来检测恶意客户端，显著提高了检测和鲁棒性，尽管这引入了额外的计算复杂性和可扩展性挑战。另一种方法是Yazdinejad等人[12]采用的，他们使用安全聚合和概率聚类来检测被污染的更新，同时保持系统完整性，虽然增强了鲁棒性，但增加了通信和处理开销。此外，Lari等人[13]提出了一种部分参数共享机制，在训练过程中只交换部分模型参数，有效限制了对抗性更新的影响；然而，这可能会降低模型收敛速度和整体准确率。另外，岳和韩[14]提出了一种基于模型随机化和动态补偿的自适应防御机制，增强了对抗进化攻击的能力，但可能在高度异构的数据分布下影响训练稳定性。

另一个重要挑战是本地训练过程中的梯度幅度不平衡。被污染的数据会在模型层之间引入显著的梯度幅度变化[15]。这会导致梯度方向冲突，破坏收敛性，并增加后门攻击的持续性[16]。因此，这些不一致性进一步降低了FL-IDS的鲁棒性和可靠性[17]。

这些威胁的复杂性还因梯度后门问题而加剧，不同网络层对后门攻击的成功贡献不均[18]。这个问题在输出层尤为明显，因为显著的梯度波动表明它在实现此类攻击中的关键作用。过度依赖重新训练输出层往往会加剧这种不平衡，使模型容易受到后门触发[16]。此外，具有不同目标的层之间共享参数会在梯度更新过程中引入冲突，进一步复杂化了有效的防御机制[19]。

为了指导本研究，我们提出了以下研究问题：（1）如何在不依赖辅助数据的情况下有效缓解基于联邦学习的入侵检测系统中的投毒和后门攻击？（2）如何解决模型层之间的梯度幅度不平衡和方向冲突，以确保模型收敛的稳定性和鲁棒性？（3）能否设计出一个既高效又在不同数据域和联邦学习设置中通用的一体化防御框架？

在这项研究中，我们提出了D3-FLIDS，这是一个基于深度神经网络的框架，旨在检测、防御和抵御基于联邦学习的入侵检测系统中的投毒和后门攻击。这种集成策略优先处理干净更新，增强了模型鲁棒性，确保了AIoMT环境中的安全和可靠的联邦学习。此外，该框架适用于动态和高流量的联邦环境，因为它能够自适应地优先处理关键梯度更新，并选择性地过滤恶意贡献，确保在异构客户端上的鲁棒性能。这项工作的创新之处在于一种统一且数据独立的防御机制，它同时稳定了梯度动态并减轻了对抗性操纵，而无需依赖辅助验证数据或激进的客户端排除。我们的方法结合了两种互补策略：层内方向梯度投影（ILDGP）和层间梯度幅度归一化（GMNL）。这些技术对齐了冲突的梯度方向，并在层间规范了它们的幅度，有效解决了梯度不平衡和后门问题。为了进一步提高效率，我们采用了一种基于梯度的参数选择方法来识别和保留关键的低维模型参数。此外，我们使用隔离森林算法在FL流程中进行全局聚合之前检测和过滤被污染的梯度。这种集成策略优先处理干净更新，增强了模型鲁棒性，确保了AIoMT环境中的安全和可靠的联邦学习。

**我们对这项研究的主要贡献如下：**
1. 我们提出了一个创新的框架，结合了ILDGP和GMNL来应对模型训练过程中注入被污染后门数据所带来的挑战。这种方法有效解决了梯度幅度差异、梯度方向冲突以及梯度后门保留现象相关的问题。
2. 我们的方法引入了一种强大的模型级防御机制，利用ILDGP和GMNL来对抗针对基于FL的IDS的各种投毒后门攻击。这种防御通过协调层间的梯度并抑制对抗性影响来增强韧性。
3. 我们框架的一个关键贡献是使用基于梯度的参数分析来检测受损或被污染的模型。具体来说，我们计算模型参数向量之间的余弦相似性，并应用隔离森林算法来识别和过滤恶意更新。这种有针对性的方法不仅在模型层面中和了后门威胁，还保护了全局聚合过程，提高了FL-IDS的整体鲁棒性和可靠性。
4. 实证评估表明，所提出的D3-FLIDS框架在检测准确性和防御效率方面均优于现有方法。该框架在包括UNSW-NB15、WUSTL-IIOT-2021和CICIDS2018在内的基准数据集上表现出色，适用于独立同分布（IID）和非独立同分布（non-IID）数据场景下的入侵检测以及跨域评估（如Fashion MNIST、CIFAR-10数据集）。

**第2节回顾了相关工作**
联邦学习（FL）中的投毒和后门攻击在安全敏感领域（如入侵检测和AIoMT网络）中带来了重大风险。在这些攻击中，攻击者通过恶意数据注入或梯度篡改来操纵本地模型更新，从而降低全局模型性能或植入触发特定误分类的后门。我们假设攻击者可能对模型架构有一定的了解，并能够访问本地训练数据。

**提出的方法**
在本节中，我们描述了用于保护基于联邦学习的入侵检测系统的防御框架D3-FLIDS。我们首先概述了关键的研究空白和挑战，然后详细解释了缓解梯度不平衡、方向冲突和后门攻击的策略。

**数据集选择和攻击描述**
我们使用了CICIDS2018、UNSW-NB15、WUSTL-IIoT-2021、MedBIoT和CIC-IoMT 2024这五个数据集进行实验和性能评估。

**第5节详细介绍了实验和性能评估**
**结论**
所提出的D3-FLIDS框架在基于联邦学习的入侵检测系统中展示了强大的防御能力，能够在多种对抗性场景下显著提高准确性。这项工作的一个核心优势是它能够在FL过程中直接整合模式感知的模型级防御，为研究人员和从业者提供了增强分布式IDS可靠性的实用途径。

**作者贡献声明**
乌默·祖凯布（Umer Zukaib）：撰写——原始草稿、验证、软件、方法论、形式分析、概念化。
崔晓辉（Xiaohui Cui）：监督、资金获取、概念化。
法希姆·尼亚兹（Fahim Niaz）：撰写——审阅与编辑、数据整理。
梁东（Dong Liang）：撰写——审阅与编辑、验证。
郑成良（Chengliang Zheng）：撰写——审阅与编辑、可视化。
萨拉赫·乌德·丁（Salah Ud Din）：撰写——审阅与编辑、形式分析。

**利益冲突声明**
作者声明他们没有已知的财务利益或个人关系可能影响本文报告的工作。

**致谢**
本项工作得到了中国先进计算与智能工程基金会（国家）实验室（关于支持数据隐私保护和反数据投毒的联邦学习安全聚合的研究）的支持。
乌默·祖凯布目前是中国华南理工大学沈明武智能工程学院的博士后学者。他在中国武汉大学网络科学与工程学院获得了博士学位。他的研究兴趣包括威胁检测、监控、缓解措施和人工智能安全。