【论文阅读笔记】Automatic Adversarial Adaption for Stealthy Poisoning Attacks in Federated Learning

已于 2024-04-01 17:52:35 修改
阅读量1.4k 收藏 17
点赞数 21
文章标签： 论文阅读 笔记 支持向量机
于 2024-04-01 17:40:12 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/leticia_m/article/details/137240847
版权
本文提出了一种针对FL（联邦学习）的防御策略，通过增广拉格朗日优化技术，解决对抗参数优化的问题，消除手动搜索最优超参数的需求。该方法考虑了适应性对手和多约束条件，实现在防御度量中有效值范围的适应，同时在实验中展示了全面性和收敛性与SOTA的竞争力。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

个人阅读笔记，如有错误欢迎指出

会议：2024 NDSS        2024-1366-paper.pdf (ndss-symposium.org)
问题:

        过滤的方法可以不降低分类精度实现防御，但容易遭受对抗适应性攻击

        “适应性对手”的研究有所欠缺

创新

        解决了how to backdoor in FL一文中的局限性(对抗参数的手动优化)

        利用增广拉格朗日优化技术的自适应方法

        消除了对最优优化超参数的手动搜索

        提出了多个不等式约束，允许在防御度量中适应有效值范围

相关知识

        拉格朗日优化

        目的：将有约束条件的函数最优化问题通过拉格朗日函数转化为无条件的函数最优化问题

        构造拉格朗日函数，求解偏导数等于0所形成的方程组，确定满足目标函数和约束条件的变量和乘子的值

        增广拉格朗日

        计算机没有直接的基于梯度的方法来查找拉格朗日乘子，因此采用增广拉格朗日

        与惩罚的方法相比，增加了第二个惩罚项来防止惩罚参数\rho_kρk\rho_kρk​无穷大

        目的：保证\rho_kρk\rho_kρk​再可接受范围内甚至固定的情况下计算出最优解

        Karush-Kuhn-Tucker (KKT)条件

        扩展了拉格朗日乘数的使用

方法

        整体流程：1）对手训练良性模型 2）获得防御使用的每个指标的值 3）根据良心模型的最大最小值形成范围 4）对手首先进行固定的无约束后门训练 5）根据步骤3中的范围约束初始化增广拉格朗日优化方法 6）当所有约束条件均被满足则对手终止训练并向服务器提交训练参数

        增广拉格朗日优化方法

        选择一个初始\alpha_k值，并在连续的优化中逐渐增加\alpha_k​值。（该方法允许在优化过程中逐步调整\alpha_k值，使模型能够适应并达到期望的值）。

        为了防止\alpha_k​向无穷发散，使用增广拉格朗日替换惩罚方法来满足等式约束。引入参数\lambda附加惩罚项模拟拉格朗日乘子，避免\alpha_k​趋近于无穷大以获得最优解的需要。\alpha_k甚至可以固定为一个特定的足够大的值\alpha_{al}​，以支配整个函数并保证凸性。然而确切的\alpha_{al}值不是一个敏感参数，也没有引入新的超参数，基于当前解x_k的约束违反更新\lambda。

        当扩大图3框4中所示的表达式以考虑不等式约束时，应该事先当约束满足(负)时惩罚函数不影响优化，通过重新表述不等式约束作为松弛的变量s^2的等式约束实现。这样就可以像标准增广拉格朗日方法那样处理不等式约束，但代价是需要优化一个额外的变量s。利用s在增广拉格朗日范围内的特殊而简单的结构，可以解析地求出变量s的最小值。这样，就可以从增广拉格朗日量中消去s，从而得到图3框5所示的公式。

        为了适应多个不等式约束，引入一个求和项，并为每个约束分配单个变量\mu_j，如图3框6所示。该方法等价于不等式约束的增广拉格朗日方法，保证了该方法的最优收敛性。

        利用良性客户端训练模型的最大最小值实现两个不等式约束，但这两条约束容易出现相互竞争。因此在满足约束时手动将\mu_j设为0

实验

        有无自适应调整模型的余弦相似度度量

        防御可能会逐层检查模型。因此调整了ResNet-18模型的所有层，使其与良性值范围对齐

        纳入多个防御度量指标对攻击无影响。

        与SOTA相比更全面

        收敛与可用性

        运行时间

_Mia_
关注
联邦学习数据投毒 - Data Poisoning Attacks Against Federated Learning Systems
weixin_44944722的博客
04-14 1957
【博主前言】：本篇博客是联邦学习数据投毒的经典文章，这篇文章虽然发表在一个不是很出名的会议上，但是这篇文章是How to Backdoor Federated Learning中语义后门的一个思想启蒙。精读这篇文章是充分理解联邦学习投毒/后门攻击相关参数调节细节的具体操作过程
READ-2334 Detecting and mitigating poisoning attacks in federated learning using generative adversar
m0_51638853的博客
01-22 466
恶意客户端模型会对特定的输入样本进行错误的分类，并且使用缩放攻击后恶意模型的准确性将变得更低，因此可以通过审计客户端模型的准确性来进行防御。但是，如果辅助数据集中不包含发起攻击的目标样本，则无法体现恶意模型的恶意性，无法用于审计。
Automatic Adversarial Adaption for Stealthy Poisoning Attacks in Federated Learning-NDSS 2024
Restart的博客
03-07 1285
论文阅读笔记，本人保留自用。
【Paper Reading】24‘NDSS Automatic Adversarial Adaption for Stealthy Poisoning Attacks in FL
weixin_51053484的博客
01-16 5804
AutoAdapt方法的作者就是是之前MESAS那一篇的作者，这两篇感觉一攻一防，互为假想敌，也是挺有趣的，看的过程中也有一些问题，欢迎大家批评指正~原文摘述总结FL系统容易受到中毒攻击，其中对手引入恶意更新以损害聚合模型的完整性。针对此类攻击的现有防御策略包括过滤(DF)、影响降低(IR)和鲁棒聚合(RA)技术。过滤方法具有不降低分类精度的优点，但面临着对手适应防御机制的挑战。提出了一种利用增广拉格朗日优化技术的新颖适应方法AutoAdapt。
PoisonGAN: Generative Poisoning Attacks Against Federated Learning in Edge Computing Systems 阅读报告
mental的博客
12-05 1869
生成中毒数据的算法： 输入：训练数据DtrainD_{train}Dtrain​,全局模型GtG_tGt​,噪声样本ZnoiseZ_{noise}Znoise​，标签YYY。 输出：噪声数据DnoiseD_{noise}Dnoise​ Step1：初始化鉴别器D和生成器G。 Step2：循环t次，t为全局模型更新的次数。 Step3：把噪声样本中的数据输入到生成器G中生成xfake，然后把xfakex_{fake}，然后把x_{fake}xfake​，然后把xfake​发送到D。 Step4：如果xfak.
PDGAN: A Novel Poisoning Defense Method in Federated Learning Using Generative Adversarial Network笔记
雨化于画
11-05 1184
前言 论文相关信息 标题 PDGAN: A Novel Poisoning Defense Method in Federated Learning Using Generative Adversarial Network 出处和年份 出处 年份 Lecture Notes in Computer Science (including subseries Lecture Notes in Artificial Intelligence and Lecture Notes in Bi
Adversarial Attacks on deep learning阅读笔记
weixin_41617747的博客
03-14 2285
Adversarial Attacks on deep learning阅读笔记Adversarial Attacks on Deep-Learning Based Radio Signal Classification简单介绍 adversarial attackwhite-box algorithmBlack-box algorithmIntriguing properties of neur...
【论文阅读】Data Poisoning Attacks to Deep Learning Based Recommender Systems
CamillaXu的博客
12-01 2244
摘要 作者对基于深度学习的推荐系统实施了投毒攻击。 主要针对的推荐系统是：使用了**神经协同过滤框架（NCF）（采用了MLP深度学习算法）**的基于深度学习的推荐系统 通过构造一个毒药模型——用于预测假用户的评分项目，从而构造假用户，然后把假用户注入到推荐系统中，达到影响推荐系统对普通用户的推荐项目（让一个项目能尽可能多的出现在普通用户的推荐列表中） 主要工作 首次对基于深度学习的推荐系统的数据投毒攻击进行了系统研究 将攻击问题描述成一个最优化的问题，并且开发了多种技术来实现 评估了这种攻击方
Poisoning Attack in Adversarial Machine Learning
ColdWindHA的博客
03-05 2107
Poisoning Attack in Adversarial Machine Learning Data Poisoning攻击区别于Evasion攻击，是攻击者通过对模型的训练数据做手脚来达到控制模型输出的目的，是一种在训练过程中产生的对模型安全性的威胁。Data Poisoning，即对训练数据“下毒”或“污染”。这种攻击手段常见于外包模型训练工作的场景，例如我们常常将模型训练任务委托给第三方云平台（如Google Colab等等），此时第三方平台就掌握了我们的所有训练数据，很容易在训练数据上做手脚，
（翻译）DBA: DISTRIBUTED BACKDOOR ATTACKS AGAINST FEDERATED LEARNING
11-27 1477
（翻译）DBA: DISTRIBUTED BACKDOOR ATTACKS AGAINST FEDERATED LEARNING
Threat of Adversarial Attacks on Deep Learning in Computer Vision A Survey.pdf
09-18
深度学习在近年来推动了人工智能的迅猛发展，特别是在计算机视觉领域，深度神经网络已经成为了自动驾驶汽车、监控和安全等应用的核心驱动力。然而，深度学习模型尽管在解决复杂问题上表现出色，却也暴露出了其脆弱性...
Threat of Adversarial Attacks on Deep Learning in Computer Visio
09-25
然而，深度学习也面临着一个严峻的威胁——对抗性攻击（Adversarial Attacks）。这些攻击通过向图像或视频中添加微小而难以察觉的扰动，可以误导深度学习模型，使其做出错误的预测。 自从2013年首次发现这一现象...
论文笔记： Urban Region Embedding via Multi-View Contrastive Prediction
qq_40206371的博客
05-31 438
摘要：本文提出了一种新的多视图区域嵌入一致性学习框架ReCP，突破了传统"单视图表示+多视图融合"范式的局限性。ReCP通过视图内对比学习和自动编码器捕获视图特有特征，同时创新性地设计了视图间对比学习和双重预测机制，有效利用多视图间的信息一致性作为学习约束，实现知识跨视图迁移。该方法在AAAI2024会议上展示，实验验证了其有效性。
π0论文阅读
最新发布
https://github.com/heatMa
06-01 1326
摘要：π₀模型通过动作专家模块结合流匹配（Flow Matching）技术，实现高效连续动作生成，优于传统自回归离散化方法。动作专家模块利用预训练视觉语言模型处理多模态输入，流匹配通过噪声扰动和去噪过程直接输出连续动作序列，支持高频（50Hz）精细控制。相比自回归方法，流匹配避免了量化误差，提升了动作精度和生成效率，适用于衣物折叠等复杂任务。实验证明其跨实体兼容性和鲁棒性，成功率近100%。
Med-R1论文阅读理解-1
guoguozgw的博客
05-30 1158
Med-R1 为医学视觉-语言模型提供了一条全新的发展路径。不仅在性能上超越了现有 SFT 方法和更大规模的模型，还在泛化性和可解释性方面实现了突破。首次将强化学习应用于医学多模态推理。提出了 GRPO + 规则奖励的新型训练范式。验证了参数效率模型也能取得卓越性能。
brep2seq 论文笔记
njsgcs的博客
05-28 911
A_1(W_a1^m)^T + A_2(W_a2^m)^T + A_3(W_a3^m)^T: 这些项引入了额外的偏置或权重，它们与A_1、A_2和A_3矩阵相乘，并与查询和键的点积结果相加。Q_mK_m^T / √d_k: 这是标准的自注意力机制中的点积注意力（Dot-product attention），其中Q_m和K_m分别是查询（Query）和键（Key）矩阵，d_k是它们的维度。通过引入额外的矩阵A_1、A_2和A_3，该机制能够更好地捕捉和利用输入数据中的结构化信息，如图结构中的边和面的关系。
论文阅读笔记——Step1X-Edit: A Practical Framework for General Image Editing
Multiple_x的博客
05-27 1346
Step1X-Edit: A Practical Framework for General Image Editing 论文阅读笔记
[论文阅读]Poisonprompt: Backdoor attack on prompt-based large language models
m0_52911108的博客
05-30 1164
探讨了外包提示的安全漏洞，这些漏洞在发布前被恶意注入了后门。提示的后门行为可以通过注入查询句的几个触发器来激活；否则，提示行为正常。探讨了在下一个词预测任务的背景下的后门攻击。在提示调优过程中向提示注入后门带来了巨大的挑战。首先，在低熵提示上与提示调优一起训练后门任务是困难的。因此，后门攻击应该利用大型语言模型的上下文推理能力来有效地响应输入符元的微小变化。其次，向提示注入后门将不可避免地降低提示的性能。为了应对这一挑战，后门攻击的训练应同时优化提示调优任务，以保持其在下游任务上的性能。
论文笔记：Towards Explainable Traffic Flow Prediction with Large Language Models
qq_40206371的博客
05-28 844
提出的 xTP-LLM 构建于开源的大语言模型 Llama2-7B-chat上，并采用 LoRA 进行微调。交通流受诸多外部因素影响，如日期、节假日、天气、气温与能见度等。
Towards Deep Learning Models Resistant to Adversarial Attacks
04-03
Adversarial attacks are a major concern in the field of deep learning as they can cause misclassification and undermine the reliability of deep learning models. In recent years, researchers have ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值