【论文阅读笔记】Coordinated Backdoor Attacks against Federated Learning with Model-Dependent Triggers

个人阅读笔记，如有错误欢迎指正！

期刊：IEEE Network 2022 Coordinated Backdoor Attacks against Federated Learning with Model-Dependent Triggers | IEEE Journals & Magazine | IEEE Xplore

问题：

        单个后门触发的效果很容易在训练过程中被良性更新所稀释，从而降低攻击效果

        依赖模型的触发器不与驯良过程关联，其后门攻击尤其是在联邦场景下容易被稀释

        依赖模型的触发器（即基于攻击者的本地模型生成的触发器）与随机触发器相比更为隐蔽

创新

        使用多个本地后门触发器来针对联合学习后门攻击

方法

从服务器接收的全局模型生成依赖于模型的局部触发器来协调攻击，而非类似DBA的随机触发器。每个局部触发器迭代调整，以激励对输入高度敏感且对目标输出有较大影响的神经元。

触发器：触发器是优化得来的，开始是一个白色的长方形，然后目标是让某一个激活层（个人认为是最后一层激活层）里的某一个神经元比重最大，反复迭代得到一个触发器图。

形状：矩形。位置：放在图像角落。大小：局部触发器的像素列

步骤：

        构建了一个空的mask作为初始触发器，触发器生成的过程相当于寻求mask的最优值分配。（可学习的trigger？）

        选择单个神经元来影响触发器的生成，以避免降低模型的主任务精度

        将投毒样本输入模型，记录所选层中每个神经元的激活次数。选择激活次数和权重之和最大的神经元进入下一步。

        选定木马神经元，搜索mask中输入变量的值分配，以便使所选神经元能够达到最大值（即生成触发器的过程）。本文中选定的神经元为攻击的目标输出所对应的神经元。

        对于给定所选神经元，使用梯度下降来通过最小化代价函数来缩小其当前值和目标值之间的差。目标值是所选层中的最高神经元值。

        如果所选神经元的值已经是给定层中的最高值，则继续增加其值，直到收敛或迭代次数达到极限。触发器是在最后一轮迭代中从mask区域中提取的。

协作后门注入

        攻击者生成本地触发器后，本地训练数据集将基于该触发器中毒

        使用生成的触发器进行数据投毒，将原始样本和中毒样本都添加到恶意客户端的训练集中

        恶意客户端使用训练集进行本地训练，并约束攻击

        在推理阶段，攻击者可以使用其本地触发器或组合的全局触发器来触发嵌入全局模型中的后门

实验

多轮恶意客户端

单次攻击

拜占庭攻击