Explorando las Vulnerabilidades del Aprendizaje Federado: Un Análisis Profundo de los Ataques de Inversión de Gradientes

Exploring the Vulnerabilities of Federated Learning: A Deep Dive into Gradient Inversion Attacks

March 13, 2025

Autores: Pengxin Guo, Runxi Wang, Shuang Zeng, Jinjing Zhu, Haoning Jiang, Yanran Wang, Yuyin Zhou, Feifei Wang, Hui Xiong, Liangqiong Qu

cs.AI

Resumen

El Aprendizaje Federado (FL, por sus siglas en inglés) ha surgido como un paradigma prometedor para el entrenamiento colaborativo de modelos que preserva la privacidad sin compartir datos crudos. Sin embargo, estudios recientes han revelado que la información privada aún puede filtrarse a través de los gradientes compartidos y ser atacada mediante Ataques de Inversión de Gradientes (GIA, por sus siglas en inglés). Aunque se han propuesto muchos métodos de GIA, aún falta un análisis detallado, evaluación y resumen de estos métodos. Si bien varios artículos de revisión resumen los ataques a la privacidad existentes en FL, pocos estudios han realizado experimentos extensos para revelar la efectividad de los GIA y los factores limitantes asociados en este contexto. Para llenar este vacío, primero llevamos a cabo una revisión sistemática de los GIA y categorizamos los métodos existentes en tres tipos: GIA basado en optimización (OP-GIA), GIA basado en generación (GEN-GIA) y GIA basado en análisis (ANA-GIA). Luego, analizamos y evaluamos exhaustivamente los tres tipos de GIA en FL, proporcionando información sobre los factores que influyen en su rendimiento, practicidad y amenazas potenciales. Nuestros hallazgos indican que OP-GIA es el escenario de ataque más práctico a pesar de su rendimiento insatisfactorio, mientras que GEN-GIA tiene muchas dependencias y ANA-GIA es fácilmente detectable, lo que los hace poco prácticos. Finalmente, ofrecemos una línea de defensa en tres etapas para los usuarios al diseñar marcos y protocolos de FL con el fin de mejorar la protección de la privacidad, y compartimos algunas direcciones futuras de investigación desde las perspectivas de atacantes y defensores que creemos deberían ser exploradas. Esperamos que nuestro estudio ayude a los investigadores a diseñar marcos de FL más robustos para defenderse contra estos ataques.

English

Federated Learning (FL) has emerged as a promising privacy-preserving collaborative model training paradigm without sharing raw data. However, recent studies have revealed that private information can still be leaked through shared gradient information and attacked by Gradient Inversion Attacks (GIA). While many GIA methods have been proposed, a detailed analysis, evaluation, and summary of these methods are still lacking. Although various survey papers summarize existing privacy attacks in FL, few studies have conducted extensive experiments to unveil the effectiveness of GIA and their associated limiting factors in this context. To fill this gap, we first undertake a systematic review of GIA and categorize existing methods into three types, i.e., optimization-based GIA (OP-GIA), generation-based GIA (GEN-GIA), and analytics-based GIA (ANA-GIA). Then, we comprehensively analyze and evaluate the three types of GIA in FL, providing insights into the factors that influence their performance, practicality, and potential threats. Our findings indicate that OP-GIA is the most practical attack setting despite its unsatisfactory performance, while GEN-GIA has many dependencies and ANA-GIA is easily detectable, making them both impractical. Finally, we offer a three-stage defense pipeline to users when designing FL frameworks and protocols for better privacy protection and share some future research directions from the perspectives of attackers and defenders that we believe should be pursued. We hope that our study can help researchers design more robust FL frameworks to defend against these attacks.