フェデレーテッドラーニングの脆弱性を探る：勾配反転攻撃の詳細な分析

Exploring the Vulnerabilities of Federated Learning: A Deep Dive into Gradient Inversion Attacks

March 13, 2025

著者: Pengxin Guo, Runxi Wang, Shuang Zeng, Jinjing Zhu, Haoning Jiang, Yanran Wang, Yuyin Zhou, Feifei Wang, Hui Xiong, Liangqiong Qu

cs.AI

要旨

フェデレーテッドラーニング（FL）は、生データを共有することなくプライバシーを保護しながら協調的なモデルトレーニングを実現する有望なパラダイムとして登場しました。しかし、最近の研究では、共有された勾配情報を通じて依然としてプライベート情報が漏洩する可能性があり、勾配反転攻撃（GIA）によって攻撃されることが明らかになっています。多くのGIA手法が提案されているものの、これらの手法に関する詳細な分析、評価、およびまとめはまだ不足しています。既存のFLにおけるプライバシー攻撃をまとめたサーベイ論文はいくつか存在しますが、GIAの有効性とその関連する制限要因を明らかにするための広範な実験を行った研究はほとんどありません。このギャップを埋めるため、我々はまずGIAの体系的なレビューを行い、既存の手法を最適化ベースのGIA（OP-GIA）、生成ベースのGIA（GEN-GIA）、解析ベースのGIA（ANA-GIA）の3種類に分類します。次に、FLにおけるこれら3種類のGIAを包括的に分析・評価し、その性能、実用性、および潜在的な脅威に影響を与える要因について洞察を提供します。我々の調査結果によると、OP-GIAは性能が不十分であるにもかかわらず最も実用的な攻撃設定であり、GEN-GIAは多くの依存関係があり、ANA-GIAは検出されやすいため、いずれも実用的ではありません。最後に、より良いプライバシー保護を実現するためにFLフレームワークやプロトコルを設計する際にユーザーが利用できる3段階の防御パイプラインを提案し、攻撃者と防御者の観点から追求すべき今後の研究の方向性を共有します。我々の研究が、研究者がこれらの攻撃に対抗するより堅牢なFLフレームワークを設計する一助となることを願っています。

English

Federated Learning (FL) has emerged as a promising privacy-preserving collaborative model training paradigm without sharing raw data. However, recent studies have revealed that private information can still be leaked through shared gradient information and attacked by Gradient Inversion Attacks (GIA). While many GIA methods have been proposed, a detailed analysis, evaluation, and summary of these methods are still lacking. Although various survey papers summarize existing privacy attacks in FL, few studies have conducted extensive experiments to unveil the effectiveness of GIA and their associated limiting factors in this context. To fill this gap, we first undertake a systematic review of GIA and categorize existing methods into three types, i.e., optimization-based GIA (OP-GIA), generation-based GIA (GEN-GIA), and analytics-based GIA (ANA-GIA). Then, we comprehensively analyze and evaluate the three types of GIA in FL, providing insights into the factors that influence their performance, practicality, and potential threats. Our findings indicate that OP-GIA is the most practical attack setting despite its unsatisfactory performance, while GEN-GIA has many dependencies and ANA-GIA is easily detectable, making them both impractical. Finally, we offer a three-stage defense pipeline to users when designing FL frameworks and protocols for better privacy protection and share some future research directions from the perspectives of attackers and defenders that we believe should be pursued. We hope that our study can help researchers design more robust FL frameworks to defend against these attacks.