연합 학습의 취약점 탐구: 그래디언트 역전 공격에 대한 심층 분석

Exploring the Vulnerabilities of Federated Learning: A Deep Dive into Gradient Inversion Attacks

March 13, 2025

저자: Pengxin Guo, Runxi Wang, Shuang Zeng, Jinjing Zhu, Haoning Jiang, Yanran Wang, Yuyin Zhou, Feifei Wang, Hui Xiong, Liangqiong Qu

cs.AI

초록

연합 학습(Federated Learning, FL)은 원시 데이터를 공유하지 않고도 개인 정보를 보호할 수 있는 협업형 모델 학습 패러다임으로 주목받고 있습니다. 그러나 최근 연구에 따르면, 공유된 그래디언트 정보를 통해 여전히 개인 정보가 유출될 수 있으며, 이는 그래디언트 역전 공격(Gradient Inversion Attack, GIA)에 의해 공격받을 수 있는 것으로 나타났습니다. 다양한 GIA 방법이 제안되었음에도 불구하고, 이러한 방법들에 대한 상세한 분석, 평가 및 요약은 아직 부족한 실정입니다. 여러 조사 논문들이 FL에서의 기존 프라이버시 공격을 요약하고 있지만, GIA의 효과성과 관련된 제한 요소를 폭넓게 실험을 통해 밝힌 연구는 거의 없습니다. 이러한 공백을 메우기 위해, 우리는 먼저 GIA에 대한 체계적인 리뷰를 수행하고 기존 방법들을 최적화 기반 GIA(OP-GIA), 생성 기반 GIA(GEN-GIA), 분석 기반 GIA(ANA-GIA)의 세 가지 유형으로 분류합니다. 그런 다음, FL에서의 세 가지 GIA 유형을 포괄적으로 분석하고 평가하여, 그들의 성능, 실용성 및 잠재적 위협에 영향을 미치는 요소들에 대한 통찰을 제공합니다. 우리의 연구 결과에 따르면, OP-GIA는 성능이 만족스럽지 않음에도 불구하고 가장 실용적인 공격 설정인 반면, GEN-GIA는 많은 의존성을 가지고 있고 ANA-GIA는 쉽게 탐지될 수 있어 둘 다 실용적이지 못한 것으로 나타났습니다. 마지막으로, 우리는 더 나은 프라이버시 보호를 위해 FL 프레임워크와 프로토콜을 설계할 때 사용자들에게 세 단계의 방어 파이프라인을 제안하고, 공격자와 방어자의 관점에서 추구해야 할 몇 가지 미래 연구 방향을 공유합니다. 우리의 연구가 연구자들이 이러한 공격에 대응할 수 있는 더 강력한 FL 프레임워크를 설계하는 데 도움이 되기를 바랍니다.

English

Federated Learning (FL) has emerged as a promising privacy-preserving collaborative model training paradigm without sharing raw data. However, recent studies have revealed that private information can still be leaked through shared gradient information and attacked by Gradient Inversion Attacks (GIA). While many GIA methods have been proposed, a detailed analysis, evaluation, and summary of these methods are still lacking. Although various survey papers summarize existing privacy attacks in FL, few studies have conducted extensive experiments to unveil the effectiveness of GIA and their associated limiting factors in this context. To fill this gap, we first undertake a systematic review of GIA and categorize existing methods into three types, i.e., optimization-based GIA (OP-GIA), generation-based GIA (GEN-GIA), and analytics-based GIA (ANA-GIA). Then, we comprehensively analyze and evaluate the three types of GIA in FL, providing insights into the factors that influence their performance, practicality, and potential threats. Our findings indicate that OP-GIA is the most practical attack setting despite its unsatisfactory performance, while GEN-GIA has many dependencies and ANA-GIA is easily detectable, making them both impractical. Finally, we offer a three-stage defense pipeline to users when designing FL frameworks and protocols for better privacy protection and share some future research directions from the perspectives of attackers and defenders that we believe should be pursued. We hope that our study can help researchers design more robust FL frameworks to defend against these attacks.