Analysis and benchmarking of active attacks against federated learning on ischemic stroke tabular data

Federated Learning is a Machine Learning paradigm that allows a network of learners to train a global model without sharing local private data. Each participant contributes to the federation by sharing the model updates obtained from local training. One remarkable application of Federated Learning is in the healthcare environment, where privacy regulatory policies constitute a barrier to data sharing between medical structures, hindering the training of effective learning models to assist caregivers. The emphasis on privacy and its role in sensitive applications has driven research toward investigating Federated Learning vulnerabilities against various attack models. However, current literature focuses on Federated Learning applications on image-based datasets, while security aspects on tabular data with heterogeneous features remain largely underexplored. To address this gap, we perform a benchmarking analysis of active attacks against Federated Learning in the context of ischemic stroke classification. Active attacks refer to those threat scenarios where a malicious participant actively interferes with the learning process to achieve a specific goal. We select some of the most relevant attack models studied in literature -Label Flipping, Clean-Label, and Free-rider- and implement them in our specific scenario. Specifically, we assess the effectiveness of the attack across various framework configurations, taking into account different factors such as data distributions, aggregation algorithms, and number of attackers. Additionally, we propose a new attack model against Federated Learning algorithms where a malicious client shares tampered updates to infer their own aggregation weight assigned by the Parameter Sever. We prove that the devised attack model represents a concrete threat to Federated Learning principles by showing two successful implementations.

L'Apprendimento Federato è un paradigma di Apprendimento Automatico che consente ad una rete di partecipanti di istruire un modello globale senza condividere i propri dati locali. Ogni partecipante contribuisce alla rete condividendo gli aggiornamenti sul modello ottenuti dall'apprendimento locale. L'Apprendimento Federato risulta particolarmente efficace nel settore sanitario, dove la condivisione di dati è impedita da rigide normative sulla privacy, ostacolando un'efficace istruzione di modelli di apprendimento a supporto del personale sanitario. L'enfasi sulla privacy, e la sua applicazione a contesti critici, hanno spinto la ricerca a studiare la vulnerabilità dell'Apprendimento Federato rispetto a diversi modelli di attacco. Tuttavia, la letteratura focalizza lo studio alle applicazioni su immagini, mentre gli aspetti di sicurezza nell'ambito di dati tabulari con caratteristiche eterogenee rimangono inesplorati. Per colmare questa lacuna, analizziamo la vulnerabilità dell'Apprendimento Federato rispetto a diversi attacchi attivi nel contesto di classificazione di ictus ischemico. Gli attacchi attivi fanno riferimento agli scenari di attacco in cui un partecipante malevolo interferisce attivamente col processo di apprendimento al fine di raggiungere uno scopo specifico. A tal proposito, selezioniamo alcuni tra gli attacchi più rilevanti studiati in letteratura -Attacco Label Flipping, Attacco Clean-Label, Attacco Free-rider- e li implementiamo nel nostro contesto di riferimento. In particolare, valutiamo l'efficacia degli attacchi su diverse configurazioni di sistema, considerando diversi fattori quali la distribuzione dei dati, gli algoritmi di aggregazione, e il numero di attaccanti. In aggiunta, proponiamo un nuovo modello di attacco contro gli algoritmi di aggregazione, dove un partecipante malevolo condivide aggiornamenti modificati in modo da inferire il proprio peso in fase di aggregazione sul server. Contestualmente, dimostriamo che il modello di attacco proposto rappresenta una minaccia concreta ai principi dell'Apprendimento Federato mostrando due implementazioni di successo.