本技术公开了一种基于强化学习的人脸识别联邦学习系统后门攻击方法,涉及联邦学习安全技术领域。本发明包括:获取构建强化学习虚拟环境的基础信息;采用马尔科夫链构建用于强化学习的虚拟环境;构建基于深度神经网络的强化模型,并在构建的强化学习虚拟环境中对强化模型进行训练,基于训练好的强化模型得到后门攻击模型;再将该模型置于目标联邦系统的真实环境中进行测试以实现对模型参数的微调,得到用于目标联邦系统的后门攻击模型实例。本发明解决了现有联邦学习后门攻击存在的适应性不佳,需要大量后门设备以及持久性差的问题;并且可以进一步提升联邦学习系统对后门攻击的防御能力,以及丰富联邦学习系统的后门防御能力的评估方式。
背景技术
近年来,随着人脸识别设备的普遍使用,“刷脸”已经成为了日常生活中必不可少的动作。现阶段的人脸识别设备往往部署在边缘设备上,这些设备的算力和存储能力有限,难以支持较大模型的训练,因此部分人脸识别系统以联邦学习的方式进行训练和部署。
联邦学习近年来受到了相当大的关注,并且正在成为一个流行的机器学习框架,它允许客户以分散的方式训练机器学习模型,而无需共享任何私有数据集。随着科技的发展,联邦学习已经成为了一种新兴的机器学习范式,它允许多个参与者共享模型参数,而不是原始数据。这种方法在保护用户隐私的同时,也能够实现跨设备和跨组织的协同学习。现实中的人脸识别联邦系统并不服务于单一用户,而是基于一定的准入机制允许满足条件的客户端根据自身需求选择是否加入联邦系统。
在联邦学习框架中,学习任务的数据是在边缘节点本地获取和处理的,只有更新后的模型参数才会传输到中央编排服务器进行聚合。然而,联邦学习的这种分布式特性也使其面临着一系列安全威胁,其中最为严重的就是后门攻击。后门攻击是一种恶意行为,攻击者在模型训练过程中注入恶意代码,使得模型在特定的触发条件下表现异常。这种攻击方式对于联邦学习尤其危险,因为攻击者可以利用后门攻击来窃取其他参与者的信息,或者破坏整个联邦学习系统。联邦学习中的后门攻击背后的主要思想是操纵联邦学习设置中的局部模型来破坏全局模型。在这些攻击中,攻击者试图在一个或多个局部模型中引入触发器,这样全局模型在输入上存在触发器时将具有特定的行为。后门攻击中的触发器可以分为人工触发器和语义触发器两种,人工触发器是指通过人为的方式修改图片内容(例如在图片的指定位置添加标记)来构成后门;语义触发器则是将图片的一些特征作为后门。因而有必要通过对后门攻击方式研究以提升攻击效率和成功率,同时降低被检测到的风险;进而促进联邦学习后门攻击防御手段、后门攻击检测手段等的发展,最终达到提升联邦学习安全性能的目的。
现有联邦学习的后门攻击通常只针对特定类型的防御,或者需要相对大量的恶意设备才能有效,并且,它们都不能破坏训练后防御。主要原因是这些攻击是短时的,并且在很大程度上忽略了潜在防御对(长期)攻击性能的影响,现有联邦学习的后门攻击的缺陷不利于联邦学习后门攻击防御领域的发展。
实现思路