Învățare federată pentru AI militar pe date clasificate distribuite

Paradoxul central al antrenării AI-ului militar este că datele care ar îmbunătăți cel mai mult performanța operațională a unui model sunt exact datele care nu pot fi mutate. Jurnalele de senzori clasificate, imaginile ISR din teatrele active, înregistrările ordinului electronic de luptă și seturile de date ale partenerilor aliați există dincolo de granițe de compartimentare care fac imposibilă antrenarea centralizată convențională. Învățarea federată rezolvă acest paradox prin inversarea paradigmei de antrenare: în loc să mute datele către model, modelul merge la date. Fiecare organizație participantă se antrenează local pe propriul corpus clasificat și partajează numai actualizări de gradient — derivate matematice care îmbunătățesc modelul global fără a expune eșantioanele de antrenament subiacente. Acest articol examinează întreaga stivă de inginerie pentru implementarea învățării federate în medii de apărare, de la selectarea topologiei federării, prin calibrarea confidențialității diferențiale, agregarea securizată, operarea tactică asincronă și atenuarea amenințărilor robuste la bizantini.

De ce învățare federată pentru apărare — suveranitatea datelor între comenzi, bariera clasificării și prospețimea modelului pe margine

Datele de antrenament pentru AI militar sunt distribuite pe silozuri organizaționale prin proiectare, nu din întâmplare. Politica de clasificare, autoritățile legale și cerințele de securitate operațională creează granițe ferme între organizațiile deținătoare de date. Imaginile ISR ale unei Comenzi de Operații Speciale nu pot fi transmise la infrastructura de antrenament a unei forțe convenționale fără a naviga controalele de acces la compartimente, care pot dura luni de zile pentru a fi rezolvate — dacă rezolvarea este posibilă deloc. O națiune aliată parteneră care contribuie cu date de senzori la un model de coaliție nu poate transfera legal acele date în afara infrastructurii sale suverane, conform legii securității naționale, indiferent de ce cadre de tratat există între națiuni.

Bariera clasificării este cea mai acută problemă. Antrenarea centralizată pe date cu clasificări multiple necesită ridicarea infrastructurii de antrenare la cel mai înalt nivel de sensibilitate al oricărui set de date contribuitor. Un cluster de antrenament autorizat pentru date Top Secret/SCI costă cu un ordin de mărime mai mult la construire, personal și acreditare decât o facilitate la nivel Secret și restrânge grupul de ingineri și oameni de știință a datelor care pot lucra cu el la o fracțiune din forța de muncă. În practică, cele mai multe programe de AI din apărare aleg să se antreneze pe cele mai puțin sensibile date disponibile, mai degrabă decât să acrediteze o facilitate de nivel superior — ceea ce înseamnă că modelul este privat de cele mai relevante exemple de antrenament operațional. Învățarea federată elimină acest compromis, permițând fiecărui siloz să contribuie la modelul global la propriul său nivel de clasificare. Actualizările de gradient care părăsesc fiecare siloz nu poartă marcaje de clasificare echivalente cu datele-sursă — sunt artefacte matematice ale procesului de antrenament, nu înregistrări de date.

Prospețimea modelului pe margine este a treia motivație. O provocare a inferenței AI pe margine în sisteme militare este că modelul desfășurat pe o platformă tactică, cu luni în urmă, a fost antrenat pe o instantanee a lumii care s-ar putea să nu mai corespundă mediului operațional curent. Seturile de vehicule-țintă evoluează, forme de undă radar noi sunt introduse, iar tehnicile de camuflare ale adversarului se adaptează pentru a învinge tiparele de detectare cunoscute. Învățarea federată permite îmbunătățirea continuă a modelului din datele colectate pe platformele desfășurate și la bazele operaționale înaintate, alimentând îmbunătățiri înapoi către modelul global, fără a cere platformelor să trimită date operaționale brute pe lanț — o constrângere de lățime de bandă și securitate care face exfiltrarea datelor brute de pe platformele tactice impracticabilă. Modelul se îmbunătățește de pe teren, în timp ce datele rămân pe teren.

Arhitecturi FL pentru apărare: cross-silo vs cross-device — federare la nivel de comandă și la nivel de platformă

Învățarea federată în implementările din apărare se împarte în două tipare arhitecturale fundamental diferite, fiecare potrivit unui strat distinct al ierarhiei organizaționale militare. Înțelegerea diferenței este condiție prealabilă pentru selectarea cadrului corect, a strategiei de agregare și a arhitecturii de securitate.

Federarea cross-silo conectează un număr mic de participanți mari, stabili din punct de vedere instituțional — de obicei 5–50 — fiecare deținând seturi de date clasificate substanțiale. Într-un context de apărare, participanții cross-silo sunt comenzi militare, agenții de informații, națiuni partenere sau birouri de programe pentru platforme. Fiecare siloz are o infrastructură de calcul dedicată, capabilă să ruleze o buclă completă de antrenare a modelului, o conexiune de rețea persistentă la serverul de agregare (cu ferestre programate de mentenanță pentru deconectare) și autoritate instituțională asupra datelor sale. Federarea cross-silo tolerează costuri de comunicație mai mari pe rundă, deoarece participanții sunt bine resursați, și beneficiază de bogăția statistică a setului de date local mare al fiecărui participant. Provocările principale de inginerie sunt distribuțiile eterogene ale datelor între organizații, cadrele legale și de politică care guvernează participarea și infrastructura de autentificare și autorizare necesară pentru a asigura că numai silozurile autorizate pot contribui la modelul global.

Federarea cross-device conectează un număr mare de participanți cu resurse limitate, disponibili episodic — potențial mii de terminale individuale ale soldaților, noduri de senzori, stații la sol pentru UAV sau module de calcul pentru vehicule. Fiecare dispozitiv deține doar o cantitate mică de date generate local, are conectivitate de rețea intermitentă și poate intra și ieși din federație în mod imprevizibil. FL cross-device necesită agregare asincronă, compresie agresivă a gradientelor pentru a minimiza lățimea de bandă de comunicație și metode statistice care pot extrage semnal util din seturi de date locale foarte mici, foarte non-IID (non-independente și non-identic distribuite). Este arhitectura potrivită pentru AI-ul din rețele mesh tactice, unde scopul este actualizarea unui model partajat din experiența colectivă a unei rețele de senzori distribuite, fără ca vreun nod individual să acumuleze vreodată suficiente date pentru a se antrena semnificativ pe cont propriu.

Cele mai multe programe instituționale de AI din apărare — cele care operează la nivelul comenzii, domeniului sau programului de referință — folosesc arhitectura cross-silo cu 10–30 de participanți bine identificați. Arhitectura cross-device se aplică în principal programelor de AI tactic experimentale, unde platformele individuale sunt participanții la antrenament. Cele două pot fi combinate ierarhic: federarea cross-device la nivelul rețelei tactice se agreghează într-un participant cross-silo la nivelul comenzii operaționale, care, la rândul său, participă la o federare cross-silo strategică. Această structură ierarhică permite ca datele de la senzorii tactici individuali să influențeze în final modelul global, fără ca vreun date brute de senzor să traverseze mai mult de un salt de rețea.

Confidențialitate diferențială pentru datele de antrenament militar — calibrarea zgomotului DP-SGD, alegerea epsilon pentru cazuri de utilizare în apărare, compromisul dintre utilitate și confidențialitate

Actualizările de gradient, deși nu sunt date brute, nu sunt perfect opace. Cercetările au demonstrat că atacurile de inversare a gradientului pot reconstrui eșantioane de antrenament individuale din actualizările de gradient, cu o fidelitate surprinzătoare, în special pentru dimensiuni mici de lot local și arhitecturi de modele puțin adânci. Într-un context de apărare, chiar și reconstrucția parțială a datelor de antrenament dintr-un gradient interceptat ar putea compromite surse de informații, dezvălui tipare de culegere ale senzorilor sau expune capabilități ale platformelor. Confidențialitatea diferențială (DP) oferă un mecanism riguros din punct de vedere matematic pentru a limita această scurgere.

DP-SGD (Differentially Private Stochastic Gradient Descent) aplică două operații fiecărui gradient înainte ca acesta să părăsească silozul de antrenament. În primul rând, decuparea gradientului pe eșantion limitează sensibilitatea semnalului de antrenament: norma L2 a gradientului fiecărui eșantion individual este decupată la o valoare maximă C, asigurând că un singur exemplu de antrenament nu poate domina actualizarea de gradient. În al doilea rând, zgomot gaussian calibrat, cu abatere standard proporțională cu C / sigma, este adăugat la suma gradientelor decupate. Raportul C / sigma este multiplicatorul de zgomot; valori mai mari ale sigma adaugă mai mult zgomot, oferind confidențialitate mai puternică, cu prețul unui semnal de gradient mai degradat.

Garanția formală de confidențialitate este exprimată ca epsilon (bugetul de confidențialitate) și delta (o probabilitate de eșec neglijabilă). După R runde de antrenament, fiecare cu o dimensiune locală de lot B, extrasă din N eșantioane totale de antrenament, epsilon acumulat crește aproximativ ca epsilon ≈ (q * sigma_inv * sqrt(2 * R * log(1/delta))) unde q = B/N este rata de eșantionare. În practică, urmărirea se face cu contabilitatea momentelor sau cu contabilitatea Renyi Differential Privacy, care oferă limite mai strânse decât teorema de compoziție de bază.

# DP-SGD with Opacus (PyTorch) — defense FL configuration
import torch
from opacus import PrivacyEngine
from opacus.accountants import RDPAccountant

model = MyDetectionModel()
optimizer = torch.optim.SGD(model.parameters(), lr=0.01)

privacy_engine = PrivacyEngine(accountant="rdp")

model, optimizer, train_loader = privacy_engine.make_private_with_epsilon(
    module=model,
    optimizer=optimizer,
    data_loader=train_loader,
    epochs=local_epochs,
    target_epsilon=3.0,       # authorized privacy budget for SECRET data
    target_delta=1e-5,        # negligible failure probability
    max_grad_norm=1.0,        # clipping norm C (set to median gradient norm)
)

# Train local epochs
for epoch in range(local_epochs):
    for batch in train_loader:
        optimizer.zero_grad()
        loss = criterion(model(batch["inputs"]), batch["labels"])
        loss.backward()
        optimizer.step()  # gradient clipping + noise injection happens here

# Check remaining budget before transmission
epsilon_consumed = privacy_engine.get_epsilon(delta=1e-5)
assert epsilon_consumed <= AUTHORIZED_EPSILON_CEILING, "Privacy budget exceeded"

Alegerea epsilon pentru cazurile de utilizare în apărare depinde de nivelul de clasificare al datelor de antrenament și de modelul de adversar. O euristică utilă pentru programele din apărare este eșalonarea epsilon după clasificare: datele de antrenament neclasificate pot tolera un epsilon de 8–12, unde impactul asupra acurateții este minim; datele Secret justifică un epsilon de 2–5, unde există un cost de acuratețe material, dar garanția matematică este puternică; datele Top Secret sau compartimentate pot necesita un epsilon apropiat de 1, unde degradarea acurateții este semnificativă și trebuie cântărită față de cerința de confidențialitate. Costul de acuratețe al DP puternic este real — un model de detectare antrenat cu epsilon = 1 poate pierde 3–6 mAP față de o bază non-privată — iar birourile de program trebuie să accepte formal acest compromis, mai degrabă decât să fie făcut implicit de alegerile de software ale unui inginer.

Strategii de agregare a modelului — FedAvg, FedProx pentru distribuții eterogene ale datelor, agregare ponderată după calitatea și cantitatea datelor

FedAvg (Federated Averaging), algoritmul canonic de agregare FL, calculează actualizarea modelului global ca o mediere simplă a actualizărilor de gradient ale participanților pe parcursul unei runde. Este simplu, eficient din punct de vedere al comunicațiilor și bine înțeles. De asemenea, este fragil când distribuțiile datelor participanților sunt foarte eterogene — situația care este regula, nu excepția, în implementările militare cross-silo, unde datele de antrenament ale fiecărui siloz organizațional reflectă contextul său operațional specific, platforma de senzori și teatrul geografic de operațiuni.

Problema heterogenității se manifestă ca derivă a clientului: modelul optimizat local al fiecărui participant derivă într-o direcție determinată de distribuția sa locală de date, iar media mai multor modele derivate poate fi mai rea decât modelul local al oricărui participant individual. O comandă care operează exclusiv într-un teatru arctic își va antrena modelul local să recunoască vehicule acoperite de zăpadă; o comandă dintr-un teatru deșertic se va specializa în semnături-țintă culoarea nisipului. Medierea celor două produce un model care subperformează pe ambele. FedProx abordează derivarea clientului adăugând un termen de regularizare proximală la funcția de obiectiv locală a fiecărui participant:

# FedProx local objective — adds proximal term to standard loss
# w_global = global model weights from last aggregation round
# w_local  = local model weights being updated
# mu       = proximal regularization strength (0.01 – 0.1)

def fedprox_loss(predictions, targets, w_local, w_global, mu=0.05):
    task_loss = criterion(predictions, targets)
    proximal_term = (mu / 2) * sum(
        torch.norm(w_l - w_g) ** 2
        for w_l, w_g in zip(w_local.parameters(), w_global.parameters())
    )
    return task_loss + proximal_term

Termenul proximal penalizează derivarea modelului local față de punctul global de start, împiedicând orice participant individual să tragă actualizarea agregată prea departe în direcția distribuției sale locale de date. Hiperparametrul mu controlează compromisul: mu = 0 recuperează FedAvg standard (fără regularizare); mu = 1.0 împiedică optimizarea locală să se îmbunătățească față de modelul global (prea multă regularizare). Valorile din intervalul 0,01–0,1 sunt tipice pentru implementările militare cross-silo. Ajustarea lui mu necesită monitorizarea acurateții modelului global pe un set central de evaluare rezervat, pe parcursul rundelor de antrenament — dacă acuratețea oscilează sau nu converge, creșteți mu; dacă convergența este prea lentă, scădeți-l.

Agregarea ponderată după cantitatea de date înlocuiește medierea cu ponderi egale cu agregarea proporțională cu numărul de eșantioane. O comandă cu 500.000 de exemple etichetate ar trebui să contribuie mai mult la actualizarea globală decât o bază operațională înaintată cu 800 de exemple. Ponderarea după numărul de eșantioane este directă: fiecare participant raportează numărul său local de eșantioane (aceste metadate de număr nu expun conținutul datelor), iar serverul calculează greutatea fiecărui participant ca numărul său împărțit la totalul tuturor silozurilor participante din rundă.

Agregarea ponderată după calitatea datelor este mai complexă. Proxy-urile de calitate care sunt computabile fără acces la datele brute includ acuratețea validării modelului local (dacă este disponibil un set local de validare rezervat), norma gradientului (norme de gradient extrem de mari sau mici pot indica probleme de calitate a datelor) și acordul modelului (dacă actualizarea locală indică într-o direcție similară cu agregatul celorlalți participanți). Programele din apărare cu calitate heterogenă a senzorilor — amestecând imagini electro-optice de înaltă rezoluție de la active ISR strategice cu camere de vehicule terestre de joasă rezoluție — ar trebui să implementeze agregare ponderată prin calitate, pentru a preveni ca sursele de date de calitate scăzută să degradeze performanța modelului global la sarcinile de detectare cu miză mare, care depind de datele de calitate superioară.

Protocoale de agregare securizată — agregare criptografică (SecAgg), mediu de execuție de încredere pentru serverul de agregare, criptarea gradientelor

Serverul de agregare este punctul unic din arhitectura FL care trebuie să proceseze actualizările de gradient de la toți participanții. Deși participanții individuali nu pot accesa gradiente ale altor participanți, operatorul serverului de agregare — și orice adversar care compromite serverul — poate observa toate încărcările individuale de gradient. Într-o implementare FL de apărare, unde participanții sunt organizații sau națiuni diferite, această vizibilitate centralizată creează un risc de culegere de informații: un adversar sofisticat care controlează sau a penetrat serverul de agregare poate încerca atacuri de reconstrucție a gradientului asupra datelor de antrenament ale participanților individuali.

Agregarea securizată (SecAgg) elimină această expunere, permițând serverului să calculeze agregatul gradientelor participanților fără să vadă vreodată gradientul vreunui participant individual în text clar. Protocolul folosește împărțirea secretelor în perechi între participanți:

• În faza de configurare, fiecare pereche de participanți stabilește un secret comun prin schimbul de chei Diffie-Hellman pe un canal autentificat. Serverul de agregare facilitează distribuția cheilor, dar nu află secretele din perechi.
• Înainte de a-și încărca gradientul, fiecare participant generează un vector de mascare pseudoaleator pentru fiecare dintre partenerii săi (derivat din secretul din perechi) și adaugă toate aceste măști la gradientul său. Masca pentru perechea de participanți (i, j) este adăugată cu semn pozitiv de participantul i și cu semn negativ de participantul j.
• Atunci când toate gradiente mascate sunt însumate pe server, măștile se anulează în perechi, lăsând numai suma reală a gradientelor nemascate. Serverul a calculat agregatul corect, fără să fi văzut vreodată gradientul în text clar al vreunui participant individual.
• Abandonurile participanților sunt gestionate printr-un mecanism de împărțire a secretului pentru cheile de mascare: dacă un participant se retrage înainte de a trimite, un prag de alți participanți poate reconstitui masca acelui participant și a o elimina din agregat.

Mediul de execuție de încredere (TEE) al serverului de agregare oferă un strat complementar de protecție. Un TEE — implementat prin Intel TDX, AMD SEV-SNP sau ARM TrustZone — creează un context de execuție izolat hardware, unde codul și datele sunt criptate și protejate chiar și față de sistemul de operare și hipervizorul infrastructurii. Atunci când serverul de agregare rulează în interiorul unui TEE, operatorul serverului nu poate inspecta gradientul agregat în text clar, fără a încălca garanțiile de atestare ale TEE. Atestarea la distanță le permite participanților să verifice criptografic că serverul de agregare rulează codul de agregare autorizat într-un TEE genuin, înainte de a trimite actualizările de gradient. Aceasta abordează amenințarea internă la nivelul operatorului de infrastructură — un administrator cloud sau un contractor IT guvernamental care oprește infrastructura serverului de agregare nu poate folosi accesul privilegiat pentru a intercepta traficul de gradient.

Pentru sistemele de apărare cu vedere de calculator care participă la un program FL cross-silo, calea completă a datelor — de la ieșirea antrenamentului local, prin mascare, peste un transport criptat, prin agregare bazată pe TEE și înapoi la participant ca model global actualizat — trebuie documentată și acreditată ca parte a pachetului de autorizare de securitate al programului. Fiecare verigă din lanț necesită propria evaluare a controalelor de securitate.

FL în medii tactice deconectate și intermitente — FL asincronă cu gradiente întârziate, programarea legăturii satelitare, versionarea modelului pentru gradiente învechite

Protocolul FL ideal presupune că toți participanții sunt accesibili simultan la începutul fiecărei runde de antrenament și rămân accesibili pe durata rundei. Mediiile militare tactice încalcă sistematic această presupunere. Avanposturile conectate prin satelit pot avea numai ferestre de conectivitate de 20 de minute la fiecare 12 ore. Unitățile de infanterie care operează în teren cu comunicații blocate pot fi offline zile întregi. Participanții montați pe vehicule pot avea conectivitate intermitentă, din cauza mascării terenului, a interferențelor radio de bruiaj din partea adversarului sau a procedurilor de control al emisiilor (EMCON) care interzic transmiterea.

Învățarea federată asincronă decuplează disponibilitatea participanților de momentul agregării. În loc să colecteze toate gradiente participanților înainte de a calcula o rundă, serverul de agregare menține un tampon de gradient și aplică actualizările pe măsură ce sosesc. Modelul global avansează continuu, încorporând contribuția fiecărui participant la momentul sosirii ei. Provocarea de inginerie este învechirea gradientului: un participant care și-a antrenat modelul local pe versiunea T a modelului global și își trimite gradientul la momentul T+5 contribuie cu un gradient calculat relativ la un model care este acum depășit cu cinci pași globali. Agregarea naivă a gradientelor învechite poate încetini convergența sau, în cazuri extreme, o poate destabiliza.

# Staleness-weighted asynchronous aggregation (server side)
# Each gradient submission includes the round number it was computed from

def async_aggregate(gradient_buffer, current_round, max_staleness=10):
    """
    Aggregate gradient updates from the buffer, applying staleness weighting.
    Discard updates older than max_staleness rounds.
    """
    valid_updates = [
        (g, w, r) for g, w, r in gradient_buffer
        if (current_round - r) <= max_staleness
    ]

    total_weighted_grad = None
    total_weight = 0.0

    for grad, sample_weight, submission_round in valid_updates:
        staleness = current_round - submission_round
        # Exponential staleness decay: weight halves every 3 rounds
        staleness_factor = 0.5 ** (staleness / 3.0)
        effective_weight = sample_weight * staleness_factor

        scaled_grad = {k: v * effective_weight for k, v in grad.items()}
        if total_weighted_grad is None:
            total_weighted_grad = scaled_grad
        else:
            for k in total_weighted_grad:
                total_weighted_grad[k] += scaled_grad[k]
        total_weight += effective_weight

    # Normalize by total weight
    return {k: v / total_weight for k, v in total_weighted_grad.items()}

Programarea FL pe legătura satelitară aliniază finalizarea rundei de antrenament la ferestrele de conectivitate previzionate. Dacă legătura satelitară a unui participant este disponibilă zilnic de la 02:00 la 02:20 UTC, clientul de antrenament al participantului ar trebui configurat să-și finalizeze antrenamentul local și să aibă gradientul pregătit pentru transmisie înainte de 02:00. Serverul programează rundele de agregare cu un termen care se potrivește cu fereastra de conectivitate a ultimului participant. Pentru participanții cu mai multe treceri zilnice, clientul de antrenament poate folosi cel mai recent gradient dacă o rulare de antrenament a fost finalizată de la ultima transmisie, evitând complexitatea acumulării de gradient pe parcursul trecerilor.

Versionarea modelului la nivelul participantului este esențială pentru reziliență. Depozitul local de modele ar trebui să rețină cel puțin trei puncte de control: modelul de inferență desfășurat în prezent, ultimul model global primit (folosit ca punct de start pentru antrenamentul local) și modelul local aflat în curs de antrenare (înainte de extragerea gradientului). Dacă conectivitatea este pierdută după o rulare de antrenament local, dar înainte de transmisia gradientului, gradientul poate fi reținut și transmis în următoarea fereastră de conectivitate, fără a repeta calculul de antrenament. Dacă participantul primește o actualizare a modelului global în timpul unei rulări locale de antrenament în curs, trebuie să decidă dacă finalizează rularea curentă (și trimite un gradient potențial învechit) sau repornește de la noul model global (risipind investiția de calcul). Pentru platformele de inferență pe margine cu putere limitată, unde calculul este costisitor, finalizarea rulării curente și acceptarea învechirii este de obicei politica mai bună.

Model de amenințare pentru AI militar federat — agregare robustă la bizantini (Krum, Trimmed Mean), detectarea otrăvirii modelului, atenuarea atacului de inversare a gradientului

Învățarea federată în programele din apărare operează împotriva unui model de amenințare mai sofisticat decât aplicațiile FL civile. Adversarul are atât motivația, cât și, potențial, capacitatea tehnică de a compromite participanți FL, de a intercepta transmisiile de gradient sau de a infiltra infrastructura de agregare. Categoriile de amenințare relevante pentru FL militară sunt otrăvirea gradientului (un participant compromis trimite gradiente malițioase), otrăvirea modelului (adversarul injectează date de antrenament concepute pentru a produce un model cu ușă din spate), inversarea gradientului (un interceptor reconstruiește date de antrenament din actualizările de gradient capturate) și compromiterea serverului de agregare (adversarul obține acces la punctul central de agregare).

Agregarea robustă la bizantini se apără împotriva otrăvirii gradientului făcând actualizarea globală insensibilă la un număr limitat de contribuții adversariale ale participanților. FedAvg standard nu este robustă la bizantini — un singur participant care trimite un gradient care indică în direcția opusă gradientului real poate degrada semnificativ convergența. Algoritmii robusti la bizantini fie selectează o submulțime de gradient, fie calculează o statistică robustă care limitează influența adversarială:

Multi-Krum selectează cele m gradient cele mai similare cu cei k vecini cei mai apropiați dintre toate gradiente trimise. Gradiente bizantine, care sunt concepute pentru a deplasa actualizarea globală, tind să fie valori aberante în distribuția gradientului — departe de clusterul gradientelor cinstite. Criteriul de selectare al lui Krum respinge aceste valori aberante. Algoritmul necesită cunoașterea unei limite superioare f a numărului de participanți bizantini; pentru siguranță, setați parametrul Krum la n - f - 2, unde n este numărul total de participanți.

Coordinate-wise Trimmed Mean elimină fracțiunea superioară și inferioară p a valorilor de gradient în fiecare dimensiune, independent, înainte de a calcula media. Aceasta este mai ieftină din punct de vedere computațional decât Krum și eficientă atunci când gradiente bizantine sunt extreme în dimensiuni individuale — o structură comună pentru strategii simple de atac al gradientului. Fracțiunea de decupare p ar trebui setată cel puțin la fracțiunea bizantină presupusă, plus o marjă de siguranță de 5–10%.

# Coordinate-wise Trimmed Mean aggregation
import numpy as np

def trimmed_mean_aggregate(gradients, trim_fraction=0.2):
    """
    Byzantine-robust aggregation: trim top and bottom trim_fraction
    of gradient values per dimension, then average.

    gradients: list of flat numpy arrays, one per participant
    trim_fraction: fraction to trim from each tail (e.g., 0.2 = 20%)
    """
    grad_matrix = np.stack(gradients, axis=0)  # shape: (n_participants, n_params)
    n = grad_matrix.shape[0]
    k = int(np.floor(trim_fraction * n))        # number to remove from each tail

    # Sort along participant axis, trim k from top and bottom
    sorted_grads = np.sort(grad_matrix, axis=0)
    trimmed = sorted_grads[k : n - k, :]       # remove k from each end

    return np.mean(trimmed, axis=0)

Detectarea otrăvirii modelului necesită monitorizarea comportamentului modelului global pe un set central curat de evaluare, după fiecare rundă de agregare. O scădere bruscă a acurateții, o creștere a ratei de fals negative pe o anumită clasă-țintă sau apariția unor comportamente de clasificare neașteptate (precum clasificarea greșită cu încredere mare a unui anumit tip de vehicul care nu a fost prezent în setul de evaluare înainte de rundă) sunt indicatori ai unei otrăviri reușite. Programele FL din apărare ar trebui să mențină un set de evaluare rezervat, curatoriat de o echipă independentă de orice participant FL, astfel încât niciun participant să nu se poată antrena pentru a performa bine pe setul de evaluare, în timp ce otrăvește comportamentul operațional al modelului. Detectarea anomaliilor asupra statisticilor de gradient per participant — norma gradientului, asemănarea cosinus față de agregatul rundei și variația pe runde de antrenament — oferă un semnal de avertizare timpurie că comportamentul de gradient al unui participant s-a schimbat, ceea ce poate indica o compromitere.

Atenuarea inversării gradientului operează prin trei mecanisme complementare. În primul rând, zgomotul DP-SGD ascunde valorile gradientului sub pragul de zgomot, împiedicând reconstrucția de înaltă fidelitate. În al doilea rând, SecAgg asigură că numai gradiente agregate sunt vizibile pe serverul de agregare, limitând suprafața de atac la canalul de comunicație dintre fiecare participant și server. În al treilea rând, creșterea dimensiunii locale a lotului de la eșantioane cu o singură cifră la 64 sau mai multe pe pas de gradient crește dramatic dificultatea inversării, deoarece gradientul este o mediere peste multe eșantioane, nu o amprentă a unei singure înregistrări. Pentru datele de antrenament cu cea mai mare sensibilitate, dimensiuni locale de lot de 128 sau mai mari împiedică efectiv tehnicile curente de inversare a gradientului să recupereze înregistrări individuale de antrenament.