La agregación bizantina robusta limita la influencia de actualizaciones defectuosas o maliciosas durante el entrenamiento colaborativo. En aprendizaje federado descentralizado, cada nodo debe tomar esa decisión con la información disponible en su vecindad.
El problema
En FL centralizado, el servidor puede aplicar una defensa antes de producir el modelo global. En DFL, cada nodo puede agregar actualizaciones de sus vecinos. Eso hace que el poisoning sea más sutil porque la influencia es local, repetida y dependiente de la topología.
La pregunta práctica es: ¿cómo puede un nodo decidir si acepta, reduce o rechaza una actualización de un peer?
Familias defensivas
Tres familias son especialmente útiles como baseline:
- agregación basada en mediana,
- trimmed mean,
- agregación ponderada por confianza.
No son perfectas. Su valor está en que son comprensibles, suficientemente baratas para muchos entornos y útiles para comparar defensas más avanzadas.
Interpretabilidad
En ciberdefensa, un mecanismo defensivo debería ser explicable para un operador o investigador. Si una actualización se reduce, el sistema debería exponer por qué: distancia frente a vecinos, confianza histórica, cambio anómalo de parámetros, patrón de retraso o desacuerdo con validación local.
La agregación robusta no es solo matemática. Es parte de la capa de confianza de DFL.
Idea clave
La agregación resiliente a Byzantine debería evaluarse como defensa estadística y como mecanismo operativo de confianza. Una actualización de peer no solo se acepta o se rechaza; debería dejar una razón auditable para esa decisión.
Pregunta abierta de investigación
¿Cómo puede un peer explicar por qué redujo o rechazó la actualización de otro peer sin exponer datos locales sensibles de validación ni crear una nueva superficie de ataque?
Mediana, media recortada y confianza: qué cambia
La mediana por coordenadas toma el valor central de cada parámetro. La media recortada elimina los extremos de cada coordenada y promedia lo restante. La ponderación por confianza conserva contribuciones con pesos distintos. Son operaciones diferentes: ninguna identifica por sí sola la intención de un participante. El análisis de Yin y colaboradores, ICML 2018 estudia mediana y media recortada bajo supuestos estadísticos concretos; trasladar esas garantías a una vecindad DFL exige comprobarlos de nuevo.
Un ejemplo aritmético, sin valor de benchmark: ante las contribuciones escalares 0.9, 1.0, 1.1, 1.2, 20.0, la media es 4.84, la mediana 1.1 y la media tras recortar un extremo por lado también 1.1. En una red neuronal, sin embargo, las coordenadas forman un vector correlacionado. Combinar valores centrales no garantiza que el resultado sea una actualización válida ni que conserve una clase minoritaria.
El presupuesto adversario debe ser local
Si una federación tiene pocos nodos maliciosos, pero todos rodean al mismo cliente, ese cliente puede recibir una mayoría de contribuciones dañinas. Registra el número de vecinos recibidos y aceptados en cada ronda, la fracción adversaria en esa vecindad y el comportamiento cuando el filtrado deja demasiado poco soporte.
También hay que medir el coste en ausencia de ataque. Yang y colaboradores, ICML 2025 analizan la tensión entre tolerancia bizantina y error de agregación sin atacantes. La consecuencia experimental es concreta: comparar defensa activada y desactivada tanto en datos limpios como bajo ataque, incluyendo clientes non-IID legítimos.
Para llevarlo al protocolo, consulta cómo medir robustez en DFL y la compatibilidad entre privacidad y agregación robusta.
