Federated Learning (FL) hadir sebagai paradigma revolusioner dalam machine learning yang memungkinkan pelatihan model kolaboratif tanpa harus mengumpulkan data mentah ke server pusat. Pendekatan ini menjadi solusi penting di tengah meningkatnya kesadaran akan privasi data dan regulasi ketat seperti GDPR di Eropa serta CCPA di Amerika Serikat . Namun, arsitektur terdistribusi FL justru membuka celah keamanan baru yang kompleks.
Artikel ini akan mengupas tuntas berbagai ancaman siber terhadap FL serta strategi pertahanan yang dikembangkan para peneliti untuk mengamankan sistem ini.
Memahami Federated Learning dan Kerentanannya
Federated Learning memungkinkan banyak klien (seperti perangkat seluler, rumah sakit, atau institusi keuangan) melatih model secara lokal menggunakan data mereka masing-masing. Setelah pelatihan lokal selesai, yang dibagikan ke server pusat hanyalah update parameter model—bukan data mentahnya. Server kemudian mengagregasi pembaruan ini untuk menyempurnakan model global .
Namun, paradigma ini mengandung ironi keamanan: meskipun dirancang untuk melindungi privasi data, proses berbagi gradient atau bobot model justru dapat dieksploitasi. Penelitian terbaru menunjukkan bahwa penyerang dapat mengekstrak informasi sensitif dari model global, termasuk data pelatihan pribadi. Bahkan, serangan ekstraksi data antar-klien dapat memulihkan hingga 56,6% informasi identitas pribadi yang unik dari klien korban .
Vektor Ancaman Utama dalam Federated Learning
1. Serangan Poisoning (Racun)
Ini adalah ancaman paling serius dalam FL. Penyerang menyusup sebagai klien jahat dan mengirimkan update model yang telah dimanipulasi untuk merusak model global. Serangan poisoning dibagi menjadi dua jenis utama:
Poisoning Data: Penyerang memanipulasi data pelatihan lokal sebelum pelatihan, misalnya dengan mengubah label (serangan label flipping) atau menyisipkan pola tertentu. Serangan backdoor (Trojan) termasuk dalam kategori ini, di mana penyerang menyisipkan trigger spesifik yang menyebabkan model salah mengklasifikasikan input yang mengandung pola tersebut .
Poisoning Model: Penyerang secara langsung memanipulasi pembaruan model lokal sebelum dikirim ke server, tanpa harus merusak data pelatihan .
2. Serangan Sybil
Dalam serangan ini, satu entitas jahat menciptakan banyak identitas palsu (klien Sybil) untuk memperkuat pengaruh mereka dalam proses agregasi. Klien Sybil dapat berkoordinasi dan berkolusi untuk melancarkan serangan poisoning yang lebih canggih dan sulit dideteksi .
3. Serangan Inferensi dan Ekstraksi Data
Meskipun FL tidak membagikan data mentah, gradient yang dikirimkan ternyata kaya akan informasi. Serangan gradient inversion dapat merekonstruksi data pelatihan asli dari gradient yang dibagikan. Serangan membership inference dapat menentukan apakah suatu data spesifik digunakan dalam pelatihan. Bahkan, pada pelatihan Large Language Models (LLM) dengan FL, penyerang dapat mengekstrak informasi identitas pribadi lintas klien .
Tantangan Kompleks: Ketika Non-IID Memperparah Ancaman
Kompleksitas keamanan FL meningkat secara signifikan dalam skenario data non-IID (non-independent and identically distributed). Dalam dunia nyata, data di setiap klien seringkali tidak terdistribusi secara identik—misalnya, pengguna seluler memiliki preferensi yang berbeda, atau rumah sakit merawat pasien dengan demografi yang beragam. Kondisi ini mempersulit mekanisme deteksi anomali karena update yang sah sekalipun dapat terlihat “menyimpang” .
Penyerang cerdas memanfaatkan kondisi ini. Sebuah kerangka serangan backdoor canggih bernama ATBA (Anti-Traceable Backdoor Attack) dirancang khusus untuk menyalahkan klien yang tidak bersalah atas serangan poisoning dengan memanfaatkan distribusi label yang timpang antar klien .
Strategi Pertahanan yang Berkembang
Berbagai mekanisme pertahanan dikembangkan untuk melawan ancaman-ancaman di atas, yang secara garis besar dibagi menjadi tiga pendekatan utama:
1. Deteksi Anomali dan Agregasi Robust
Strategi ini berfokus pada bagaimana server menangani pembaruan model. Beberapa metode yang dikembangkan antara lain:
Metrik Kesamaan: Pendekatan berbasis cosine similarity digunakan untuk mengukur kedekatan antar pembaruan klien. Klien yang perilaku pembaruannya menyimpang secara signifikan dari “centroid” klien yang dianggap bersih akan ditandai dan dikecualikan dari agregasi .
Algoritma Agregasi Robust: Metode seperti Trimmed-Mean (membuang pembaruan terbesar dan terkecil) atau Krum (memilih pembaruan dengan jarak kuadrat terkecil) dirancang untuk mengurangi dampak outlier dari penyerang .
Deteksi Perilaku Sybil: Penelitian terbaru beralih dari sekadar analisis model ke analisis perilaku, seperti mendeteksi koordinasi antar klien melalui pola kesamaan historis. Pendekatan ini terbukti efektif menekan Attack Success Ratio dari di atas 40% menjadi di bawah 1% pada serangan label flipping yang terkoordinasi .
2. Mekanisme Privasi dan Enkripsi
Untuk memitigasi serangan inferensi, teknik-teknik berikut diterapkan:
Differential Privacy: Penambahan “noise” matematis pada pembaruan model sebelum dibagikan. Meskipun mengurangi akurasi, langkah ini melindungi privasi dengan membuat mustahil untuk mengidentifikasi kontribusi data spesifik individu .
Enkripsi Homomorfik: Memungkinkan server melakukan agregasi pada data yang terenkripsi tanpa perlu mendekripsinya terlebih dahulu, sehingga server tidak pernah memiliki akses ke pembaruan model yang “mentah”. Ini adalah pertahanan yang sangat kuat namun mahal secara komputasi .
3. Arsitektur dan Sinkronisasi Adaptif
Pendekatan ini mengubah cara FL dijalankan untuk meningkatkan keamanan:
Distributed Federated Learning (DFL): Menghilangkan ketergantungan pada server pusat tunggal. Dengan jaringan yang terdesentralisasi, DFL menawarkan ketahanan terhadap kegagalan node dan strategi pertahanan yang lebih efektif, karena tidak ada satu titik yang menjadi target utama serangan .
Agregasi Hierarkis: Dalam arsitektur edge-fog-cloud, agregasi dilakukan di beberapa tingkatan. Ini memungkinkan deteksi anomali lebih awal di lapisan edge sebelum data mencapai server pusat, serta mengurangi beban komunikasi .
Studi Kasus: Penerapan di Dunia Nyata
Keamanan FL bukan hanya konsep teoretis. Dalam jaringan Software-Defined Networking (SDN) yang sangat rentan karena arsitektur terpusatnya, sebuah kerangka keamanan hibrid menggabungkan XGBoost untuk deteksi akurat, LightGBM untuk respons adaptif real-time, dan FL untuk berbagi intelijen ancaman antar-organisasi tanpa mengorbankan privasi. Sistem ini mencapai tingkat deteksi 96,3%, mengungguli sistem tradisional sebesar 7,8% .
Dalam sistem deteksi intrusi berbasis IoT, pendekatan personalized federated learning (pFL-IDS) dikembangkan untuk menangani data yang heterogen sekaligus melawan serangan poisoning. Dengan menyesuaikan model untuk setiap distribusi data lokal dan menggunakan mekanisme deteksi berbasis kesamaan, sistem ini mampu mengidentifikasi klien jahat tanpa mengorbankan kinerja .
Tantangan Masa Depan dan Penelitian Terbuka
Meskipun ada kemajuan, pertahanan FL masih menghadapi tantangan besar. Sifat adaptif dari penyerang membuat banyak mekanisme pertahanan statis menjadi usang. Serangan backdoor yang anti-telusur semakin canggih, di mana penyerang dapat memanipulasi perilaku mereka agar menyalahkan klien yang tidak bersalah . Selain itu, hanya 56% organisasi yang menggunakan AI untuk aplikasi khusus, dan 98% organisasi yang menggunakan layanan AI berbasis cloud belum mengaktifkan mekanisme enkripsi yang tepat, menunjukkan bahwa adopsi praktik keamanan yang baik masih sangat rendah .
Jalan ke depan menuntut pendekatan pertahanan berlapis yang menggabungkan deteksi anomali, enkripsi, dan agregasi adaptif. Pengembangan standar tolok ukur yang terstandarisasi untuk menguji keamanan FL juga sangat krusial agar penelitian dapat dibandingkan dan direproduksi secara anda
