🤖 machine learning

Adversarial Attacks on Locally Private Graph Neural Networks

Diese Arbeit untersucht die Wechselwirkung zwischen lokaler Differentialprivatsphäre und der adversären Robustheit von Graph-Neuronalen-Netzwerken, analysiert die Wirksamkeit bestehender Angriffe unter Privatsphärenbeschränkungen und schlägt Verteidigungsstrategien vor.

Ursprüngliche Autoren: Matta Varun (Indian Institute of Technology Kharagpur, India), Ajay Kumar Dhakar (Indian Institute of Technology Kharagpur, India), Yuan Hong (University of Connecticut, USA), Shamik Sural (Indian Ins

Veröffentlicht 2026-03-24

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Matta Varun (Indian Institute of Technology Kharagpur, India), Ajay Kumar Dhakar (Indian Institute of Technology Kharagpur, India), Yuan Hong (University of Connecticut, USA), Shamik Sural (Indian Institute of Technology Kharagpur, India)

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

🕵️‍♂️ Die unsichtbare Mauer: Wie Hacker Graph-Neuronale Netze unter Druck setzen

Stellen Sie sich vor, Sie haben eine riesige, komplexe Landkarte von Freunden und deren Beziehungen (ein Graph). Eine Graph Neural Network (GNN) ist wie ein superkluger Detektiv, der diese Landkarte analysiert, um Dinge vorherzusagen – zum Beispiel, welche Freunde sich wahrscheinlich kennenlernen werden oder wer zu einer bestimmten Gruppe gehört.

Aber was passiert, wenn dieser Detektiv sensible Daten verarbeitet? Was, wenn die Landkarte private Informationen über Ihre Finanzen oder Ihr Gesundheitszustand enthält?

Hier kommt die Lokale Differential Privacy (LDP) ins Spiel.

🛡️ Der Schutzschild: Das "Rauschen"

Um die Privatsphäre zu schützen, wird jedem Datenpunkt auf der Landkarte ein wenig "Rauschen" oder "Störgeräusch" hinzugefügt, bevor es zum Detektiv geschickt wird.

Die Analogie: Stellen Sie sich vor, jeder Freund schreibt eine Nachricht an den Detektiv, aber bevor er sie abgibt, wirft er ein paar zufällige Buchstaben hinein oder ändert den Tonfall. Niemand kann mehr genau sagen, was der Freund wirklich gemeint hat, aber der Detektiv kann immer noch das große Ganze verstehen. Das ist LDP.

Die Forscher in diesem Papier fragen sich nun: Ist dieser Schutzschild wirklich unzerstörbar? Können böswillige Hacker (Adversaries) Tricks finden, um das Rauschen zu umgehen oder den Detektiv trotzdem zu täuschen?

⚔️ Die vier Angriffswaffen

Die Autoren haben vier verschiedene Arten von Angriffen getestet, um zu sehen, wie robust dieser Schutzschild ist.

1. Der "Fake-Freunde"-Angriff (Node Injection)

Das Szenario: Ein Hacker fügt neue, gefälschte Freunde in die Landkarte ein. Diese neuen Freunde sind so platziert, dass sie mit den beliebtesten Leuten (denen mit den meisten Verbindungen) befreundet sind.
Die Hoffnung des Hackers: "Wenn ich genug Fake-Freunde hinzufüge, die falsche Informationen tragen, wird der Detektiv verwirrt und macht Fehler."
Das Ergebnis: Überraschenderweise funktionierte das nicht gut. Da der Detektiv ohnehin schon mit dem "Rauschen" (LDP) arbeitet, sind die zusätzlichen Fake-Freunde wie ein Tropfen Wasser im Ozean. Der Detektiv ignoriert sie größtenteils. Der Schutzschild hielt stand.

2. Das "Lügen-Label"-Szenario (Label-Flipping)

Das Szenario: Hier ändert der Hacker nicht die Freunde, sondern die Kategorien. Er nimmt die Etiketten von wichtigen Personen und dreht sie um (z. B. aus "Sportler" wird "Musiker").
Die Hoffnung des Hackers: "Wenn ich die Labels der einflussreichsten Personen lüge, wird der Detektiv die ganze Gruppe falsch einstufen."
Das Ergebnis: Das funktionierte sehr gut. Je mehr Lügen der Hacker in die Landkarte einbrachte, desto schlechter wurde der Detektiv. Das Rauschen konnte die gezielten Lügen nicht vollständig ausgleichen. Das ist eine Schwachstelle.

3. Der "Räuber im Server-Raum" (Inference Attack)

Das Szenario: Der Hacker versucht, aus den verrauschten Nachrichten der Freunde die echten Nachrichten zurückzurechnen. Er denkt: "Wenn ich die Nachrichten von allen Freunden einer Person zusammenzähle und den Durchschnitt bilde, muss das Original herauskommen."
Die Hoffnung des Hackers: "Ich kann das Rauschen mathematisch herausfiltern und die privaten Daten wiederherstellen."
Das Ergebnis: Das funktionierte gar nicht. Das Rauschen war so stark und komplex, dass der Durchschnitt völlig falsch lag. Der Schutzschild hielt hier perfekt.

4. Der "Gift-Einschleuser" (Poisoning Attack) – Der Gewinner der Hacker

Das Szenario: Das ist der cleverste und gefährlichste Angriff. Der Hacker fügt kein zufälliges Rauschen hinzu, sondern ein gezieltes Gift in die Daten, bevor das Rauschen überhaupt hinzugefügt wird.
Die Analogie: Stellen Sie sich vor, der Detektiv erwartet, dass alle Nachrichten in einem bestimmten Format (z. B. nur 0 oder 1) geschrieben sind. Der Hacker füllt die Daten so auf, dass das "Rauschen", das normalerweise alles verschleiert, plötzlich eine Lücke aufdeckt.
Der Trick: Der Hacker berechnet genau, wie viel "Gift" er hinzufügen muss, damit das mathematische Rauschen der LDP-Methode eine bestimmte Eigenschaft annimmt. Wenn der Detektiv dann eine bestimmte verrauschte Antwort sieht, kann der Hacker mit fast 100%iger Sicherheit sagen: "Aha! Die ursprüngliche Nachricht war genau das!"
Das Ergebnis: Katastrophal. Dieser Angriff brach den Schutzschild komplett. Der Hacker konnte die privaten Daten wiederherstellen, obwohl LDP versprochen hatte, sie zu schützen.

💡 Was bedeutet das für uns?

Die Forscher haben eine wichtige Entdeckung gemacht:

Privatsphäre ist nicht gleich Sicherheit: Nur weil ein System privat ist (wegen des Rauschens), heißt das nicht, dass es sicher gegen Manipulationen ist.
Der "Gift"-Angriff ist real: Es gibt einen Weg, die mathematischen Garantien von LDP zu umgehen, indem man die Daten vor dem Rauschen manipuliert.
Die Zukunft: Wir müssen neue Arten von Detektiven (GNNs) bauen, die nicht nur privat sind, sondern auch immun gegen diese speziellen "Gift"-Angriffe sind.

Zusammenfassend: Die Forscher haben gezeigt, dass der Schutzschild (LDP) gegen einfache Tricks (Fake-Freunde) oder das Abhören (Inference) stark ist, aber er hat eine unsichtbare Schwachstelle, wenn jemand weiß, wie man das Rauschen durch gezieltes "Vergiften" der Daten manipuliert. Es ist eine Warnung an alle, die sensible Daten in KI-Systemen nutzen: Vertrauen Sie nicht blind auf den Schutzschild, prüfen Sie immer, ob er gegen die cleversten Tricks gewappnet ist.

Titel: Adversarial Attacks on Locally Private Graph Neural Networks (Adversariale Angriffe auf lokal private Graph-Neuronale Netze)

Autoren: Matta Varun, Ajay Kumar Dhakar, Yuan Hong, Shamik Sural (IIT Kharagpur & University of Connecticut)

1. Problemstellung

Graph-Neuronale Netze (GNNs) sind leistungsstarke Werkzeuge für die Analyse von Graphdaten, leiden jedoch unter erheblichen Sicherheitsrisiken durch adversariale Angriffe. In sensiblen Bereichen wie sozialen Netzwerken oder Finanztransaktionen ist der Schutz der Privatsphäre entscheidend. Local Differential Privacy (LDP) bietet einen Rahmen, um die Privatsphäre zu wahren, indem Rauschen bereits auf der Client-Seite (vor der Aggregation) hinzugefügt wird.

Das zentrale Problem dieser Arbeit ist die Untersuchung der Sicherheitslücken von GNNs, die mit LDP geschützt sind (LPGNN). Es ist unklar, wie sich die durch LDP eingeführten Rauschmechanismen auf die Robustheit gegen adversariale Angriffe auswirken. Können Angreifer die Privatsphäregarantien umgehen oder die Modellgenauigkeit trotz des Rauschens drastisch verschlechtern? Bisher wurde die Interaktion zwischen LDP und adversarialer Robustheit in Graphen kaum erforscht.

2. Methodik und Angriffsvektoren

Die Autoren untersuchen vier spezifische Angriffsarten auf das von Sajadmanesh und Gatica-Pere vorgeschlagene LPGNN-Framework (welches Multi-Bit-Encoder, KProp zum Denoising und Randomized Response für Labels nutzt):

Node Injection Attack (Knoten-Injektion):
- Konzept: Der Angreifer fügt bösartige Knoten mit zufälligen Merkmalen und Labels in den Graphen ein, die mit Knoten hoher Verbindungsstärke (High-Degree Nodes) verknüpft werden.
- Ziel: Die Genauigkeit des Modells durch das Einbringen von „Rauschen" in die Nachbarschaftsaggregation zu senken.
- Szenario: Black-Box-Angriff (der Angreifer kennt die Merkmale der Zielknoten nicht).
Label-Flipping Attack (Label-Umdrehung):
- Konzept: Der Angreifer manipuliert die Labels von kompromittierten Knoten (basierend auf deren Grad), bevor diese in das LDP-Verfahren gelangen.
- Ziel: Das Modell auf falsche Vorhersagen zu trainieren.
- Szenario: White-Box-Angriff (der Angreifer kennt die Labels, aber nicht die Merkmale).
Inference Attack (Inferenzangriff):
- Konzept: Basierend auf der Annahme, dass benachbarte Knoten ähnliche Merkmale haben, versucht der Angreifer (auf dem Server), die ursprünglichen Merkmale aus den aggregierten, verrauschten Daten wiederherzustellen.
- Methode: Berechnung des Mittelwerts der verrauschten Merkmale der Nachbarn.
- Ziel: Verletzung der Privatsphäre durch Rekonstruktion der Originaldaten.
Poisoning Attack (Vergiftungsangriff):
- Konzept: Dies ist der kritischste Angriff. Der Angreifer injiziert einen spezifischen „Giftpol" ( $p$ ) in die Merkmale der Knoten vor der Anwendung des LDP-Multi-Bit-Encoders.
- Mechanismus: Der Giftpol wird so berechnet, dass er die Wahrscheinlichkeitsverteilung des Bernoulli-Tests im Encoder manipuliert. Wenn ein ursprünglicher Wert $\alpha$ ist, führt der Giftpol dazu, dass die Ausgabe des Encoders deterministisch wird (z. B. immer 0 oder immer 1), wenn der ursprüngliche Wert $\alpha$ war.
- Ziel: Umgehung der LDP-Garantie und vollständige Rekonstruktion der privaten Merkmale.

3. Experimentelles Setup

Datensätze: Cora, PubMed, Facebook, LastFM.
Architekturen: GCN, GAT, GraphSAGE.
Parameter: Verschiedene Privacy Budgets ( $\epsilon_x$ für Merkmale, $\epsilon_y$ für Labels).
Metriken: Genauigkeit (Accuracy), Kosinus-Ähnlichkeit (für Inferenzangriffe), mittlere Merkmalsdifferenz.

4. Wichtige Ergebnisse

Node Injection: Dieser Angriff erwies sich als wenig effektiv. Da die injizierten Knoten zufällige Merkmale haben (Black-Box) und das Modell ohnehin bereits durch LDP-Rauschen „verwirrt" ist, führt die zusätzliche Injektion nicht zu einer signifikanten Verschlechterung der Genauigkeit.
Label Flipping: Dieser Angriff war hochgradig erfolgreich. Die Genauigkeit des Modells sank linear mit der Anzahl der umgedrehten Labels. Selbst unter LDP-Bedingungen kann die Manipulation von Labels die Leistung des GNN erheblich beeinträchtigen.
Inferenzangriff (ohne Vergiftung): Dieser Angriff scheiterte. Die Versuche, ursprüngliche Merkmale durch Mittelwertbildung der verrauschten Daten wiederherzustellen, ergaben eine sehr geringe Ähnlichkeit (Kosinus-Ähnlichkeit nahe 0) und große Differenzen. Der Grund liegt in der großen Ausgabe-Domäne des Multi-Bit-Encoders (z. B. $[-178.5, 179.5]$ ), die eine effektive Rekonstruktion verhindert.
Poisoning Attack (Vergiftung): Dieser Angriff war extrem erfolgreich und brach die LDP-Garantie.
- Durch die gezielte Injektion des Giftpols konnte der Angreifer die Originalmerkmale mit einer Erfolgsrate von 97% bis 100% rekonstruieren (abhängig vom Datensatz).
- Bei binären Merkmalen (wie im Cora-Datensatz) wurde die Privatsphäre vollständig kompromittiert.
- Dies beweist, dass die LDP-Garantie des Multi-Bit-Encoders anfällig ist, wenn der Angreifer die Eingabedaten vor der Verschlüsselung manipulieren kann.

5. Beiträge und Signifikanz

Erste umfassende Studie: Dies ist eine der ersten Arbeiten, die sich spezifisch mit adversarialen Angriffen auf lokal private GNNs befasst.
Aufdeckung kritischer Schwachstellen: Die Arbeit zeigt, dass LDP zwar gegen Inferenzangriffe auf reine Rauschdaten schützt, aber nicht gegen Vergiftungsangriffe (Poisoning), die die Struktur des Rauschmechanismus ausnutzen.
Theoretische Beweisführung: Die Autoren liefern einen mathematischen Beweis dafür, wie ein spezifischer Giftpol die Wahrscheinlichkeitsverteilung des Encoders so verschiebt, dass die Differential-Privacy-Garantie ( $\epsilon$ ) verletzt wird.
Praktische Implikationen: Die Ergebnisse warnen davor, dass Privacy-Preserving-Modelle (LPGNN) nicht automatisch sicher gegen Angriffe sind. Insbesondere die Integrität der Eingabedaten vor der Verschlüsselung ist kritisch.
Zukünftige Richtungen: Die Autoren schlagen vor, defensive Mechanismen zu entwickeln, die speziell gegen solche Vergiftungsangriffe gerichtet sind, und die Interaktion zwischen Privatsphäre und Sicherheit als Spieltheorie zu modellieren.

Fazit

Das Paper demonstriert, dass die Einführung von Local Differential Privacy in GNNs zwar die Privatsphäre gegen passive Beobachter schützt, aber neue, subtile Angriffsvektoren (insbesondere Poisoning) eröffnet, die die Privatsphäregarantien vollständig umgehen können. Während einfache Angriffe wie Node Injection wenig Wirkung zeigen, stellen Label-Flipping und insbesondere Vergiftungsangriffe eine ernsthafte Bedrohung für die Integrität und Vertraulichkeit von LPGNNs dar.