🤖 machine learning

Attack by Unlearning: Unlearning-Induced Adversarial Attacks on Graph Neural Networks

Questo lavoro introduce gli attacchi di corruzione da disapprendimento, una nuova minaccia che sfrutta le richieste legali di rimozione dei dati per degradare silenziosamente le prestazioni dei modelli di reti neurali grafiche, trasformando un meccanismo di conformità normativa in una vulnerabilità di sicurezza.

Autori originali: Jiahao Zhang, Yilong Wang, Suhang Wang

Pubblicato 2026-03-20

📖 4 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Jiahao Zhang, Yilong Wang, Suhang Wang

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di avere un cuore digitale (una Rete Neurale su Grafo) che impara a conoscere il mondo attraverso le relazioni tra le persone, come un social network o un sistema di raccomandazione di film. Questo cuore è stato addestrato su milioni di dati per essere bravo a fare previsioni.

Ora, immagina che le leggi sulla privacy (come il GDPR in Europa) dicano: "Se un utente chiede di essere dimenticato, devi cancellare ogni traccia di lui dal tuo cervello".

Gli scienziati hanno creato dei metodi per farlo velocemente senza dover ricominciare tutto da capo. Si chiamano metodi di "Unlearning" (dimenticare).

Il Problema: Il "Dimenticare" può essere un'arma?

Gli autori di questo studio si sono chiesti: "E se qualcuno usasse proprio questa richiesta di cancellazione per distruggere il cervello digitale?"

Hanno scoperto che sì, è possibile. Hanno inventato un nuovo tipo di attacco chiamato "Attacco per Dimenticanza" (Unlearning Corruption Attack).

Come funziona l'attacco? (La Metafora del "Cavallo di Troia")

Immagina che un hacker voglia sabotare un sistema di raccomandazione di film (come Netflix). Non può entrare e cancellare i server, ma può fare due cose:

Fase 1: L'Infiltrazione (Il Cavallo di Troia)
L'hacker crea un centinaio di profili falsi (nodi) sul social network. Questi profili sembrano normali: guardano film, hanno amici, scrivono recensioni. In realtà, sono stati costruiti in modo molto sottile e matematico.
- Risultato: Il sistema di raccomandazione viene addestrato su questi profili falsi. Funziona perfettamente! Nessuno nota nulla. È come se l'hacker avesse messo dei "virus dormienti" nel cervello del sistema.
Fase 2: La Richiesta Legale (Il Grilletto)
Dopo che il sistema è stato rilasciato al pubblico, l'hacker (o un suo complice) invia una richiesta ufficiale: "Cancellate tutti i miei profili falsi, voglio essere dimenticato!".
Poiché è una richiesta legale, l'azienda deve obbedire.
Fase 3: Il Collasso (L'Esplosione)
Qui avviene la magia nera. Quando il sistema cerca di "dimenticare" quei profili specifici usando i suoi algoritmi di cancellazione, succede qualcosa di terribile: invece di diventare più pulito, il sistema impazzisce.
La sua capacità di raccomandare film crolla. Da un'accuratezza del 90%, scende al 20%. Il sistema diventa inutile per tutti gli utenti onesti.

Perché è così pericoloso?

È inattaccabile: L'azienda non può dire "No" alla richiesta di cancellazione, è la legge.
È invisibile: Durante la fase di addestramento, il sistema sembrava perfetto. Il danno appare solo dopo che è stato eseguito l'ordine di cancellazione.
È specifico: Se l'hacker chiede di cancellare un utente normale (non i suoi profili truccati), il sistema funziona bene. Il danno scatta solo quando vengono rimossi i "profili trappola".

Come hanno fatto? (La Scienza dietro la Magia)

Gli autori hanno creato un "cervello gemello" (un modello surrogato) per simulare come il sistema reagisce alla cancellazione. Hanno usato la matematica per calcolare esattamente come costruire quei profili falsi in modo che, una volta rimossi, facciano crollare le prestazioni del sistema reale.

È come se un architetto costruisse una casa perfetta, ma nascondesse dei mattoni speciali. Se qualcuno rimuove quei mattoni specifici, l'intera casa crolla, anche se sembra che stia solo facendo una piccola riparazione.

Cosa ci dicono i risultati?

Hanno testato questo attacco su diversi social network e sistemi di raccomandazione reali.

Risultato: Con pochi profili falsi (pochi "mattoni"), hanno fatto crollare l'accuratezza del sistema fino al 50-60% in alcuni casi.
Conclusione: I metodi attuali per "dimenticare" i dati sono fragili. Se un attaccante è abbastanza intelligente da preparare il terreno, può usare le leggi sulla privacy come un'arma per distruggere l'intelligenza artificiale.

In sintesi

Questo studio ci avverte che il diritto di essere dimenticati, sebbene fondamentale per la privacy, apre una nuova porta per i criminali informatici. Non basta più proteggere i dati; bisogna anche proteggere il processo di cancellazione dei dati, perché in futuro, chiedere di essere dimenticati potrebbe essere il modo più veloce per distruggere un'intelligenza artificiale.

1. Il Problema: Vulnerabilità dell'Unlearning nei GNN

Le Reti Neurali su Grafi (GNN) sono fondamentali in settori come i social network, i sistemi di raccomandazione e le piattaforme finanziarie. Con l'entrata in vigore di normative sulla privacy come il GDPR, il CCPA e il PIPEDA, è diventato obbligatorio implementare meccanismi di "Machine Unlearning" (dimenticanza), ovvero la capacità di rimuovere l'influenza di specifici punti dati (es. un utente che chiede la cancellazione del proprio account) dai modelli addestrati senza doverli riaddestrare da zero.

Tuttavia, l'unlearning è spesso un processo approssimato che può causare un degrado delle prestazioni. Gli autori si chiedono: questo degrado inevitabile può essere amplificato e "armato" per distruggere un modello GNN?

Il paper introduce un nuovo vettore di attacco chiamato "Unlearning Corruption Attack" (Attacco di corruzione tramite dimenticanza). A differenza degli attacchi tradizionali (avvelenamento dei dati o backdoor), questo attacco sfrutta il processo stesso di rimozione dei dati, che è legalmente obbligatorio e non può essere rifiutato dal proprietario del modello.

2. Metodologia: Attacco di Corruzione tramite Dimenticanza

Il Modello di Minaccia

L'attaccante opera in un setting black-box (non conosce l'architettura interna o i parametri del modello vittima) e segue due fasi:

Iniezione (Fase 1): L'attaccante inietta un piccolo numero di nodi malevoli ( $\Delta V$ ) nel grafo di addestramento originale. Questi nodi vengono creati con caratteristiche e connessioni ingannevoli ma appaiono innocui durante l'addestramento iniziale.
Richiesta di Dimenticanza (Fase 2): L'attaccante (o un utente compromesso) richiede la rimozione legale di questi nodi iniettati. Il modello esegue l'algoritmo di unlearning per cancellare la loro influenza.

L'obiettivo dell'attacco è progettare i nodi iniettati in modo tale che, una volta rimossi tramite l'algoritmo di unlearning, il modello subisca un crollo catastrofico delle prestazioni sui nodi rimanenti (non etichettati), pur mantenendo prestazioni normali prima della rimozione.

Obiettivi dell'Attaccante (G1-G3)

L'attacco deve soddisfare tre condizioni simultanee:

(G1) Danno post-unlearning: Massimizzare il degrado dell'accuratezza dopo la rimozione dei nodi iniettati.
(G2) Utilità pre-unlearning: Mantenere l'accuratezza normale durante la fase di addestramento iniziale (l'attacco deve essere stealthy).
(G3) Stealthiness sotto unlearning benigno: Assicurarsi che la rimozione di nodi benigni (non iniettati) non causi un degrado significativo, isolando il danno solo alla richiesta specifica dell'attaccante.

Framework di Ottimizzazione Bi-Livello

Per risolvere il problema, gli autori formulano un problema di ottimizzazione bi-livello che affronta due sfide principali:

Unlearning come "Black-Box": L'operatore di unlearning è spesso complesso e non differenziabile direttamente.
- Soluzione: Gli autori approssimano il processo di unlearning tramite aggiornamenti basati sul gradiente (gradient ascent) su una funzione di perdita modificata, permettendo il calcolo di gradienti attraverso il processo di rimozione.
Scarsità di Etichette: L'attaccante non ha accesso alle etichette vere dei nodi di test (non etichettati).
- Soluzione: Viene utilizzato un modello surrogato addestrato dall'attaccante per generare pseudo-etichette sui nodi di test, che fungono da proxy per ottimizzare l'obiettivo dell'attacco.

L'obiettivo di ottimizzazione massimizza la perdita sui nodi target dopo l'unlearning, penalizzando al contempo la perdita dopo l'unlearning di nodi benigni (tramite un termine di regolarizzazione).

Algoritmo di Ottimizzazione

Poiché la struttura del grafo (adiacenza) è discreta, l'ottimizzazione diretta è difficile. Il metodo proposto:

Riformula le variabili di adiacenza come variabili continue (tramite funzione sigmoide).
Esegue l'ottimizzazione nel spazio continuo.
Proietta la soluzione finale sul set discreto ammissibile (mantenendo il budget di bordi) solo alla fine del processo, evitando il problema del "vanishing gradient" tipico delle proiezioni iterative.

3. Risultati Sperimentali

Gli esperimenti sono stati condotti su quattro dataset standard (Cora, Citeseer, Pubmed, Flickr) utilizzando diversi modelli GNN (GCN) e algoritmi di unlearning (GIF, CEU, Gradient Ascent).

Efficacia Distruttiva: L'attacco proposto (OptimAttack) ha causato un crollo drastico dell'accuratezza dopo l'unlearning. Ad esempio, sul dataset Pubmed, l'attacco ha ridotto l'accuratezza di circa il 59% (da ~83% a ~24%) utilizzando l'algoritmo GIF, mentre le baseline casuali o semplici copie di nodi hanno mostrato effetti trascurabili o negativi.
Stealthiness: Prima della rimozione, i modelli avvelenati mantengono un'accuratezza quasi identica a quella dei modelli puliti (es. 0.7381 vs 0.7357 su Citeseer), rendendo l'attacco indetectabile durante l'addestramento.
Trasferibilità: L'attacco è efficace anche su modelli vittima diversi da quello usato per l'ottimizzazione (es. SGC, GAT) e funziona su diversi algoritmi di unlearning, dimostrando di sfruttare vulnerabilità fondamentali del processo di rimozione dei dati.
Scalabilità: È stata introdotta una strategia di restrizione del vicinato (neighborhood restriction) che limita l'ottimizzazione ai nodi vicini ai target, permettendo l'applicazione su grafi di grandi dimensioni (come Flickr) con costi computazionali ridotti.

4. Contributi Chiave

Nuovo Vettore di Attacco: Introduzione del concetto di "Unlearning Corruption Attack", che trasforma una richiesta di conformità legale (diritto all'oblio) in un'arma per sabotare i modelli.
Formalizzazione del Problema: Definizione di un modello di minaccia realistico e di un obiettivo di ottimizzazione che bilancia danno, utilità e stealthiness.
Framework Tecnico: Sviluppo di un metodo di ottimizzazione bi-livello che supera le sfide del black-box e della mancanza di etichette tramite approssimazione del gradiente e modelli surrogati.
Analisi Empirica: Dimostrazione empirica che piccole richieste di unlearning, se progettate strategicamente, possono distruggere l'usabilità di un modello GNN, sollevando preoccupazioni urgenti sulla robustezza dei sistemi di apprendimento grafico sotto regolamentazione.

5. Significato e Implicazioni

Questo lavoro evidenzia una tensione fondamentale tra conformità normativa e sicurezza. Sebbene l'unlearning sia necessario per rispettare le leggi sulla privacy, questo studio dimostra che il processo stesso può essere manipolato per creare vulnerabilità critiche.

Le implicazioni sono profonde per:

Sviluppatori di GNN: La necessità di sviluppare algoritmi di unlearning più robusti che non siano suscettibili a tale manipolazione.
Regolatori: La consapevolezza che l'obbligo di cancellazione dei dati potrebbe avere conseguenze inattese sulla sicurezza dei sistemi automatizzati.
Difensori: La necessità di monitorare non solo l'addestramento iniziale, ma anche le richieste di rimozione dei dati, poiché queste potrebbero essere il trigger per un attacco.

In sintesi, il paper apre un nuovo capitolo nella ricerca sulla sicurezza dei GNN, spostando il focus dagli attacchi sui dati di input o di training tradizionali agli attacchi che sfruttano il ciclo di vita completo del modello, inclusa la sua fase di "dimenticanza".