Adversarial Attacks on Locally Private Graph Neural Networks

Titolo: Attacchi Avversariali su Graph Neural Network Localmente Privati (LPGNN)

1. Problema e Contesto

Le Graph Neural Networks (GNN) sono strumenti potenti per l'analisi di dati strutturati a grafo, ma la loro vulnerabilità agli attacchi avversariali rappresenta una minaccia significativa, specialmente in contesti che gestiscono informazioni sensibili (es. reti sociali, transazioni finanziarie).
Per proteggere la privacy, viene spesso utilizzato il Local Differential Privacy (LDP), che aggiunge rumore ai dati direttamente sui dispositivi degli utenti prima dell'aggregazione. Sebbene l'LDP offra garanzie di privacy rigorose, il suo impatto sulla robustezza avversariale delle GNN è poco esplorato.
Il problema centrale indagato in questo lavoro è: le garanzie di privacy fornite dall'LDP possono essere sfruttate o compromesse da perturbazioni avversariali? Gli autori si chiedono se un attaccante possa manipolare i dati in modo tale da eludere il rumore di privacy o sfruttare le debolezze introdotte dallo stesso rumore per degradare le prestazioni del modello o violare la privacy.

2. Metodologia

Gli autori hanno analizzato l'interazione tra privacy e sicurezza nel contesto dei LPGNN (Local Privacy Graph Neural Networks), basandosi sull'architettura proposta da Sajadmanesh e Gatica-Pere [23]. Questa architettura utilizza:

• Multi-Bit Encoder: Per perturbare i vettori delle feature degli utenti.
• KProp: Per la denoising delle feature.
• Randomized Response: Per la perturbazione delle etichette (label).
• DROP: Per la denoising delle etichette durante l'addestramento.

Sono stati progettati e testati quattro tipi di attacchi contro questo framework:

1. Attacco di Iniezione di Nodi (Node Injection):

   • Meccanismo: Un attaccante inserisce nuovi nodi maligni nel grafo, collegandoli strategicamente ai nodi esistenti con il grado più alto (i più connessi).
   • Ipotesi: I nodi iniettati hanno feature e label casuali (attacco "black-box" poiché l'attaccante non conosce i dati reali dei nodi target).
   • Obiettivo: Diffondere rumore attraverso l'aggregazione delle informazioni vicine per degradare l'accuratezza del modello.

2. Attacco di Inversione di Etichette (Label-Flipping):

   • Meccanismo: L'attaccante modifica le etichette reali di un sottoinsieme di nodi (scelti in base al grado) prima che venga applicato il meccanismo LDP.
   • Ipotesi: Attacco "white-box" sulle etichette (l'attaccante conosce le etichette ma non le feature).
   • Obiettivo: Ingannare il modello durante l'addestramento facendogli apprendere relazioni errate.

3. Attacco di Inference (Inference Attack):

   • Meccanismo: L'attaccante (che compromette il server) osserva i vettori di feature rumorosi aggregati dai vicini di un nodo target. Sfruttando l'assunzione che i nodi vicini abbiano feature simili, tenta di ricostruire il valore originale calcolando la media dei valori rumorosi.
   • Obiettivo: Recuperare le informazioni private originali nonostante il rumore LDP.

4. Attacco di Avvelenamento dei Dati (Data Poisoning):

   • Meccanismo: Questo è l'attacco più sofisticato. L'attaccante inietta un "veleno" matematico ($p$) nelle feature dei nodi target prima che vengano codificati dal Multi-Bit Encoder.
   • Logica: Il veleno è calcolato in modo tale da annullare la probabilità di un risultato specifico nel processo Bernoulli dell'encoder (Linea 4 dell'Algoritmo 1). Se il valore originale è $\alpha$, il veleno $p = \frac{\alpha - \beta}{e^{\epsilon/m} - 1}$ forza la probabilità di ottenere un output specifico a zero o uno, rendendo deducibile il valore originale dal rumore.
   • Obiettivo: Violare le garanzie di $\epsilon$-differenzialità privata permettendo al server di inferire con certezza i valori privati originali.

3. Risultati Sperimentali

Gli esperimenti sono stati condotti su quattro dataset (Cora, PubMed, Facebook, LastFM) utilizzando tre architetture GNN (GCN, GAT, SAGE).

• Iniezione di Nodi: L'attacco si è rivelato poco efficace. L'accuratezza del modello non è diminuita significativamente anche con un alto numero di nodi iniettati. La ragione principale è che, in un contesto LDP, i dati sono già rumorosi; l'aggiunta di rumore casuale (feature e label casuali) non degrada ulteriormente le prestazioni in modo drastico e può talvolta persino aiutare per caso.
• Inversione di Etichette: L'attacco è stato molto efficace. L'accuratezza del modello è diminuita linearmente all'aumentare della percentuale di etichette corrotte. Questo dimostra che la privacy delle feature non protegge sufficientemente il modello da manipolazioni delle etichette.
• Attacco di Inference (senza veleno): L'attacco basato sulla semplice aggregazione media dei valori rumorosi ha fallito. La differenza media tra le feature predette e quelle originali è stata enorme (spesso superiore alla dimensione del dominio delle feature). Il motivo è l'enorme espansione del dominio di output dopo l'applicazione del meccanismo Multi-Bit (da $[0,1]$ a $[-178.5, 179.5]$), che rende l'inferenza statistica inefficace senza informazioni aggiuntive.
• Attacco di Avvelenamento (Poisoning): Questo è stato l'attacco di maggior successo.
  • Ha permesso di violare le garanzie LDP.
  • Tassi di successo: 100% su Cora e LastFM, 99.82% su PubMed, 97.44% su Facebook.
  • L'attaccante è riuscito a dedurre con certezza i valori originali delle feature (es. distinguere tra 0 e 1) osservando solo l'output rumoroso, sfruttando la conoscenza del meccanismo di codifica e l'iniezione mirata del veleno.

4. Contributi Chiave

1. Prima analisi completa: Questo lavoro è il primo studio sistematico sugli attacchi avversariali specifici per i GNN protetti da LDP (LPGNN).
2. Identificazione di una vulnerabilità critica: Dimostra che mentre il rumore LDP standard protegge contro semplici attacchi di inferenza statistica, è vulnerabile ad attacchi di avvelenamento mirati che manipolano i dati prima della codifica per annullare matematicamente il rumore.
3. Distinzione tra efficacia degli attacchi: Evidenzia che gli attacchi strutturali (iniezione di nodi) sono meno efficaci in ambienti LDP rispetto agli attacchi sulle etichette o agli attacchi di avvelenamento mirati.
4. Dimostrazione teorica e pratica: Fornisce una prova matematica e sperimentale di come un attaccante possa bypassare le garanzie di privacy LDP in un contesto di apprendimento su grafi.

5. Significato e Implicazioni

Lo studio rivela un paradosso fondamentale: l'aggiunta di rumore per la privacy può creare nuove superfici di attacco se il meccanismo di perturbazione è noto e prevedibile.

• Sicurezza: Le attuali implementazioni di LPGNN non sono sufficientemente robuste contro attacchi di avvelenamento mirati. La privacy non è garantita se l'attaccante può manipolare i dati in ingresso in modo intelligente.
• Futuro della Ricerca: Il lavoro sottolinea la necessità di sviluppare architetture GNN che siano sia private che robuste (robust privacy-preserving). Suggerisce direzioni future come la modellazione di questi scenari come giochi (game theory) tra attaccante e difensore e lo sviluppo di meccanismi di difesa specifici contro l'avvelenamento dei dati in contesti LDP.

In conclusione, il documento avverte che la sola adozione di LDP non è una soluzione "silver bullet" per la sicurezza dei GNN; è necessario un approccio olistico che consideri simultaneamente privacy e robustezza contro manipolazioni sofisticate dei dati.