Technische Samenvatting: Fed-Listing

Probleemstelling

Federated Graph Neural Networks (FedGNN's) maken collaboratief leren mogelijk over gedistribueerde clients terwijl de gegevensprivacy wordt behouden. Echter, recent onderzoek geeft aan dat gedeelde modelupdates, met name gradiënten, onbedoeld gevoelige informatie over lokale gebruikers kunnen lekken. Hoewel verschillende privacy-aanvallen (zoals lidmaatschapsinference, eigendomsinference en grafreconstructie) in FedGNN's zijn onderzocht, blijft Label Distribution Inference (LDI) in deze context onderbelicht.

LDI-aanvallen beogen de statistische verdeling van klasselabels binnen de privédataset van een doelclient af te leiden. Bij grafgestructureerde data wordt dit risico versterkt door homofilie, waarbij knopen met vergelijkbare labels de neiging hebben om met elkaar verbonden te zijn, waardoor structurele en kenmerkcorrelaties impliciet de samenstelling van gemeenschappen onthullen. Het lekken van labelverdeling kan gevoelige demografische kenmerken, gebruikersgedrag of medische aandoeningen blootleggen (bijvoorbeeld de verhouding tussen tumor-positieve en normale scans in een ziekenhuis), wat leidt tot privacy-schendingen en concurrentie-nadelen.

Bestaande LDI-methoden, zoals Decaf, zijn voornamelijk ontworpen voor beelddatasets en vertrouwen op de grootte van gradiëntveranderingen in de laatste lineaire laag. Deze methoden hebben moeite in FedGNN's omdat gradiënten niet alleen worden beïnvloed door knopenlabels, maar ook door complexe buurstructuren en onbekende knopgraden, waardoor directe reverse engineering niet triviaal is. Bovendien vereisen gelijktijdige actieve aanvallen zoals EC-LDA dat de server clientparameters manipuleert, waardoor ze detecteerbaar zijn en de bruikbaarheid van het model verstoren.

Methodologie: Fed-Listing

De auteurs stellen Fed-Listing (Federated Label Distribution Inference in GNN's) voor, een nieuw, passief en sluipend aanvalskader dat specifiek is ontworpen voor horizontale FedGNN-instellingen. De aanval gaat uit van een "honest-but-curious" server die toegang heeft tot gedeelde modelupdates (gradiënten) en een hulpdataset, maar het trainingsproces niet wijzigt.

De aanval verloopt in drie fasen:

1. Partitionering van de Hulpdataset:
   De aanvallende partij gebruikt een hulpdataset ($D_a$) met een vergelijkbare verdeling en labelruimte als de doelclients. Deze dataset wordt opgesplitst in subsets met behulp van vier verschillende strategieën om diverse clientverdelingen te simuleren:

   • Gelijke verdeling: Klassen zijn gelijk vertegenwoordigd.
   • Willekeurige verdeling: Klassen worden willekeurig toegewezen (simulatie van non-i.i.d.-scenario's).
   • Enkelklasse: Elke client bevat alleen samples van één klasse.
   • Ontbrekende klassen: Bepaalde klassen ontbreken bij specifieke clients.

2. Shadow Federated Training:
   De aanvallende partij bouwt meerdere "shadow" federated learning-instanties op met behulp van de gepartitioneerde hulpdata. Tijdens deze shadow-trainingrondes registreert de aanvallende partij de gradiënten van de laatste laag ($g_r$) die worden uitgewisseld tussen shadow-clients en de server. Deze gradiënten worden gekoppeld aan de bekende ground-truth labelverdelingen van de shadow-clients om een aanvaldataset ($T_{attack}$) te vormen.

3. Training en Inferentie van het Aanvalsmode:
   Een op neurale netwerken gebaseerd aanvalsmode (specifiek een MLP) wordt getraind op $T_{attack}$ om gradiëntupdates af te leiden naar labelverdelingen. Het model minimaliseert een samengestelde verliesfunctie die de volgende componenten combineert:

   • L1-norm ($L_{L1}$): Meet de statistische discrepantie tussen voorspelde en ware verdelingen.
   • Jensen-Shannon-divergentie ($L_{JS}$): Meet de overlap/scheiding tussen verdelingen.

   Zodra het model is getraind, leidt het de labelverdeling van een echte slachtofferclient af door de gradiënten te analyseren die zijn ontvangen tijdens het daadwerkelijke FedGNN-trainingsproces.

Belangrijkste Bijdragen

1. Nieuw Aanvalskader: Introductie van Fed-Listing, de eerste passieve en sluipende LDI-aanval die specifiek is toegesneden op horizontale FedGNN's.
2. Shadow Training-pijplijn: Een ontworpen pijplijn die een hulpdataset gebruikt om heterogene dataverdelingen te verkennen, waardoor diverse aanvalsscenario's worden gecreëerd die real-world non-i.i.d.-omstandigheden nabootsen.
3. Uitgebreide Evaluatie: Uitgebreide experimenten uitgevoerd op vier benchmarkdatasets (Cora, PubMed, Citeseer, Amazon Computers) en drie GNN-architecturen (GCN, GraphSage, GIN).
4. Defensie-analyse: Empirische analyse van de weerstand van Fed-Listing tegen drie wijdverspreide defensiemechanismen: Differentiële Privacy (DP), ruisgradiënten en gradiëntcompressie.

Experimentele Resultaten

De auteurs hebben Fed-Listing geëvalueerd tegen willekeurig gissen en Decaf (aangepast voor grafdata), evenals de actieve aanval EC-LDA (gebruikt als bovengrens).

• Prestaties: Fed-Listing presteert aanzienlijk beter dan bestaande baselines over alle datasets en architecturen heen. In uitdagende non-i.i.d.-scenario's (bijvoorbeeld enkelklasse- of één-klasse-dominante verdelingen) behoudt Fed-Listing een hoge nauwkeurigheid (bijvoorbeeld Cosine Similarity > 0,97 op Cora), terwijl Decaf en willekeurig gissen aanzienlijke prestatiedalingen vertonen.
• Efficiëntie: Het aanvalsmode bereikt superieure prestaties met behulp van gradiënten van de laatste laag in vergelijking met gradiënten van alle lagen, wat de trainingstijd met tot 479× reduceert op de Amazon Computers-dataset terwijl de inferentienauwkeurigheid behouden of verbeterd blijft.
• Modelarchitectuur: Een op MLP gebaseerd aanvalsmode bleek even effectief als een op CNN gebaseerd model, maar met aanzienlijk minder parameters (~44 keer minder), wat een efficiëntere oplossing biedt.
• Weerstand tegen Defensie: Bestaande defensiemechanismen hebben moeite om Fed-Listing te mitigeren zonder de bruikbaarheid van het model ernstig te verslechteren.
  • Differentiële Privacy (DP): Het verhogen van het privacybudget ($\epsilon$) verbetert over het algemeen de modelbruikbaarheid, maar verhoogt ook de effectiviteit van de aanval, behalve bij specifieke lage waarden.
  • Ruisgradiënten: Hoge ruisniveaus verslechteren zowel de modelnauwkeurigheid als de betrouwbaarheid van de aanval, maar gematigde ruisniveaus staan nog steeds een matig succes van de aanval toe.
  • Gradiëntcompressie: Hoewel compressie het succes van de aanval bij bepaalde drempels vermindert (bijvoorbeeld $\alpha=0,5$), vereist het een afweging waarbij hogere compressieverhoudingen de modelbruikbaarheid verbeteren, maar de lekken niet volledig elimineren.

Betekenis en Claims

Het artikel stelt dat Fed-Listing een kritieke kwetsbaarheid blootlegt in huidige FedGNN-implementaties: lekken van labelverdeling is een aanzienlijk en onderbelicht privacyrisico. De auteurs benadrukken dat:

• De aanval passief en sluipend is, waardoor deze moeilijker te detecteren is dan actieve aanvallen die trainingsparameters manipuleren.
• Huidige defensiemechanismen ontoereikend zijn; ze falen ofwel om de aanval te stoppen, of vereisen zulke sterke verstoring dat de bruikbaarheid van het globale model ernstig wordt aangetast.
• De bevindingen wijzen op een dringende behoefte aan nieuwe privacybehoudende mechanismen die specifiek zijn ontworpen om lekken van labelverdeling te voorkomen in op grafen gebaseerd federated leren, in plaats van te vertrouwen op defensies die zijn ontworpen voor gecentraliseerde of op afbeeldingen gebaseerde omgevingen.

Het werk concludeert dat het begrijpen van deze veiligheidsimplicaties essentieel is voor de robuuste implementatie van FedGNN's in gevoelige real-world systemen zoals gezondheidszorg, aanbevelingssystemen en onderzoek tussen instellingen.