🤖 machine learning

Attack by Unlearning: Unlearning-Induced Adversarial Attacks on Graph Neural Networks

Este artigo apresenta os "ataques de corrupção por esquecimento", uma nova forma de ataque adversarial contra Redes Neurais em Grafos onde um oponente explora o processo de esquecimento de dados, legalmente obrigatório, para induzir uma degradação catastrófica no desempenho do modelo após a exclusão de nós maliciosamente injetados.

Autores originais: Jiahao Zhang, Yilong Wang, Suhang Wang

Publicado 2026-03-20

📖 4 min de leitura☕ Leitura rápida

CC BY 4.0

Autores originais: Jiahao Zhang, Yilong Wang, Suhang Wang

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine que você tem um cérebro digital (uma Rede Neural de Grafos) que aprendeu a entender o mundo analisando conexões entre pessoas, como em uma rede social. Ele sabe quem é amigo de quem, o que as pessoas gostam e como prever o que você vai querer comprar ou ver.

Agora, imagine que uma lei nova (como o "Direito ao Esquecimento" na Europa) diz: "Se uma pessoa pedir para ser esquecida, você deve apagar todas as informações dela do seu cérebro, sem precisar reescrever todo o livro de novo."

Os cientistas criaram métodos rápidos para fazer essa "apagagem" (chamados de Unlearning ou Esquecimento Aproximado). Eles acreditavam que era seguro: apaga o pedido, o cérebro continua funcionando quase igual, só que sem aquela pessoa.

Mas o que este paper descobriu?
Descobriram que um vilão esperto pode usar essa lei contra o próprio sistema. É como se o vilão dissesse: "Eu vou entrar no seu sistema, criar uma conta falsa, e depois pedir para ser apagado. Mas, quando você apagar minha conta, o seu cérebro vai entrar em colapso e esquecer tudo o que importa."

Aqui está a explicação passo a passo, usando analogias simples:

1. O Plano do Vilão: "A Bomba de Esquecimento"

O ataque se chama "Ataque por Esquecimento" (Unlearning Corruption Attack). Funciona assim:

Passo 1: A Injeção (O Cavalo de Troia): O vilão cria algumas contas falsas (nós) na rede social e as conecta de forma muito específica e inteligente. Ele não faz nada de errado agora. O cérebro digital treina com essas contas e tudo parece normal. Na verdade, o sistema funciona tão bem que ninguém suspeita de nada.
Passo 2: O Pedido de Esquecimento (O Gatilho): Depois que o sistema está pronto e em uso, o vilão aciona a lei. Ele pede: "Apague minhas contas falsas, por favor!". Como é uma lei, a empresa é obrigada a obedecer.
Passo 3: O Colapso (A Explosão): É aqui que a mágica (ou tragédia) acontece. O método de "apagagem rápida" que a empresa usa para remover as contas falsas, sem reescrever todo o sistema, acaba quebrando o cérebro digital. De repente, o sistema para de funcionar corretamente para todos os outros usuários. A precisão cai drasticamente.

2. Por que isso é tão perigoso?

O papel destaca três características assustadoras desse ataque:

Inevitável (Você não pode dizer "Não"): O vilão está usando uma lei a seu favor. A empresa tem que apagar os dados. Se eles se recusarem, podem ser processados. É um ataque que o defensor é obrigado a executar.
Invisível (O Fantasma): Enquanto o vilão está no sistema, ele parece um usuário normal. O sistema funciona perfeitamente. O problema só aparece depois que o pedido de exclusão é feito. É como colocar um veneno lento que só mata quando você tira o antídoto.
Sutil (Não é um ataque óbvio): Diferente de hackers que tentam derrubar o servidor com força bruta, esse ataque parece um processo administrativo normal.

3. Como eles fizeram isso? (A Ciência por trás)

Os pesquisadores mostraram que é possível calcular matematicamente exatamente como criar essas contas falsas para que, quando elas forem removidas, o sistema quebre.

Eles usaram um "cérebro de treino" (um modelo substituto) para simular como o sistema real reagiria.
Eles descobriram que, ao apagar certas conexões específicas, o método de "apagagem rápida" (que é uma aproximação matemática) comete um erro gigante, distorcendo todo o conhecimento do sistema.

4. O Resultado

Eles testaram isso em redes sociais reais e sistemas de recomendação. O resultado foi chocante:

Em alguns casos, a precisão do sistema caiu de 80% para 20% apenas após o pedido de exclusão ser processado.
Isso significa que o sistema de recomendação de filmes ou notícias parou de funcionar, sugerindo coisas totalmente erradas para todos os usuários legítimos.

Conclusão: O Dilema

Este trabalho nos dá um aviso importante: A privacidade e a segurança podem entrar em conflito.

Para obedecer às leis de privacidade (apagar dados), estamos usando métodos rápidos que podem deixar o sistema vulnerável a sabotagem. O vilão não precisa hackear o código; ele apenas usa o processo de "esquecer" como uma arma.

Resumo em uma frase:
O papel mostra que um inimigo pode se inscrever no seu sistema, pedir para sair e, ao sair, levar o sistema inteiro com ele, tudo isso explorando a necessidade legal de apagar dados de forma rápida e imperfeita.

Resumo Técnico: Ataque por Esquecimento (Unlearning) em Redes Neurais em Grafos

1. Problema e Motivação

As Redes Neurais em Grafos (GNNs) são amplamente utilizadas em redes sociais, sistemas de recomendação e finanças. Com a implementação de regulamentos de privacidade como o GDPR e CCPA, o conceito de "Graph Unlearning" (Esquecimento em Grafos) tornou-se crucial. O objetivo do unlearning é remover a influência de pontos de dados específicos (ex: contas de usuários excluídas) de um modelo treinado sem a necessidade de retreinamento completo, que seria computacionalmente proibitivo.

No entanto, o unlearning aproximado (que não é um retreinamento exato) frequentemente causa uma degradação sutil de desempenho. Os autores investigam uma questão fundamental: Essa degradação inevitável pode ser amplificada e transformada em um ataque adversarial?

O artigo propõe um novo vetor de ataque chamado "Unlearning Corruption Attacks" (Ataques de Corrupção por Esquecimento). Diferente de ataques tradicionais de envenenamento (poisoning) ou backdoors, este ataque explora o próprio processo de unlearning como gatilho. O atacante injeta nós maliciosos no grafo de treinamento e, posteriormente, solicita legalmente a exclusão desses nós. O objetivo é que o modelo funcione normalmente durante o treinamento, mas colapse em termos de precisão assim que o processo de unlearning for executado.

2. Metodologia Proposta

Os autores formalizam o problema como um problema de otimização de dois níveis (bi-level optimization), onde o atacante busca maximizar a perda do modelo após o unlearning, mantendo a utilidade antes dele.

Objetivos do Atacante (G1-G3):

G1 (Dano Pós-Unlearning): O modelo deve sofrer uma queda drástica de precisão nos nós não rotulados após a exclusão dos nós injetados.
G2 (Utilidade Pré-Unlearning): O modelo deve manter alta precisão antes do unlearning para que a injeção de nós não seja detectada (ataque furtivo).
G3 (Furtividade sob Unlearning Benigno): A exclusão de nós não maliciosos não deve causar degradação significativa, garantindo que o ataque seja específico apenas aos nós injetados.

Desafios Técnicos e Soluções:

Desafio do "Caixa-Preta" (Black-box): O operador de unlearning é frequentemente complexo e não acessível diretamente pelo atacante.
- Solução: Os autores aproximam o processo de unlearning usando atualizações baseadas em gradiente (gradiente ascendente para "esquecer" os dados). Eles utilizam uma aproximação de um único passo (one-step approximation) para tornar o processo diferenciável e permitir a otimização end-to-end.
Escassez de Rótulos: O atacante não possui os rótulos verdadeiros dos nós de teste (não rotulados).
- Solução: Utilização de um modelo substituto (surrogate model). O atacante treina seu próprio GNN no grafo injetado e usa as previsões desse modelo substituto para gerar rótulos pseudo (pseudo-labels), que servem como proxy para otimizar o objetivo de ataque.

Algoritmo de Otimização:

O problema é formulado para otimizar as características dos nós injetados ( $X_{inj}$ ) e as arestas ( $A_{inter}, A_{intra}$ ).
Para lidar com a natureza discreta das arestas (0 ou 1), o método utiliza uma reparametrização contínua via função sigmoid, permitindo o uso de descida de gradiente. A projeção para o conjunto discreto (respeitando o orçamento de arestas) é feita apenas no final do processo de otimização, evitando o problema de gradientes que desaparecem (vanishing gradients) comum em projeções iterativas.

3. Principais Contribuições

Novo Paradigma de Ataque: Introdução do conceito de "Unlearning Corruption Attacks", explorando a tensão entre conformidade regulatória (direito ao esquecimento) e robustez do modelo.
Framework de Otimização: Desenvolvimento de um framework de otimização bi-nível que equilibra utilidade pré-unlearning, dano pós-unlearning e furtividade sob solicitações benignas.
Validação Empírica: Demonstração de que solicitações de unlearning pequenas e cuidadosamente projetadas podem induzir colapsos massivos de precisão em múltiplos conjuntos de dados e algoritmos de unlearning.

4. Resultados Experimentais

Os experimentos foram realizados em benchmarks padrão (Cora, Citeseer, Pubmed, Flickr) usando modelos GNN (GCN) e algoritmos de unlearning variados (GIF, CEU, Gradient Ascent).

Eficácia do Ataque (G1): O ataque proposto (OptimAttack) superou consistentemente todas as baselines (incluindo injeção aleatória, cópia de nós e ataques de envenenamento existentes como SBA, UGBA, TDGIA).
- Exemplo: No conjunto de dados Pubmed, o ataque causou uma queda de precisão de ~59% sob o algoritmo GIF e ~59% sob CEU, enquanto baselines comuns causaram quedas insignificantes ou até melhorias.
Furtividade (G2): A precisão original do modelo (antes do unlearning) permaneceu comparável à de modelos limpos, confirmando que o ataque não é detectável durante a fase de treinamento.
Transferibilidade: O ataque, otimizado em um modelo substituto GCN, transferiu-se eficazmente para outros modelos vítimas (SGC, GAT), indicando que explora vulnerabilidades fundamentais na mecânica de passagem de mensagens em grafos.
Escalabilidade: Uma estratégia de restrição de vizinhança (otimizar apenas conexões com vizinhos de $k$ -hops dos nós alvo) permitiu que o ataque funcionasse em grafos maiores (Flickr) com custo computacional reduzido.

5. Significado e Implicações

Este trabalho revela uma vulnerabilidade crítica e anteriormente não explorada nos sistemas de aprendizado de máquina em grafos: a conformidade regulatória pode ser usada como arma contra a robustez do sistema.

Risco Real: Como solicitações de exclusão de dados são mandatórias por lei e difíceis de recusar, os defensores têm poucas opções de mitigação.
Desafio para Defesas: O ataque é furtivo e só se manifesta após a execução do unlearning, tornando a detecção tradicional ineficaz.
Futuro: O estudo levanta preocupações urgentes sobre a robustez de algoritmos de unlearning em cenários do mundo real e sugere a necessidade de desenvolver mecanismos de verificação de integridade que considerem o impacto de solicitações de exclusão futuras.

Em resumo, o artigo demonstra que o processo de "esquecer" dados em GNNs não é apenas uma operação de manutenção, mas um ponto de falha estratégico que pode ser explorado para destruir a utilidade de um modelo de forma legal e indetectável até que seja tarde demais.