Resumo Técnico: Repensando Ataques de Reconstrução Generativa contra Modelos de Redes Neurais de Grafos

Declaração do Problema

A crescente aplicação de Redes Neurais de Grafos (GNNs) em domínios sensíveis, como descoberta de fármacos, análise de redes sociais e sistemas financeiros, aumentou as preocupações em relação à privacidade dos dados. Embora as GNNs lidem eficazmente com dados não euclidianos, elas inadvertidamente vazam informações sensíveis sobre seus dados de treinamento. Este artigo aborda a vulnerabilidade específica das GNNs a ataques de Inversão de Modelo (MI), onde um adversário tenta reconstruir os grafos privados utilizados para treinar o modelo vítima. Diferente de trabalhos anteriores que frequentemente assumem o acesso a embeddings intermediários ou dependem de estimativas de gradiente com alto número de consultas, este estudo investiga capacidades de reconstrução sob cenários de caixa-preta (black-box), nos quais o adversário tem acesso apenas aos outputs do modelo (predições ou embeddings) e a dados auxiliares da mesma distribuição.

Metodologia

Os autores propõem dois novos ataques de reconstrução de grafos utilizando Redes Adversárias Generativas (GANs) para modelar o processo de inversão como um problema de geração de grafos condicional. Os ataques operam sob um modelo de ameaça de caixa-preta, onde o adversário consulta uma GNN alvo ($Q_m$) para obter predições ou representações intermediárias.

1. Variantes de Ataque

• Ataque Condicionado por Grafo-Rótulo (GLC):

  • Entrada: O gerador é condicionado à estrutura do grafo de entrada, ao rótulo predito ($y$) obtido do modelo vítima e ao ruído latente ($z$).
  • Mecanismo: O adversário consulta o modelo alvo para obter $y = Q_m(G)$. O conjunto de dados de ataque é formado por pares de $(G, y)$. O gerador $S_\phi$ aprende a reconstruir o grafo $\hat{G}$ condicionado a $y$ e ao ruído, enquanto o discriminador $K_\psi$ distingue entre pares grafo-rótulo reais e gerados.
  • Objetivo: Recuperar a distribuição subjacente do grafo $p(\hat{G} | y)$.

• Ataque Condicionado por Embedding-Rótulo (ELC):

  • Entrada: O gerador é condicionado ao embedding intermediário ($h$), ao rótulo verdadeiro ($y$) e ao ruído latente ($z$).
  • Mecanismo: O adversário consulta o modelo alvo para obter embeddings $h = Q_m(G)$. O conjunto de dados de ataque consiste em pares $(h, y)$. O gerador reconstrói o grafo $\hat{G}$ a partir de $h$ e $y$.
  • Objetivo: Reconstruir dados de treinamento sensíveis utilizando o espaço de embedding vazado, otimizando tanto a consistência do rótulo quanto a perda de reconstrução do grafo.

2. Configuração Experimental

• Datasets: Os experimentos foram conduzidos em três conjuntos de dados de referência de moléculas e proteínas: NCI1, PROTEINS e AIDS.
• Baselines: Os métodos baseados em GAN propostos foram comparados contra baselines de Autoencoders Variacionais (VAE).
• Eficiência de Consulta: Duas variantes do método proposto foram testadas:
  • Ours: Treinado com 100% do dataset de sombra disponível.
  • Ours−−: Treinado com apenas 50% do dataset para simular capacidades de consulta reduzidas.
• Métricas de Avaliação: A qualidade da reconstrução foi avaliada utilizando quatro métricas estruturais e de distribuição de grafos:
  • FGD: Distância de Grafo Fréchet (similaridade de caminho).
  • EGD: Distância de Grafo de Arestas (caminho mais curto).
  • MMD: Discrepância de Média Máxima (diferença de distribuição).
  • GKS: Similaridade de Kernel de Grafo (similaridade estrutural).
• Parâmetro de Ruído: O estudo variou a escala de ruído Laplaciano ($\epsilon$) em 0.25, 0.5 e 0.75 para testar a estabilidade.

Principais Resultados

Os resultados experimentais demonstram que ataques generativos baseados em GAN superam significativamente os baselines baseados em VAE na reconstrução de dados de grafos sensíveis de GNNs.

• Reconstrução Superior: Em todos os três datasets (NCI1, PROTEINS, AIDS) e em ambos os tipos de ataque (GLC e ELC), os métodos propostos Ours e Ours−− alcançaram consistentemente taxas de erro menores (FGD, EGD, MMD) e pontuações de similaridade mais altas (GKS) em comparação com os baselines de VAE.
• Robustez à Redução de Consultas: A variante Ours−−, que utilizou apenas 50% dos dados de consulta, manteve um desempenho competitivo, muitas vezes superando os baselines de VAE com dados completos. Isso sugere que os ataques baseados em GAN são altamente eficientes mesmo com acesso limitado ao modelo vítima.
• Impacto do Ruído ($\epsilon$): O estudo descobriu que o parâmetro de ruído influencia significativamente a estabilidade da reconstrução. Um valor de $\epsilon$ de 0.75 geralmente produziu as reconstruções mais estáveis e precisas em todas as métricas, enquanto $\epsilon = 0.25$ frequentemente degradou o desempenho. Observou-se que o $\epsilon$ ideal é dependente da esparsidade e da natureza do dataset específico.
• Desempenho Específico:
  • No NCI1, o método proposto mostrou melhorias de aproximadamente 48% em FGD, 31% em EGD e 50% em MMD em $\epsilon=0.5$ em comparação com os baselines.
  • No PROTEINS e AIDS, os métodos propostos superaram consistentemente os VAEs, particularmente em níveis de ruído mais altos ($\epsilon=0.75$), demonstrando a capacidade de recuperar propriedades estruturais mesmo sob condições ruidosas.

Significância e Alegações

O artigo alega que as GNNs são altamente vulneráveis a ataques de privacidade, especificamente que a relação entre os outputs do modelo (predições/embeddings) e os dados de treinamento permite uma reconstrução de alta qualidade das estruturas de grafos sensíveis.

• Quantificação de Vulnerabilidade: O estudo quantifica o vazamento em GNNs, mostrando que um adversário pode utilizar técnicas de gerador-discriminador para reconstruir grafos em cenários reais de caixa-preta sem a necessidade de acessar os dados de treinamento originais ou os gradientes do modelo.
• Eficiência: O trabalho destaca que uma reconstrução de alta fidelidade é possível mesmo com capacidades de consulta reduzidas (50% dos dados), desafiando a suposição de que o acesso limitado fornece proteção de privacidade suficiente.
• Implicações: Os autores afirmam que estas descobertas ressaltam a necessidade urgente de mecanismos de defesa mais fortes para a IA baseada em grafos. Eles sugerem que as implementações atuais de GNN podem inadvertidamente expor informações estruturais sensíveis (ex: estruturas moleculares em descoberta de fármacos), necessitando de pesquisas em defesas que desacoplem as predições do modelo dos dados de treinamento sem comprometer a utilidade do modelo.

O artigo conclui posicionando estes ataques como um passo crítico para uma "IA confiável", enfatizando que a compreensão destas vulnerabilidades é um pré-requisito para o desenvolvimento de sistemas de aprendizagem de grafos que preservem a privacidade.