🤖 machine learning

Attack by Unlearning: Unlearning-Induced Adversarial Attacks on Graph Neural Networks

该论文提出了一种名为“遗忘腐蚀攻击”的新型对抗攻击，通过向训练图中注入精心设计的节点并随后利用法律强制的删除请求，在无需重新训练的情况下诱导图神经网络在应用近似遗忘后出现严重的性能崩溃，从而揭示了当前图神经网络遗忘机制在应对真实监管需求时的脆弱性。

原作者： Jiahao Zhang, Yilong Wang, Suhang Wang

发布于 2026-03-20

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Jiahao Zhang, Yilong Wang, Suhang Wang

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文讲述了一个关于人工智能（AI）如何被“合法”手段搞垮的有趣且令人担忧的故事。

想象一下，你开了一家非常聪明的**“图书推荐店”**（这就是图神经网络 GNN）。这家店通过分析顾客之间的社交关系（谁和谁是朋友，谁喜欢什么书）来给你推荐好书。

1. 背景：为什么需要“遗忘”？

现在，法律（比如 GDPR）规定，顾客有权要求你**“彻底忘掉他们”**。如果顾客说：“删掉我的账号，忘掉我的所有数据”，你就必须照做。

在 AI 的世界里，这叫做**“机器遗忘”（Unlearning）**。

传统做法：把那个顾客的数据删掉，然后重新训练整个模型。但这太慢了，就像为了删掉一个读者的名字，要把整个图书馆的书重新编目一遍，成本太高。
新做法（近似遗忘）：有一种“快速删除”技术，它不重新训练，而是通过数学公式“微调”一下模型，假装那个顾客从未存在过。这很快，但就像用橡皮擦擦掉画纸上的一小块，虽然擦掉了，但纸面可能会变得有点皱，或者颜色稍微有点不均匀。

2. 核心发现：坏人如何利用“遗忘”？

这篇论文的作者发现，这种“快速删除”技术有一个巨大的漏洞。坏人（攻击者）可以利用“要求删除”这个合法的权利，来摧毁你的推荐系统。

这就好比坏人玩了一个**“特洛伊木马”**游戏：

第一步：潜伏（注入坏人节点）

坏人并没有直接破坏你的店。相反，他注册了很多假账号（这就是论文里的“注入节点”）。

这些假账号看起来非常正常，甚至很受欢迎。
他们和你店里的真实顾客互动，读同样的书，给同样的评分。
结果：你的推荐系统（模型）在训练时，表现得非常完美，甚至比平时还好。坏人潜伏得很深，你完全没发现。

第二步：触发（合法要求删除）

等到你的系统上线运行后，坏人突然行使他的**“被遗忘权”**，说：“我要删除我刚才注册的所有假账号。”

作为店主，你必须遵守法律，不能拒绝。
于是，你启动了“快速删除”程序，把这些假账号从模型里“擦除”了。

第三步：崩溃（灾难性后果）

这就是最可怕的地方：

在删除之前，系统很完美。
在删除之后，系统瞬间崩溃！推荐准确率从 90% 跌到了 20%。
为什么？因为坏人精心设计的假账号，就像在模型里埋下了**“地雷”**。平时它们被模型“包容”着，一旦你试图用“快速删除”技术把它们挖出来，地雷就会爆炸，把整个模型炸毁。

3. 这个攻击为什么这么难防？

论文指出了这个攻击的三个“无解”之处：

无法拒绝（合法陷阱）：攻击者要求删除的是他们自己的数据。根据法律，店主必须执行删除。你无法说“我不删，因为我觉得你可疑”。
极其隐蔽（潜伏期）：在删除之前，系统看起来完全正常，甚至可能因为多了几个活跃用户而显得更好。你根本不知道危机已经降临。
针对性强（精准打击）：坏人只针对“删除”这个动作。如果你不删除，系统就没事；一旦删除，系统就完蛋。这就像一把**“只有在你关门时才会爆炸的锁”**。

4. 技术原理（简单版）

坏人是怎么做到的呢？他们把这个问题变成了一个复杂的数学优化题：

目标：设计一群假账号，让它们在“被删除”的那一刻，对模型造成最大的伤害。
难点：
- 坏人不清楚店主具体用什么算法（黑盒），就像不知道店主的“橡皮擦”具体怎么工作。
- 坏人也看不到那些没标签的顾客（没有真实答案）。
解决方案：坏人自己训练了一个**“替身模型”**（Surrogate Model）。他们在这个替身模型上反复模拟“注入假人 -> 删除假人”的过程，通过不断试错（梯度优化），找到了那个能造成最大破坏的“完美假人组合”。

5. 实验结果

作者在多个真实数据集（如社交网络、学术引用网络）上测试了这个攻击：

效果惊人：在删除坏人注入的节点后，模型的准确率暴跌了 30% 到 50% 甚至更多。
对比：普通的随机删除或者简单的攻击，效果远不如这种精心设计的“遗忘攻击”。
通用性：无论店主用的是哪种“快速删除”技术（不同的算法），这种攻击都能生效。

总结与启示

这篇论文揭示了一个新的安全悖论：
为了保护隐私（允许用户删除数据），我们引入了“快速遗忘”技术；但恰恰是这种技术，被坏人利用来作为攻击武器。

这就好比：
为了安全，我们给银行装了一个“一键销毁客户档案”的按钮。坏人发现，只要他先混进去，然后按这个按钮，就能把银行的整个金库系统搞瘫痪。

未来的方向：
我们需要在“尊重隐私（允许删除）”和“系统安全（防止被利用）”之间找到新的平衡点。不能因为害怕被攻击就拒绝删除，但也不能让“删除”这个动作变得如此危险。这篇论文就是给所有 AI 开发者敲响了警钟：当你在设计“遗忘”功能时，一定要小心它可能变成“毁灭”的开关。

这是一篇关于图神经网络（GNN）安全性的学术论文，标题为 《Attack by Unlearning: Unlearning-Induced Adversarial Attacks on Graph Neural Networks》（通过遗忘进行攻击：基于遗忘诱导的图神经网络对抗攻击）。

以下是对该论文的详细技术总结：

1. 研究背景与问题定义

背景：随着 GDPR、CCPA 等隐私法规的实施，图遗忘（Graph Unlearning） 技术应运而生，旨在在不重新训练整个模型的情况下，从训练好的 GNN 中移除特定数据点（如用户节点）的影响。然而，现有的近似遗忘方法通常会导致模型性能出现细微但不可避免的下降。
核心问题：作者提出了一个关键问题：这种由遗忘引起的性能下降是否可以被恶意利用，通过精心构造的“遗忘请求”来彻底破坏 GNN 模型？
攻击场景（威胁模型）：
- 攻击者能力：攻击者可以向训练图中注入少量精心设计的恶意节点（Adversarial Nodes），并在模型训练完成后，利用隐私法规赋予的“被遗忘权”，合法地要求删除这些节点。
- 攻击目标：
  1. 遗忘后破坏（G1）：在删除恶意节点后，模型在剩余未标记节点上的预测准确率发生剧烈崩塌。
  2. 遗忘前隐蔽性（G2）：在训练阶段，注入的节点不应导致模型性能明显下降，以逃避检测。
  3. 良性遗忘下的隐蔽性（G3）：如果删除的是正常的（非恶意的）节点，模型性能不应受到额外影响，确保攻击仅针对特定的恶意删除请求。
- 独特性：与传统投毒攻击（Poisoning）或后门攻击（Backdoor）不同，该攻击的触发机制是合法的删除操作本身，这使得防御极其困难，因为模型所有者无法拒绝合法的隐私删除请求。

2. 方法论：遗忘腐蚀攻击框架 (Unlearning Corruption Attack)

作者提出了一种名为 OptimAttack 的攻击框架，将攻击过程形式化为一个双层优化问题（Bi-level Optimization）。

2.1 核心挑战与解决方案

攻击面临两个主要技术挑战：

黑盒遗忘算子：遗忘过程（Unlearn）通常被视为黑盒，难以直接计算关于注入特征的梯度。
- 解决方案：采用基于梯度的近似。作者将遗忘过程近似为一步梯度上升更新（Gradient Ascent），利用自动微分（Gradient-of-Gradient）技术，使得攻击者可以计算关于注入节点特征和边连接的梯度。
标签稀缺：攻击者通常无法获取测试集（未标记节点）的真实标签，无法直接优化损失函数。
- 解决方案：引入代理模型（Surrogate Model）。攻击者训练一个与目标模型结构相似的代理 GNN，利用其预测结果生成伪标签（Pseudo-labels），以此作为优化目标的代理。

2.2 优化目标

攻击者的目标是最大化以下损失函数（Eq. 6）：
$L_{atk} = \sum_{v \in V_U} \mathcal{L}(f_v(\theta_{un}^{\Delta V}), \hat{y}_v) - \lambda \sum_{v \in V_U} \mathcal{L}(f_v(\theta_{un}^{V_0}), \hat{y}_v)$

第一项：最大化删除恶意节点 $\Delta V$ 后的损失（实现 G1）。
第二项：最小化删除良性节点 $V_0$ 后的损失（实现 G3，即隐蔽性）。
约束条件：注入的边数量受预算 $B$ 限制（实现 G2，即训练时的隐蔽性）。

2.3 优化算法

由于邻接矩阵是离散的，直接优化困难。作者采用了重参数化（Re-parameterization） 策略：

将离散的边变量映射到连续空间 $[0, 1]$ （使用 Sigmoid 函数）。
在连续空间中进行梯度上升优化。
在优化结束后，通过贪婪投影（Greedy Projection） 将连续值截断为离散值（保留每行最大的 $B$ 个值为 1，其余为 0），以满足边预算约束。
为了可扩展性，提出了邻域限制策略，仅优化与目标节点 $k$ -hop 邻域相关的连接，降低计算复杂度。

3. 实验结果

作者在 Cora, Citeseer, Pubmed, Flickr 四个标准数据集上进行了广泛实验，对比了多种遗忘算法（GIF, CEU, Gradient Ascent）和基线攻击方法。

攻击效果显著：
- OptimAttack 在所有数据集和遗忘算法上均取得了最高的准确率下降（ $\Delta Acc$ ）。
- 例如，在 Pubmed 数据集上，使用 GIF 遗忘算法时，攻击导致准确率下降了约 59%；在 Citeseer 上使用 CEU 算法时，下降了约 53%。
- 相比之下，随机注入（Random）或简单的复制节点（Copy）等基线方法几乎无法造成显著破坏。
隐蔽性验证：
- 训练阶段：注入恶意节点后的模型原始准确率（Original Accuracy）与未受攻击的模型相当，证明了攻击在训练阶段是隐蔽的。
- 良性遗忘：当删除良性节点时，模型性能保持相对稳定，证明了攻击具有针对性（满足 G3）。
迁移性：
- 攻击在代理模型（GCN）上优化，但在其他架构（如 SGC, GAT）的受害者模型上依然有效，显示出强大的迁移能力。
可扩展性：
- 在大规模数据集 Flickr 上，通过邻域限制策略，攻击依然能造成约 14.6% 的准确率下降，证明了方法的可扩展性。

4. 主要贡献

提出新攻击范式：首次定义了“遗忘腐蚀攻击”（Unlearning Corruption Attacks），揭示了隐私法规下的“被遗忘权”可能被武器化，成为破坏 GNN 鲁棒性的新攻击面。
构建优化框架：提出了一种解决黑盒遗忘和标签稀缺问题的双层优化框架，通过梯度近似和代理模型实现了端到端的攻击生成。
实证分析：通过大量实验证明了该攻击的严重性，指出当前的图遗忘算法在面对精心构造的删除请求时极其脆弱。
安全启示：强调了在追求合规性（Compliance）与模型鲁棒性（Robustness）之间的张力，呼吁在设计和部署图遗忘系统时必须考虑此类对抗风险。

5. 意义与影响

理论意义：打破了传统认为“删除数据只会导致轻微性能下降”的认知，证明了删除操作本身可以成为触发模型崩溃的开关。
实践意义：
- 对于模型所有者：提示在提供“被遗忘”服务时，必须警惕恶意用户利用删除请求进行攻击，现有的遗忘算法可能不足以防御此类攻击。
- 对于监管机构：在制定隐私政策时，需考虑数据删除机制可能带来的安全副作用。
- 防御方向：未来的防御研究需要关注如何验证删除请求的合法性，或开发对特定删除操作具有鲁棒性的遗忘算法。

总结：这篇论文揭示了一个隐蔽且危险的攻击向量，即利用合法的隐私删除请求来破坏机器学习模型。它表明，在图神经网络领域，仅仅关注数据投毒是不够的，“删除数据”这一行为本身也可能被恶意利用，这为未来的图学习和隐私保护研究提出了严峻的挑战。