[論文レビュー] Membership Inference Attacks on Knowledge Graphs

Yu Wang, Huang, Lifu+2 more|arXiv (Cornell University)|Apr 16, 2021

Privacy-Preserving Technologies in Data参考文献 24被引用数 9

ひとこと要約

本稿は、知識グラフ埋め込み（KGE）モデルに対するメンバーシップ推定攻撃（MIA）の最初の実験的分析を提示する。攻撃者は黒ボックス環境下でモデル出力をアクセス可能であり、3種類の攻撃手法——トランスファー攻撃（TAs）、予測損失に基づく攻撃（PLAs）、予測正答率に基づく攻撃（PCAs）——を提案する。これらの攻撃は、ベンチマークおよび医療・金融分野の実世界のKGにおいて、最高で99.47%の成功確率を達成し、予測スコアのキャリブレーション不足とスケールフリー性、およびモデルアーキテクチャの不一致によるKGEにおける深刻なプライバシー漏洩を明らかにした。

ABSTRACT

Membership inference attacks (MIAs) infer whether a specific data record is used for target model training. MIAs have provoked many discussions in the information security community since they give rise to severe data privacy issues, especially for private and sensitive datasets. Knowledge Graphs (KGs), which describe domain-specific subjects and relationships among them, are valuable and sensitive, such as medical KGs constructed from electronic health records. However, the privacy threat to knowledge graphs is critical but rarely explored. In this paper, we conduct the first empirical evaluation of privacy threats to knowledge graphs triggered by knowledge graph embedding methods (KGEs). We propose three types of membership inference attacks: transfer attacks (TAs), prediction loss-based attacks (PLAs), and prediction correctness-based attacks (PCAs), according to attack difficulty levels. In the experiments, we conduct three inference attacks against four standard KGE methods over three benchmark datasets. In addition, we also propose the attacks against medical KG and financial KG. The results demonstrate that the proposed attack methods can easily explore the privacy leakage of knowledge graphs.

研究の動機と目的

• 知識グラフ埋め込み（KGE）モデルのプライバシーリスクを、特定の三元組が学習に使われたかどうかを推定するメンバーシップ推定攻撃（MIA）を通じて調査すること。
• 攻撃者がモデルパラメータや埋め込みにアクセスできない黒ボックスKGE攻撃の課題に対処すること。攻撃者は出力スコアやラベルのみに依存する必要がある。
• 限定された攻撃者知識とキャリブレーションされていない予測スコアを想定した現実的な脅威モデル下でのMIAの実現可能性と有効性を評価すること。
• ベンチマークデータセットと医療・金融分野の機微な実世界KG（例：医療・金融知識グラフ）を用いて、KGEの脆弱性を実証すること。
• 既存のKGEモデルに顕著なプライバシー漏洩が存在することを実証的に明らかにし、プライバシー保護型KGE手法の開発を促すこと。

提案手法

• 攻撃者知識の範囲に基づく3種類のMIA技術を提案：トランスファー攻撃（TAs）は、ターゲットと類似したアーキテクチャのシャドー・モデルを用いる。予測損失に基づく攻撃（PLAs）は、メンバーと非メンバーのサンプル間の損失値を比較する。予測正答率に基づく攻撃（PCAs）は、ラベル予測のみに依存する。
• 攻撃者がターゲットモデルの出力スコアやラベルを照会するのみで、実世界の制約を模倣する黒ボックス攻撃設定を設計する。
• TAsにおける攻撃者モデルの学習のために、ターゲットKGと類似した分布を持つシャドー・データセットを用意し、攻撃知識の転送を可能にする。
• モデル固有のスコア関数（例：TransE/TransHにはマージンベース、DistMult/ComplExにはロジスティックベース）を用い、スコア分布の分析を通じて学習への参加有無を検出する。
• 4つの標準的KGEモデル（TransE, TransH, DistMult, ComplEx）を、3つのベンチマークデータセット（例：DDB14）および2つの機微なKG（医療・金融）に適用し、攻撃を実施する。
• シャドー・モデルとターゲット・モデル間のモデルアーキテクチャの不一致が与える影響を分析し、スコア行動が異なる（例：マージンベースのターゲットモデルをロジスティックベースのシャドー・モデルが攻撃する）場合、攻撃が失敗することを示す。

実験結果

リサーチクエスチョン

• RQ1 限定された攻撃者知識と現実的な黒ボックス環境下でも、KGEモデルに対してメンバーシップ推定攻撃を効果的に実行できるか？
• RQ2 KGEモデルアーキテクチャの選択（例：マージンベース対ロジスティックベース）が、メンバーシップ推定攻撃の成功に与える影響は何か？
• RQ3 KGEにおけるキャリブレーションされていないスケールフリーな予測スコアは、どれほどメンバーシップ推定によるプライバシー漏洩を助長するか？
• RQ4 シャドー・モデルとターゲット・モデルのアーキテクチャが異なる場合、トランスファー攻撃の効果はどの程度か？
• RQ5 医療・金融分野の機微な知識グラフ（例：医療・金融KG）に対しても、メンバーシップ推定攻撃は成功するか？

主な発見

• KGEモデルに対するメンバーシップ推定攻撃は高い成功率を示し、シャドー・モデルとターゲット・モデルが同じ損失関数を持つ場合、トランスファー攻撃で最大99.47%の精度に達する。
• シャドー・モデルが異なるスコア行動（例：ロジスティックベースのシャドー・モデルがマージンベースのターゲット・モデルを攻撃）を採用する場合、スコア分布の不一致により攻撃性能は50%（ランダム推測レベル）に低下する。
• 予測損失に基づく攻撃（PLAs）および予測正答率に基づく攻撃（PCAs）は、モデルパラメータにアクセスできない状況でも、損失値やラベル照会のみで有効に機能する。
• 本研究では、医療・金融知識グラフなどの機微なデータセットで学習されたKGEが、メンバーシップ推定攻撃に対して脆弱であることを実証し、患者や金融関連の機微な記録が漏洩するリスクを明らかにした。
• 結果から、KGEがキャリブレーションされていないスケールフリーな出力スコアと、予測からエンティティおよび関係の埋め込みを逆算できないことにより、MIAに対して脆弱であることが示された。
• 本研究は、現在のKGE手法における深刻なプライバシー的ギャップを明らかにし、プライバシー保護型KGEモデルの開発を緊急に求めるものである。