[论文解读] Graph Embedding for Recommendation against Attribute Inference Attacks

Shijie Zhang, Hongzhi Yin+4 more|arXiv (Cornell University)|Jan 29, 2021

Privacy-Preserving Technologies in Data参考文献 56被引用 5

一句话总结

GERAI 提出了一种用于推荐系统的差分隐私图卷积网络，通过应用局部差分隐私和功能机制对用户特征和模型梯度进行扰动，以抵御属性推断攻击。该方法在不牺牲推荐准确率的前提下实现了强大的隐私保护，其在攻击抵抗能力和实用性方面均优于现有方法。

ABSTRACT

In recent years, recommender systems play a pivotal role in helping users identify the most suitable items that satisfy personal preferences. As user-item interactions can be naturally modelled as graph-structured data, variants of graph convolutional networks (GCNs) have become a well-established building block in the latest recommenders. Due to the wide utilization of sensitive user profile data, existing recommendation paradigms are likely to expose users to the threat of privacy breach, and GCN-based recommenders are no exception. Apart from the leakage of raw user data, the fragility of current recommenders under inference attacks offers malicious attackers a backdoor to estimate users' private attributes via their behavioral footprints and the recommendation results. However, little attention has been paid to developing recommender systems that can defend such attribute inference attacks, and existing works achieve attack resistance by either sacrificing considerable recommendation accuracy or only covering specific attack models or protected information. In our paper, we propose GERAI, a novel differentially private graph convolutional network to address such limitations. Specifically, in GERAI, we bind the information perturbation mechanism in differential privacy with the recommendation capability of graph convolutional networks. Furthermore, based on local differential privacy and functional mechanism, we innovatively devise a dual-stage encryption paradigm to simultaneously enforce privacy guarantee on users' sensitive features and the model optimization process. Extensive experiments show the superiority of GERAI in terms of its resistance to attribute inference attacks and recommendation effectiveness.

研究动机与目标

• 为解决基于图卷积网络的推荐系统在面对属性推断攻击时的脆弱性，即攻击者可从交互历史和推荐结果中推断出敏感用户属性。
• 开发一种隐私保护型推荐框架，以在不降低推荐性能的前提下，同时保护原始用户特征和模型优化过程。
• 弥合差分隐私与推荐系统中图神经网络之间的差距，确保数学上的隐私保障。
• 克服先前研究的局限性，即要么牺牲准确率，要么仅针对特定攻击模型或数据类型提供防御。

提出的方法

• GERAI 将局部差分隐私（LDP）与图卷积网络相结合，在模型训练前对用户特征进行扰动，以确保敏感属性的隐私性。
• 采用功能机制在优化过程中向模型梯度添加校准噪声，以保护训练过程免受推断攻击。
• 设计了双阶段加密范式：首先通过 LDP 对用户特征进行扰动；其次通过基于功能机制的噪声注入保护模型更新。
• 通过从扰动但语义有意义的数据中学习，保留用户偏好表示，从而维持推荐的实用性。
• 在输入特征和模型参数上正式应用差分隐私，确保在 (ε, δ)-DP 框架下的严格隐私保障。
• 使用可微损失函数端到端训练框架，以平衡推荐准确率与隐私约束。

实验结果

研究问题

• RQ1 能否在不显著损失推荐准确率的前提下，使基于图卷积网络的推荐系统对属性推断攻击具备鲁棒性？
• RQ2 在基于图的推荐设置中，如何有效将差分隐私应用于用户特征和模型梯度？
• RQ3 双阶段扰动（特征与梯度）对图推荐系统中的隐私-效用权衡有何影响？
• RQ4 能否将局部差分隐私与功能机制结合，为协同过滤提供强数学基础的隐私保障？

主要发现

• 与基线方法相比，GERAI 在抵御属性推断攻击方面表现出更优的性能，显著降低了攻击者预测敏感属性的成功率。
• 该模型保持了高推荐准确率，性能与非私有的 GCN 基线相当，证明了其在隐私与效用之间取得良好平衡。
• 双阶段扰动机制——即对特征应用 LDP 并对梯度应用功能机制——在保护用户数据和模型优化方面被证明是有效的。
• 实验表明，GERAI 在隐私保护和推荐有效性两方面均优于现有的隐私保护推荐系统。