[论文解读] Graph-Fraudster: Adversarial Attacks on Graph Neural Network Based Vertical Federated Learning

Jinyin Chen, Guohan Huang+4 more|arXiv (Cornell University)|Oct 13, 2021

Advanced Graph Neural Networks被引用 4

一句话总结

本文提出了 Graph-Fraudster，这是首个针对基于图神经网络的纵向联邦学习（GVFL）的对抗性攻击框架。通过利用全局节点嵌入的隐私泄露，并结合成对节点关系的梯度信息，该方法生成了有效的对抗性扰动，显著降低了模型性能，即使在防御机制下依然有效，展示了 GVFL 面临针对性攻击时的严重脆弱性。

ABSTRACT

Graph neural network (GNN) has achieved great success on graph representation learning. Challenged by large scale private data collected from user-side, GNN may not be able to reflect the excellent performance, without rich features and complete adjacent relationships. Addressing the problem, vertical federated learning (VFL) is proposed to implement local data protection through training a global model collaboratively. Consequently, for graph-structured data, it is a natural idea to construct a GNN based VFL framework, denoted as GVFL. However, GNN has been proved vulnerable to adversarial attacks. Whether the vulnerability will be brought into the GVFL has not been studied. This is the first study of adversarial attacks on GVFL. A novel adversarial attack method is proposed, named Graph-Fraudster. It generates adversarial perturbations based on the noise-added global node embeddings via the privacy leakage and the gradient of pairwise node. Specifically, first, Graph-Fraudster steals the global node embeddings and sets up a shadow model of the server for the attack generator. Second, noise is added into node embeddings to confuse the shadow model. At last, the gradient of pairwise node is used to generate attacks with the guidance of noise-added node embeddings. Extensive experiments on five benchmark datasets demonstrate that Graph-Fraudster achieves the state-of-the-art attack performance compared with baselines in different GNN based GVFLs. Furthermore, Graph-Fraudster can remain a threat to GVFL even if two possible defense mechanisms are applied. Additionally, some suggestions are put forward for the future work to improve the robustness of GVFL. The code and datasets can be downloaded at https://github.com/hgh0545/Graph-Fraudster.

研究动机与目标

• 研究基于图神经网络的纵向联邦学习（GVFL）对对抗性攻击的脆弱性。
• 识别出全局节点嵌入的隐私泄露与模型梯度信息为攻击者创造了可利用的条件。
• 提出一种新颖且高效的针对 GVFL 的对抗性攻击方法，充分利用这些泄露通道。
• 在真实防御机制下评估该攻击的性能，并评估其鲁棒性。
• 为现实世界应用中提升 GVFL 的鲁棒性提供可操作的建议。

提出的方法

• Graph-Fraudster 首先从服务器窃取全局节点嵌入，以构建目标 GVFL 系统的影子模型。
• 通过向窃取的节点嵌入注入噪声，以混淆影子模型并增强攻击的迁移能力。
• 攻击生成器利用成对节点关系的梯度信息，指导对抗性扰动的生成。
• 扰动被精心设计为仅细微地修改本地图结构（例如，添加虚假边），同时最大化对全局模型的误分类效果。
• 该方法即使在极小扰动（如单边修改）下也表现出高效性。
• 通过在多种 GNN 架构和真实世界图数据集上进行评估，确保方法的泛化能力。

实验结果

研究问题

• RQ1 能否在基于图神经网络的纵向联邦学习（GVFL）系统上有效实施对抗性攻击？
• RQ2 全局节点嵌入的隐私泄露在多大程度上促进了 GVFL 中的成功对抗性攻击？
• RQ3 当应用于 GVFL 时，Graph-Fraudster 相较于集中式 GNN 环境下的现有可迁移攻击方法，其有效性如何？
• RQ4 Graph-Fraudster 是否能够绕过 GVFL 中常见的防御机制，如差分隐私和 Top-K 剪枝？
• RQ5 哪些系统级因素（例如，数据贡献度、图划分策略）会影响 GVFL 中对抗性攻击的成功率？

主要发现

• Graph-Fraudster 在五个基准图数据集上的七个评估指标中均达到最先进攻击性能，优于现有可迁移攻击方法。
• 即使在应用差分隐私和 Top-K 剪枝防御机制后，攻击依然有效，表明其对常见缓解策略具有强韧性。
• 仅需较小的噪声尺度（例如，ε = 0.004）即可显著降低模型准确率，尤其在单边攻击场景下效果明显。
• 攻击性能在不同嵌入维度（d = 8 至 32）下保持稳定，表明对超参数变化具有鲁棒性。
• 图划分策略与数据贡献度不平衡显著影响攻击成功率，表明高贡献度客户端更容易受到对抗性操控。
• 去噪上传的节点嵌入被识别为一种可行的防御策略，但对 Graph-Fraudster 并非完全有效。