[论文解读] Stealing Links from Graph Neural Networks

Xinlei He, Jinyuan Jia+3 more|arXiv (Cornell University)|May 5, 2020

Advanced Graph Neural Networks参考文献 89被引用 38

一句话总结

本文提出八种黑箱链接窃取攻击，用以推断在用于训练GNN的图中一对节点是否连接，在不同对手知识设置下，并在八个真实世界数据集上展示高AUC。

ABSTRACT

Graph data, such as chemical networks and social networks, may be deemed confidential/private because the data owner often spends lots of resources collecting the data or the data contains sensitive information, e.g., social relationships. Recently, neural networks were extended to graph data, which are known as graph neural networks (GNNs). Due to their superior performance, GNNs have many applications, such as healthcare analytics, recommender systems, and fraud detection. In this work, we propose the first attacks to steal a graph from the outputs of a GNN model that is trained on the graph. Specifically, given a black-box access to a GNN model, our attacks can infer whether there exists a link between any pair of nodes in the graph used to train the model. We call our attacks link stealing attacks. We propose a threat model to systematically characterize an adversary's background knowledge along three dimensions which in total leads to a comprehensive taxonomy of 8 different link stealing attacks. We propose multiple novel methods to realize these 8 attacks. Extensive experiments on 8 real-world datasets show that our attacks are effective at stealing links, e.g., AUC (area under the ROC curve) is above 0.95 in multiple cases. Our results indicate that the outputs of a GNN model reveal rich information about the structure of the graph used to train the model.

研究动机与目标

• 在使用图数据训练GNN时，激发并形式化隐私/IP 问题。
• 提出一个包含八种背景知识配置的全面威胁模型。
• 开发八种利用节点属性相似性和GNN后验的链接窃取攻击。
• 在多样化的真实数据集上评估攻击，以量化披露风险。

提出的方法

• 定义三维对手知识空间（节点属性、部分图、影子数据集），从而产生八种攻击类型。
• 开发利用目标GNN的后验以及在可用时来自影子模型的后验的无监督和有监督攻击，包括通过后验距离与熵构建特征。
• 使用距离度量（八种选项）和成对向量操作（四种选项）作为攻击模型的特征，例如多层感知机（MLP）。
• 在迁移攻击中，从独立数据集构建影子模型，并创建能够在维度不匹配的情况下桥接后验相似性的特征。
• 训练目标GNN和参考GNN（两层GCN和MLP作为参考）并以AUC作为主要评估指标。
• 与仅依赖部分图的传统链接预测基线进行比较，并分析各知识维度对攻击有效性的影响。

实验结果

研究问题

• RQ1 一个黑箱GNN是否能通过其输出揭示训练图中边的存在？
• RQ2 对节点属性、部分图和影子数据集的对手背景知识如何影响链接窃取性能？
• RQ3 在何种领域条件下，具有影子数据的迁移攻击是否优于纯本地攻击？
• RQ4 三个知识维度对攻击成功的相对影响是什么？
• RQ5 在同一部分图上，链接窃取攻击是否优于标准链接预测基线？

主要发现

• 八种攻击变体在八个真实数据集上实现高AUC，表明从GNN输出中对图结构存在显著泄露。
• 更多背景知识通常会提升攻击性能；例如Citeseer在具备全部三个知识维度时可达到最高0.977的AUC。
• 在知识维度中，目标图的部分边缘具有最强影响，其次是节点属性，而影子数据集的影响最弱。
• 迁移攻击可以达到高AUC，特别是在影子域与目标域相似时，表明领域相似有助于信息迁移。
• 攻击优于仅依赖部分图的传统链接预测方法。
• 攻击表明GNN后验能够编码关于训练图的丰富结构信息。