论文简读 [22 Security] Inference Attacks Against Graph Neural Networks

3种推理攻击系统

1. 给定图嵌入，推断图基本信息（节点数、边数、图密度）
2. 给定图嵌入+子图，推断子图是否包含于目标图中
3. 提出新的图重构攻击，可重构与目标图具有相似结构的图

进一步提出基于扰动图嵌入的防御机制

• Node Classification :

$$H_u \rightarrow classifier$$

• Graph Classification:

$$H_u,\forall u\in V \rightarrow H_G \rightarrow classifier$$

如何获得节点嵌入？——消息传递

图池化操作

• 全局池化 （最大池化、均值池化等）：最直接，但可能丢失图结构信息

• 分层池化

  使用消息传递模块获得n个节点嵌入，并根据节点嵌入找到m个簇，其中1 < m < n。接下来，我们将每个集群视为一个节点，其特征是该集群的图嵌入，然后迭代地应用消息传递和聚类操作，直到只有一个图嵌入。

攻击分类

• Property Inference
• Subgraph Inference
• Graph Reconstruction

攻击模型

攻击者的目标：推断用于生成此图嵌入的目标图的敏感信息。

为了训练攻击模型F, 我们假设攻击者有辅助数据集$D_{aux}$ 来自目标图的相同分布