联邦图神经网络的安全与公平训练

《Journal of Cybersecurity and Privacy》：Privacy-Preserving and Fair Training for Federated GNN

　　

图神经网络（GNN）已成为图结构数据学习的主导范式。为保护分布式图场景下的数据隐私，联邦图神经网络（Federated GNN）通过支持在不共享原始数据的前提下进行协作模型训练，成为一种有前景的方案。然而，近期研究表明联邦GNN会继承甚至放大分布式数据中的偏差，导致全局模型不公平。尽管现有最优（SOTA）方法已提出公平性感知的联邦GNN框架，却忽视了训练过程中客户端—服务器通信引发的隐私风险。为弥补该缺口，研究人员提出SaFeGNN，一种安全且公平的联邦图神经网络（Secure and Fair Federated Graph Neural Network）框架，联合强制隐私保护与公平性保障。SaFeGNN通过加法秘密共享（additive secret sharing）与客户端级差分隐私（client-level differential privacy）保护通信过程，相较已有方案具备更强安全保证。实验结果显示，SaFeGNN在性能上接近基线，每全局轮次仅额外引入2.7秒开销与3.6 MB通信量。

研究背景方面，图神经网络（GNN）在图结构数据处理中占据主导，但集中式训练在图数据跨组织分布时不可行，且直接聚合会引发隐私担忧。联邦学习（FL）虽能免原始数据共享协作训练，但GNN在联邦设定下会继承或放大来自数据分布与图拓扑结构不平衡的偏差，局部偏置模型聚合成全局模型后可能规模化放大歧视。现有最优框架F²GNN引入了结构感知的公平性感知聚合，但客户端需直接向服务器发送本地模型更新、组平衡分数（GBS）与公平性惩罚项，存在通信隐私泄露风险；同时传统隐私保护FL方法多面向常规向量数据，未考虑图结构依赖与公平性中间值保护。因此，研究人员开展本研究以在联邦GNN中实现隐私与公平性的联合保障。

研究人员开展的研究为提出SaFeGNN框架，其以F²GNN为基线，采用双非共谋半诚实聚合服务器的两方加法秘密共享（additive secret sharing）安全计算层（SecF²GNN），将客户端本地模型更新、GBS与公平性惩罚项分片送至两服务器，由服务器在密态下完成数据偏差权重、模型公平性权重及组合聚合权重的非线性计算与加权聚合；并在释放全局模型前由两服务器各自独立加高斯噪声实现客户端级差分隐私（DP，采用Rényi差分隐私（RDP）记账与高斯机制）。结论上，SaFeGNN在保护单客户端更新与公平性中间值的同时，以可接受的效率开销维持了F²GNN的效用与公平性，但客户端级DP带来显著的隐私—效用—公平性权衡。该研究发表于《Journal of Cybersecurity and Privacy》，意义在于首次以密码学方式保护公平性感知聚合过程本身，而非仅扰动通信量，为联邦图学习中的隐私—公平联合问题提供可证明安全路径。

关键技术方法上，研究人员基于Pokec-z与Pokec-n社交图（敏感属性为region，任务为“工作领域”二分类），按F²GNN方式从训练集随机选30个ego中心构造三层跳ego子图作为30个客户端本地图；采用两层GCN（64隐单元，Adam优化，500全局轮，每轮采样客户端）实现LocalUpdate（含JS散度初始化、统计奇偶与均等几率惩罚）；安全计算用MP-SPDZ框架ASS协议实现两方密态softmax、指数、乘法；DP部分固定裁剪界C、调噪声乘数σ，用子采样高斯机制与RDP组合定理核算隐私预算。

研究结果各节简要如下。引言与相关工作中指出联邦GNN效用研究多忽略公平、公平研究多忽略图结构隐私、隐私研究多忽略非线性公平聚合中间值，SaFeGNN补此空白。预备知识节形式化F²GNN聚合（GBS、B_i、β_i、α与τ温度softmax）、加法秘密共享与(ε,δ)-DP及RDP定义。系统设计节给出双服务器非共谋半诚实威胁模型：安全计算防服务器看单客户端明文，DP防跨轮发布模型泄露客户端参与。协议细节节中SecF²GNN聚合在密态算α_i=softmax(B_i/α)、模型公平权重经安全指数重标、组合权重ω_i经softmax得，再密态加权聚合并由两服务器各加N(0,(σC)²K²/q²)之一半噪声，客户端重建得带噪全局模型。实验节6.2表明密态版（ASS）在Pokec-n/z上准确率/AUC/统计奇偶/均等几率曲线与明文F²GNN几乎重合，每全局轮在线计算2.66秒、通信3.55 MB。6.3节DP评估显示σ越小隐私越弱（ε≈500轮后约8），σ越大AUC跌至近随机（Pokec-n 0.5左右），未找到同时有意义ε与接近非私有效用的平衡点；DP噪声不直接改当轮权重但经后续轮间接扰动画重计。理论节7.1证每轮敏感度≤2C/q，每轮满足σ对应RDP，T轮自适应组合后转(ε,δ)-DP；7.2证在半诚实单服腐化下SecF²GNN安全实现理想功能，单分享均匀随机隐藏明文。局限与未来工作指出需系统量化公平权重在DP下稳定性、自适应裁剪的隐私计费、以及扩展至恶意安全与拜占庭鲁棒。

讨论部分总结：SaFeGNN用密码学保护F²GNN非线性公平聚合中间值，并用客户端级DP保护跨轮模型发布，安全计算近乎无损复现基线效用与公平，但DP引入严重效用退化，当前配置无同时满足强隐私与高效用的工作点；公平权重稳定性受DP间接影响、裁剪界选择关系敏感度和隐私记账、MPC层仅抗半诚实不抗恶意共谋，均为待解问题。

结论部分译文：本文中研究人员提出SaFeGNN，一种用于公平联邦图神经网络训练隐私保护框架。SaFeGNN扩展F²GNN，保护组平衡分数、公平性惩罚项与聚合权重，借助两方加法秘密共享安全实现非线性公平感知聚合，使聚合服务器在不可见单客户端信息下算出全局更新。研究人员进一步集成客户端级差分隐私，通过裁剪客户端更新并向安全聚合结果加校准高斯噪声，在保留F²GNN公平训练行为的同时提供隐私保护；理论分析表明隐私损失可由Rényi差分隐私界定并跨全局轮组合。在Pokec-n与Pokec-z实验显示安全计算层近乎保持明文基线效用与公平且仅引实际开销；DP评估证实客户端级隐私可形式化接入，但也揭示显著隐私—效用权衡，强隐私预算严重降效，而高效用仅在近乎无效隐私预算下获得，改善该权衡是未来重要方向。