Grafos turbinados por LLMs ficam mais precisos — e vazam mais dados

Por que isso importa agora

Redes neurais de grafos (GNNs) ganharam um aliado poderoso nos últimos meses: os modelos de linguagem. Ao combinar o texto ligado a cada nó — como o conteúdo de um post, de uma avaliação ou de uma transação — com as conexões entre eles, os modelos ficam mais precisos. Mas um novo estudo computacional mostra que essa melhora tem um custo de privacidade que até agora recebia pouca atenção.

O trabalho, publicado como pré-print no arXiv em 26 de agosto de 2026, testou 42 configurações de modelo combinando sete backbones de GNN com diferentes “realçadores” de características baseados em LLMs. O resultado foi uma tensão clara entre utilidade e privacidade: os modelos turbinados acertaram mais na classificação de nós, mas também deram sinais mais fortes a ataques de inferência de dados.

O que os pesquisadores testaram

O experimento usou seis grafos do mundo real, abrangendo redes sociais, citações acadêmicas e comércio eletrônico. A linha de base foi uma representação “rasa” construída com Bag-of-Words e Word2Vec, apelidada de Shallow. Os dados foram divididos em 10% para treino, 10% para validação e 80% para teste, com cinco repetições por configuração.

Os ataques considerados assumem um cenário black-box: alguém que consegue consultar o modelo e ver as probabilidades que ele atribui a cada classe, mas sem acesso aos parâmetros internos. Foram avaliadas três frentes — inferência de links, de rótulos e de pertencimento (membership) — usando seis métodos de ataque.

O ganho de precisão veio com sinais mais fortes

Os modelos realçados venceram a linha de base de forma consistente. No dataset Cora com backbone GCN, por exemplo, o modelo com realçador Linq atingiu 84,8% de acurácia, contra 80,8% do Shallow. Ao mesmo tempo, os mesmos modelos produziram desempenho de ataque superior nas três frentes, especialmente nos ataques de rótulo e de pertencimento.

Defesas funcionam, mas cobram caro

Os autores também testaram privacidade diferencial, perturbando embeddings, links e rótulos. O resultado foi consistente: os ataques perderam força, mas a utilidade do modelo caiu de forma significativa. Quanto menor o orçamento de privacidade, menor a acurácia — um trade-off que os números apenas indicam em direção, sem valores exatos para cada configuração testada.

O que ainda não se sabe

Como pré-print sem revisão por pares, o estudo tem limitações. As conclusões valem para os seis datasets, os realçadores e os backbones testados. Os autores também apontam inconsistências de documentação — como a troca entre Pubmed e CiteSeer na descrição dos dados — e não relatam intervalos de confiança. Se o padrão se mantém em outros domínios, tarefas e regimes de acesso, isso segue em aberto.