[論文レビュー] A Targeted Universal Attack on Graph Convolutional Network

Jiazhu Dai, Weifeng Zhu+1 more|arXiv (Cornell University)|Nov 29, 2020

Adversarial Robustness in Machine Learning参考文献 20被引用数 4

ひとこと要約

本稿では、グラフ畳み込みネットワーク（GCNs）に対する標的型ユニバーサル adversarial 攻撃（TUA）を提案する。この攻撃は、わずかな数の実際の攻撃ノードと、摂動を加えた特徴を持つ偽のノードを用い、任意の被害者ノードを標的クラスに誤分類させる。攻撃ノードに接続された偽のノードの特徴に摂動を加えることで攻撃能力を向上させ、3つのベンチマークデータセットで平均83%の攻撃成功率を達成した。攻撃に必要なノードは実際の攻撃ノードが3つ、偽のノードが6つで十分である。

ABSTRACT

Graph-structured data exist in numerous applications in real life. As a state-of-the-art graph neural network, the graph convolutional network (GCN) plays an important role in processing graph-structured data. However, a recent study reported that GCNs are also vulnerable to adversarial attacks, which means that GCN models may suffer malicious attacks with unnoticeable modifications of the data. Among all the adversarial attacks on GCNs, there is a special kind of attack method called the universal adversarial attack, which generates a perturbation that can be applied to any sample and causes GCN models to output incorrect results. Although universal adversarial attacks in computer vision have been extensively researched, there are few research works on universal adversarial attacks on graph structured data. In this paper, we propose a targeted universal adversarial attack against GCNs. Our method employs a few nodes as the attack nodes. The attack capability of the attack nodes is enhanced through a small number of fake nodes connected to them. During an attack, any victim node will be misclassified by the GCN as the attack node class as long as it is linked to them. The experiments on three popular datasets show that the average attack success rate of the proposed attack on any victim node in the graph reaches 83% when using only 3 attack nodes and 6 fake nodes. We hope that our work will make the community aware of the threat of this type of attack and raise the attention given to its future defense.

研究の動機と目的

• グラフ構造データにおける標的型ユニバーサル adversarial 攻撃に関する研究の不足に対処すること。
• 最小限の摂動で、任意のノードを標的クラスに一括して誤分類できる、GCNsにおける新たなセキュリティ脆弱性を明らかにすること。
• わずかな数の実際の攻撃ノードと、最適化された特徴摂動を施した偽のノードを用いる、実用的でスケーラブルな攻撃手法を開発すること。
• 実世界のグラフデータセットを用いて、GCNsのこうした攻撃に対する耐性を評価すること。
• この脅威に対する認識を高め、今後の防御メカニズムの開発を促進すること。

提案手法

• グラフ内の標的クラスから少数の実際のノードを選んで攻撃ノードとする。
• 攻撃ノードに接続された少数の偽のノードを導入し、その影響を拡大する。
• 非標的クラスに属する補助ノードを用いて、偽のノードの特徴摂動を計算し、攻撃効果を最大化する。
• GCNのメッセージパッシング機構を活用して、敵対的シグナルを伝搬させ、攻撃ノードに接続された任意の被害者ノードを標的クラスに誤分類させる。
• 反復的最適化を用いて、偽のノードの特徴摂動を精緻化し、攻撃成功率を最大化する。
• 攻撃ノードに接続された任意の被害者ノードに適用可能なユニバーサル摂動戦略を採用し、元のクラスにかかわらず有効である。

実験結果

リサーチクエスチョン

• RQ1 最小限の実際のノードと偽のノードを用いて、GCNsに対して標的型ユニバーサル adversarial 攻撃を効果的に構築できるか？
• RQ2 攻撃ノードと偽のノードの数が攻撃成功率に与える影響は何か？
• RQ3 摂動計算に用いる補助ノードをランダムに選択した場合、攻撃性能はどの程度安定しているか？
• RQ4 少数の攻撃ノードと偽のノードを用いた場合、達成可能な最大の攻撃成功率は何か？
• RQ5 提案されたTUAは、既存の非標的型ユニバーサル攻撃と比較してどのように異なるか？

主な発見

• 提案された標的型ユニバーサル攻撃は、実際の攻撃ノード3つと偽のノード6つを用いて、任意の被害者ノードで平均83%の攻撃成功率を達成した。
• 攻撃ノードを増やすことで攻撃成功率は上昇するが、3つを過ぎると飽和し、効果の逓減が見られる。
• 補助ノードの数を増やすことで攻撃成功率は向上するが、15個を超えるとその恩恵は徐々に小さくなる。
• 補助ノードをランダムに選択しても攻撃性能は安定しており、複数回の試行において標準偏差が低い（例：3.5%未満）ことが確認された。
• 最適な設定を用いることで、CoraやPubmedの複数のクラスで平均90%を超える高い耐性と一貫性を示した。
• 本手法はCora、Citeseer、Pubmedの3つの実世界データセットで有効であり、一般化能が確認された。