[論文レビュー] Adversarial Attack on Network Embeddings via Supervised Network Poisoning

Viresh Gupta, Tanmoy Chakraborty|arXiv (Cornell University)|Feb 14, 2021

Network Security and Intrusion Detection参考文献 21被引用数 5

ひとこと要約

本稿では、ノードラベルを用いてエッジフリップの意思決定を誘導することで、ネットワーク埋め込みにおける adversarial パerturbation を強化する教師ありネットワーク汚染攻撃である VIKING を提案する。実ネットワークおよび合成ネットワークにおいて、ノード分類で最大18%の性能低下、リンク予測で最大50%の精度低下を達成し、最先端の手法を上回る性能を示した。

ABSTRACT

Learning low-level node embeddings using techniques from network representation learning is useful for solving downstream tasks such as node classification and link prediction. An important consideration in such applications is the robustness of the embedding algorithms against adversarial attacks, which can be examined by performing perturbation on the original network. An efficient perturbation technique can degrade the performance of network embeddings on downstream tasks. In this paper, we study network embedding algorithms from an adversarial point of view and observe the effect of poisoning the network on downstream tasks. We propose VIKING, a supervised network poisoning strategy that outperforms the state-of-the-art poisoning methods by upto 18% on the original network structure. We also extend VIKING to a semi-supervised attack setting and show that it is comparable to its supervised counterpart.

研究の動機と目的

• 無教師ネットワーク埋め込み手法（例：DeepWalk や Node2Vec）が、ネットワーク汚染による adversarial 攻撃に対してどれほど脆弱であるかを調査すること。
• 埋め込みプロセスに教師信号が存在しないにもかかわらず、攻撃段階でノードラベルを活用できる汎用的で効果的な adversarial 攻撃フレームワークを構築すること。
• 完全なラベル知識と部分的ラベル知識（半教師あり設定）の両方の状況下で攻撃の有効性を評価し、現実的なブラックボックス攻撃シナリオを模擬すること。
• adversarial エッジが、次数や媒介性などの特徴的構造的性質を示すかどうかを分析し、防御や検出に活用できるかを検討すること。

提案手法

• 攻撃の目的を達成するための最適なエッジフリップを特定するため、エッジ変更数の予算制約のもとで二段階最適化問題を定式化する。
• 埋め込みモデル自体は無教師であるが、攻撃時におけるノードラベルを監視信号として用いて、エッジのフリップ選択を誘導する。
• ランダムウォークベースの手法に内在する同質性仮定を活用し、ラベルが相反するノードペアを標的とすることで、埋め込み空間への破壊を最大化する攻撃戦略を採用する。
• 部分的なラベル利用が可能な半教師ありバージョンである VIKING_s を開発し、ラベルの10%程度の利用でも高い攻撃効果を維持する。
• 複数の実ネットワークおよび合成ネットワークを対象に、ノード分類（micro-F1）およびリンク予測（平均精度）の両方で性能を評価する。
• ノード次数およびエッジの媒介性中心性の統計的分析を通じてエッジ選択の妥当性を検証し、ランダムエッジ分布から顕著なずれがないことが示された。

実験結果

リサーチクエスチョン

• RQ1 教師ありラベル情報は、無教師ネットワーク埋め込みモデルに対するより強力な adversarial 攻撃を設計するために効果的に活用可能か？
• RQ2 VIKING の性能は、既存の汚染攻撃ベースラインと比較して、下流タスクの精度低下の観点でどのように優れているか？
• RQ3 部分的なラベル情報（半教師あり設定）しか入手できない状況でも、攻撃はどの程度有効に保たれるか？
• RQ4 VIKING が選択するエッジは、識別可能な構造的パターン（例：高次数、高媒介性）を示すか？その特徴が防御メカニズムの設計に活かせるか？

主な発見

• VIKING は、実世界のネットワークではノード分類の micro-F1 スコアで最大18%の低下を達成し、合成 LFR ネットワークでは最大19%の低下を示した。これは、先行する最先端手法を顕著に上回る性能であった。
• リンク予測においては、平均精度を最大50%まで低下させ、複数の下流タスクにおける強力な破壊的影響を示した。
• 半教師ありバージョンである VIKING_s は、ノードラベルの10%しか利用できない状況でも、同等の効果を維持しており、部分的知識下でも高い頑健性を示した。
• VIKING が選択する adversarial エッジは、高次数ノードや高媒介性エッジに偏っていないことが判明し、攻撃戦略が単純なトポロジー的ヒューリスティクスに基づくものではないことが示された。
• 一部のケースでは、グラフのスパarsity と構造的変化の影響でリンク予測スコアがわずかに向上したが、VIKING は常に最も小さな性能上昇を引き起こしており、標的的かつ効果的な破壊的干渉が行われていることが裏付けられた。
• DeepWalk、Node2Vec、LINE、GCN といった多様な埋め込みモデルに対しても攻撃が有効に機能し、さまざまなネットワーク埋め込みフレームワークに汎用的に適用可能であることが確認された。