[論文レビュー] Adversarial Attacks and Defenses on Graphs: A Review, A Tool and Empirical Studies

Wei Jin, Yaxin Li+5 more|arXiv (Cornell University)|Mar 2, 2020

Adversarial Robustness in Machine Learning参考文献 84被引用数 39

ひとこと要約

グラフの敵対的攻撃と防御に関する総合的な調査で、分類、代表的手法、公開リポジトリによる実証研究を支援。

ABSTRACT

Deep neural networks (DNNs) have achieved significant performance in various tasks. However, recent studies have shown that DNNs can be easily fooled by small perturbation on the input, called adversarial attacks. As the extensions of DNNs to graphs, Graph Neural Networks (GNNs) have been demonstrated to inherit this vulnerability. Adversary can mislead GNNs to give wrong predictions by modifying the graph structure such as manipulating a few edges. This vulnerability has arisen tremendous concerns for adapting GNNs in safety-critical applications and has attracted increasing research attention in recent years. Thus, it is necessary and timely to provide a comprehensive overview of existing graph adversarial attacks and the countermeasures. In this survey, we categorize existing attacks and defenses, and review the corresponding state-of-the-art methods. Furthermore, we have developed a repository with representative algorithms (https://github.com/DSE-MSU/DeepRobust/tree/master/deeprobust/graph). The repository enables us to conduct empirical studies to deepen our understandings on attacks and defenses on graphs.

研究の動機と目的

• グラフ敵対的攻撃手法と防御の体系的な概観を提供する。
• 目的、リソース、能力に基づいて攻撃と防御を分類する。
• 関連する攻撃/防御リポジトリからの実証的洞察を強調する。
• 堅牢なグラフ学習の未解決課題と将来の方向性を特定する。

提案手法

• グラフ上の学習の正式な前提と一般的な敵対的攻撃目的（式3）を定義する。
• 攻撃者の能力、撹乱タイプ、目標、知識を分類する分類法を提案する（ホワイトボックス/グレイボックス/ブラックボックス）。
• 代表的なホワイトボックス、グレイボックス、ブラックボックス攻撃手法（ターゲット型と非ターゲット型）を概観する。
• 敵対的訓練、撹乱検知、認定可能な堅牢性、グラフ浄化、および注意機構ベースの手法を含む防御戦略を調査する。
• 著者らのリポジトリを用いた実証研究フレームワークを提供し、攻撃/防御の理解を深める。

実験結果

リサーチクエスチョン

• RQ1 グラフの敵対的攻撃と防御の主な分類と特徴は何か？
• RQ2 攻撃者の能力、撹乱タイプ、目標、知識がグラフ上の攻撃戦略にどう影響するか？
• RQ3 統一された手法リポジトリを用いた体系的な検証からどんな実証的洞察が得られるか？
• RQ4 敵対的撹乱下での堅牢なグラフ学習のギャップと今後の開発Directionは何か？

主な発見

• グラフ上の敵対的攻撃は、ホワイトボックス/グレイボックス/ブラックボックス設定の下でノードレベルおよびグラフレベルのタスクを対象とし得る。
• 撹乱タイプ（特徴量、辺、挿入ノード）によって、攻撃戦略は異なり、攻撃がターゲット型か非ターゲット型かによっても異なる。
• 敵対的訓練、検知、認定可能な堅牢性、グラフ浄化、注意機構といった幅広い防御手法が存在する。
• 関連する公開リポジトリは、グラフに対する攻撃と防御の標準化された実証研究を可能にする。
• 実証研究は、さまざまなグラフ攻撃の移植性と実用性、設定を横断した防御の潜在能力を強調している。