[論文レビュー] Adversarial Diffusion Attacks on Graph-based Traffic Prediction Models

Lyuyi Zhu, Kairui Feng+2 more|arXiv (Cornell University)|Apr 19, 2021

Traffic Prediction and Management Techniques参考文献 42被引用数 6

ひとこと要約

本稿は、Simultaneous Perturbation Stochastic Approximation (SPSA) を用いたブラックボックス勾配近似とナップサックに基づくグリーディーなノード選択戦略を用いて、グラフベースの交通予測モデルを標的とした新規の敵対的拡散攻撃を提案する。この手法は、2つの実世界のデータセット上で複数のGCNベースのモデル（St-GCN, T-GCN, A3t-GCN）に対して効果的にモデル性能を低下させ、DropEdge正則化下でも最大72.37%の攻撃成功率を達成し、スマートモビリティシステムにおける深刻な耐性の欠如を浮き彫りにしている。

ABSTRACT

Real-time traffic prediction models play a pivotal role in smart mobility systems and have been widely used in route guidance, emerging mobility services, and advanced traffic management systems. With the availability of massive traffic data, neural network-based deep learning methods, especially the graph convolutional networks (GCN) have demonstrated outstanding performance in mining spatio-temporal information and achieving high prediction accuracy. Recent studies reveal the vulnerability of GCN under adversarial attacks, while there is a lack of studies to understand the vulnerability issues of the GCN-based traffic prediction models. Given this, this paper proposes a new task -- diffusion attack, to study the robustness of GCN-based traffic prediction models. The diffusion attack aims to select and attack a small set of nodes to degrade the performance of the entire prediction model. To conduct the diffusion attack, we propose a novel attack algorithm, which consists of two major components: 1) approximating the gradient of the black-box prediction model with Simultaneous Perturbation Stochastic Approximation (SPSA); 2) adapting the knapsack greedy algorithm to select the attack nodes. The proposed algorithm is examined with three GCN-based traffic prediction models: St-Gcn, T-Gcn, and A3t-Gcn on two cities. The proposed algorithm demonstrates high efficiency in the adversarial attack tasks under various scenarios, and it can still generate adversarial samples under the drop regularization such as DropOut, DropNode, and DropEdge. The research outcomes could help to improve the robustness of the GCN-based traffic prediction models and better protect the smart mobility systems. Our code is available at https://github.com/LYZ98/Adversarial-Diffusion-Attacks-on-Graph-based-Traffic-Prediction-Models

研究の動機と目的

• グラフ畳み込みネットワーク（GCN）ベースの交通予測モデルが敵対的攻撃に対してどれほど脆弱であるかを調査すること。
• グローバルなモデル性能を低下させるために少数のノードを標的にする新しい攻撃パラダイム「拡散攻撃」を考案すること。
• DropEdge、DropNode、ドロップアウトなどのさまざまな防御メカニズム下でのGCNベースのモデルの耐性を評価すること。
• 完全なモデルアクセスが不要な効率的なブラックボックス攻撃アルゴリズムを設計すること。

提案手法

• ブラックボックス交通予測モデルの勾配を、Simultaneous Perturbation Stochastic Approximation (SPSA) を用いて近似することで、勾配に基づく攻撃生成を可能にする。
• モデル性能への影響に基づいて、攻撃に最も影響を与えるノードを特定するため、ナップサックグリーディー法を適応する。
• 二段階の攻撃フレームワークを採用する：第一段階ではSPSAを用いて影響力の高いノードを同定し、第二段階ではこれらのノードに摂動を加えて性能低下を最大化する。
• 実世界の交通データセット（LAおよびHK）上で3つのGCNベースのモデル（St-GCN, T-GCN, A3t-GCN）に対して攻撃を検証する。
• DropEdge、DropNode、ドロップアウトを含む複数の正則化防御下での攻撃効果を評価する。
• 攻撃フレームワークおよび評価コードをGitHubで公開し、再現可能性と今後の研究を支援する。

実験結果

リサーチクエスチョン

• RQ1 提案された拡散攻撃は、ブラックボックス設定下でGCNベースの交通予測モデルの性能をどれほど効果的に低下させることができるか？
• RQ2 DropEdge、DropNode、ドロップアウトなどの標準的防御メカニズムが適用された場合でも、攻撃は高い成功率を維持できるか？
• RQ3 勾配近似にSPSAを用いる戦略は、他の攻撃戦略と比較して攻撃成功率においてどのように差をつけるか？
• RQ4 ノード選択戦略（例：ナップサック対中央性ベース）が攻撃効果に与える影響は何か？
• RQ5 局所的な摂動にもかかわらず、攻撃がグラフ全体にわたり性能低下を広げられる程度はどの程度か？

主な発見

• 提案されたKg-Spsa攻撃は、ベースライン条件の下でLAデータセット上においてSt-GCNで平均8.32%、T-GCNで7.76%、A3t-GCNで22.77%の攻撃成功率を達成した。
• DropEdge正則化下では、LAのSt-GCNで13.88%、HKのSt-GCNで46.36%の攻撃成功率を達成し、エッジレベルの防御に対して強い耐性を示した。
• ドロップアウト（LAのSt-GCNで11.36%）およびドロップノード（LAのA3t-GCNで38.11%）の両方の防御下でも、攻撃は高い効果を維持した。
• Kg-Spsaは、Pagerank やBetweenness といった半ブラックボックスベースラインを上回り、HKのA3t-GCNでDropEdge下で72.37%の攻撃成功率を達成した。
• 攻撃は極めて厳格な防御下でも効果的であり、HKのA3t-GCNでDropEdge下にあっても230.85%の攻撃成功率を示し、深刻な脆弱性を示した。
• オープンソース実装により再現性が確保され、グラフベースの交通モデルの耐性および防御メカニズムに関する今後の研究を支援できる。