[論文レビュー] Attack Graph Convolutional Networks by Adding Fake Nodes

Xiaoyun Wang, Cheng, Minhao+3 more|arXiv (Cornell University)|Oct 25, 2018

Advanced Graph Neural Networks参考文献 30被引用数 57

ひとこと要約

この論文は、最適化された隣接行列と特徴量を用いて悪意あるノードを挿入することで GCN の性能を低下させるフェイクノード攻撃を導入し、Greedy および Greedy-GAN 手法を提案してそのようなノードを作成する。

ABSTRACT

In this paper, we study the robustness of graph convolutional networks (GCNs). Previous work have shown that GCNs are vulnerable to adversarial perturbation on adjacency or feature matrices of existing nodes; however, such attacks are usually unrealistic in real applications. For instance, in social network applications, the attacker will need to hack into either the client or server to change existing links or features. In this paper, we propose a new type of "fake node attacks" to attack GCNs by adding malicious fake nodes. This is much more realistic than previous attacks; in social network applications, the attacker only needs to register a set of fake accounts and link to existing ones. To conduct fake node attacks, a greedy algorithm is proposed to generate edges of malicious nodes and their corresponding features aiming to minimize the classification accuracy on the target nodes. In addition, we introduce a discriminator to classify malicious nodes from real nodes, and propose a Greedy-GAN attack to simultaneously update the discriminator and the attacker, to make malicious nodes indistinguishable from the real ones. Our non-targeted attack decreases the accuracy of GCN down to 0.03, and our targeted attack reaches a success rate of 78% on a group of 100 nodes, and 90% on average for attacking a single target node.

研究の動機と目的

• 攻撃者が既存ノードを変更するのではなく偽ノードを追加する現実的な攻撃シナリオにおいて、GCNの頑健性評価を動機づける。
• ターゲットノードの精度を低下させる離散的な隣接行列と特徴行列を用いて偽ノードを設計するアルゴリズムを開発する。
• 現実性制約を通じて偽ノードが距離ベースおよび特徴ベースの検知から検出されないようにする。
• 非ターゲットおよびターゲット設定の下で、標準的なグラフベンチマーク（Cora と Citeseer）に対する攻撃の有効性を評価する。

提案手法

• 隣接行列と特徴行列に行列 B、C、X_fake を追加して偽ノードを導入し、B=0、C=I から始める。
• 攻撃目的 J の勾配に基づいて最も影響力のあるエッジまたは特徴を反復的に追加する Greedy 攻撃を提案する。
• ターゲットノード全体で上位のロジットと正解ラベルの間のマージンを和として定義し、スパース性制約の下でそれを最大化する非ターゲット攻撃目的を定義する。
• 偽ノードの特徴が実ノードに似るように判別器 D を追加して、対抗的学習の下で J + c L(D(X'),Y) を最適化する Greedy-GAN に拡張する。
• ターゲット攻撃に適用するため、目的を変更してターゲットノードを選択したラベルへ押し、グループおよび単一ノードのシナリオで評価する。
• 偽ノードを注入した後に GCN を再訓練してデータ中毒実験を提供し、正規化を跨いだ頑健性を評価する。

実験結果

リサーチクエスチョン

• RQ1 元のノード属性を変更せずに偽ノードを挿入するだけで、既存ノードの GCN の性能を劣化させることができるか？
• RQ2 離散的な隣接性/特徴制約の下で、Greedy および Greedy-GAN といったグリーディ戦略が偽ノード作成にどれほど効果的か？
• RQ3 識別器ガイド型（GAN 的）アプローチは、攻撃有効性を維持しつつ偽ノードの隠密性を向上させるか？
• RQ4 標準ベンチマーク（Cora、Citeseer）におけるターゲットノード分類と非ターゲットノード分類に対する偽ノードの影響はどの程度か？
• RQ5 行別正規化と対称正規化は、偽ノード攻撃およびデータ中毒に対する頑健性にどのように影響するか？

主な発見

• Greedy を用いた非ターゲット攻撃はほぼ最悪の劣化を招き、単一ノードターゲットでいくつかの設定では精度を0.03まで低下させる。
• 100 ノードに対するグループターゲット攻撃は substantial success を達成し、共通クラスをターゲットにし、ターゲットラベリングを用いると効果が高い。
• Greedy-GAN は実ノードと区別しにくい偽ノードを生成でき、攻撃性能を競争力のある水準で達成しつつ検出耐性を向上させる。
• データ中毒実験は、改変データ下での攻撃と再訓練の両方が GCN の精度を著しく低下させることを示し、対称正規化が相対的に頑健性を示す。
• 攻撃はグラフ構造を僅かに攪乱し、ネットワーク分布の近接範囲内の変更に留まり、次数ベースの分析は低次数ノードがより脆弱であることを示す。