[論文レビュー] Attacking Graph Convolutional Networks via Rewiring

Yao Ma, Suhang Wang+3 more|arXiv (Cornell University)|Jun 10, 2019

Adversarial Robustness in Machine Learning参考文献 32被引用数 62

ひとこと要約

この論文は、GCNに対するグラフ再配線型敵対攻撃を導入し、強化学習を用いて再配線戦略を学習し、グラフ構造を微妙に撹乱しつつグラフの全体特性を保つことで、複数のデータセットにおいてエッジ追加/削除のベースラインよりも高い攻撃成功率を達成する。

ABSTRACT

Graph Neural Networks (GNNs) have boosted the performance of many graph related tasks such as node classification and graph classification. Recent researches show that graph neural networks are vulnerable to adversarial attacks, which deliberately add carefully created unnoticeable perturbation to the graph structure. The perturbation is usually created by adding/deleting a few edges, which might be noticeable even when the number of edges modified is small. In this paper, we propose a graph rewiring operation which affects the graph in a less noticeable way compared to adding/deleting edges. We then use reinforcement learning to learn the attack strategy based on the proposed rewiring operation. Experiments on real world graphs demonstrate the effectiveness of the proposed framework. To understand the proposed framework, we further analyze how its generated perturbation to the graph structure affects the output of the target model.

研究の動機と目的

• GNNを敵対的な構造撹乱に対して堅牢に評価する動機づけ。
• ノード/エッジ数を保持し、ラプラシアン撹乱を最小化する再配線操作を提案する。
• ReWattというRLベースの攻撃者を開発し、予算の下で再配線方針を学習させる。
• 実世界のソーシャルグラフでの攻撃有効性を評価し、グラフ埋め込みと出力への撹乱効果を分析する。

提案手法

• 再配線操作を定義する：edge (v_fir, v_sec) を (v_fir, v_thi) に置換する。ここで v_sec は v_fir の1ホップ隣接ノード、v_thi は v_fir の2ホップ隣接ノードである。
• 攻撃をマルコフ決定過程としてモデル化する。状態は中間グラフ、行動は再配線操作である。
• ポリシーネットワーク（3つの構成要素）を用いて、エッジと第一ノードまたは第二ノード、そして再配線の第三ノードを選択する。GCN由来の埋め込みに基づく。
• 攻撃者を対象のGCN分類器に対してブラックボックスとして扱い、ポリシー勾配法で報酬を最大化するようにポリシーを最適化する。
• 報酬構造： attacked graph の予測ラベルが元と異なる場合に +1、攻撃を短縮させるために1ステップごとに負報酬。
• 再配線の予算はグラフサイズに比例する：K = p * |E|、p は {1%, 2%, 3%} のいずれか。

実験結果

リサーチクエスチョン

• RQ1 グラフ再配線はエッジ追加/削除よりも小さな perceptual 変化で敵対的影響を達成できるか？
• RQ2 RLで学習した再配線は、同等の予算下で既存のエッジ追加/削除攻撃と比較して効果的か？
• RQ3 再配線がグラフラプラシアンベースの性質とそれに応じたGCN出力に与える影響はどうなるか？
• RQ4 柔軟な予算設定（p * |E|）は多様なグラフサイズで攻撃の成功を高めるか？

主な発見

• ReWattは REDDIT-MULTI-12K, REDDIT-MULTI-5K, IMDB-MULTI のデータセットにおいて、K = 1, 2, 3 の各値で RL-S2V およびランダムベースラインを上回り、攻撃成功率を向上させる。
• REDDIT-MULTI-12K では ReWatt は 14.4%（K=1）から 38.7%（K=3）まで、REDDIT-MULTI-5K では 8.99% から 23.3%、IMDB-MULTI では setup によって 23.0% から 23.3%の成功率を達成する。
• ReWatt-a（2ホップ制約なし）は ReWatt より性能を向上させ、より柔軟な攻撃がより強力だが、変更がより目立つ可能性があることを示す。
• Flexible reward design (ReWatt-n) は主な ReWatt 設定に比べて劣ることが示され、提案された報酬構造の利点を強調する。
• 攻撃撹乱は成功/失敗の両方の攻撃に対してグラフ表現とロジットを大きく変化させ、RLポリシーが再配線を意味的に導くことを示す。
• ReWatt-Random 変種は、学習済みポリシーが効率に寄与し、同等またはより良い成功を達成するのに必要な再配線アクション数を減らすことを示す。