[論文レビュー] Backdoor Attacks to Graph Neural Networks

Zaixi Zhang, Jinyuan Jia+2 more|arXiv (Cornell University)|Jun 19, 2020

Adversarial Robustness in Machine Learning参考文献 55被引用数 12

ひとこと要約

本稿では、グラフ分類を対象としたグラフニューラルネットワーク（GNN）に対するバックドア攻撃の初の提案を行う。攻撃は、訓練グラフに埋め込まれる部分グラフ（トリガー）を用い、テスト時のグラフに同じ部分グラフが出現すると、モデルが標的ラベルを予測するように仕向けける。攻撃は、クリーン精度にほとんど影響を与えないまま高い成功率を達成しており、ランダムなサブサンプリング防御の有効性を評価したが、一部の状況では効果が示されず、より強力な防御の必要性が浮き彫りになった。

ABSTRACT

In this work, we propose the first backdoor attack to graph neural networks (GNN). Specifically, we propose a \emph{subgraph based backdoor attack} to GNN for graph classification. In our backdoor attack, a GNN classifier predicts an attacker-chosen target label for a testing graph once a predefined subgraph is injected to the testing graph. Our empirical results on three real-world graph datasets show that our backdoor attacks are effective with a small impact on a GNN's prediction accuracy for clean testing graphs. Moreover, we generalize a randomized smoothing based certified defense to defend against our backdoor attacks. Our empirical results show that the defense is effective in some cases but ineffective in other cases, highlighting the needs of new defenses for our backdoor attacks.

研究の動機と目的

• グラフ分類の文脈において、グラフニューラルネットワーク（GNN）がバックドア攻撃に対してどれほど脆弱であるかを調査すること。
• 一貫したトリガーを訓練グラフに埋め込む部分グラフベースのバックドア攻撃を提案し、GNNの予測を操作すること。
• 提案されたバックドア攻撃に対して、ランダムサブサンプリングに基づく認証防御の有効性を評価すること。
• 既存の認証防御が、GNNにおける部分グラフベースのバックドア攻撃に対して不十分であることを示すこと。
• GNNのバックドア検出および強力な防御メカニズムの今後の研究を促すこと。

提案手法

• 攻撃は、4つのパラメータで定義される部分グラフパターンをトリガーとして使用する：トリガーのサイズ、密度、合成手法、汚染強度。
• トリガーは、指定されたサイズと密度を持つランダムな部分グラフとして合成され、ノード間の接続を置き換えることで、訓練グラフの一部に挿入される（汚染強度に従って）。
• 汚染された訓練グラフは、攻撃者が選択した標的ラベルに再ラベル付けされ、バックドア付きの訓練データセットが作成される。
• GNNは、このバックドア付きデータセット上で学習され、トリガーと標的ラベルの関連付けを学習する。
• 推論段階では、テストグラフに同じトリガーが挿入されると、バックドア付きGNNは標的ラベルを予測する。
• ランダムサブサンプリングに基づく認証防御が適応され、攻撃に対する耐性を評価した。

実験結果

リサーチクエスチョン

• RQ1 部分グラフベースのバックドア攻撃は、クリーングラフの性能を著しく低下させることなく、GNNの予測を操作できるか？
• RQ2 ランダムサブサンプリングに基づく認証防御は、部分グラフベースのバックドア攻撃に対してどれほど効果的か？
• RQ3 バックドア攻撃の成功確率は、挿入された部分グラフトリガーのサイズや密度に依存するか？
• RQ4 汚染強度は、バックドア付きGNNの攻撃成功確率とクリーン精度にどのように影響するか？
• RQ5 ランダムサブサンプリング防御は、どのような条件下で、このようなバックドア攻撃に対して認証耐性を失うか？

主な発見

• 提案された部分グラフベースのバックドア攻撃は、Bitcoin、Twitter、COLLABの3つの実世界データセットで高い攻撃成功確率を達成した。
• 攻撃は、クリーン精度を高い水準（例：BitcoinおよびTwitterデータセットでは95％以上）に保ちながら、汚染済みテストグラフでほぼ100％の攻撃成功確率を達成した。
• ランダムサブサンプリングに基づく認証防御は、トリガーのサイズが小さい場合には攻撃成功確率を低下させ、クリーン精度の低下も小さいが、効果を示した。
• トリガーのサイズが大きい場合には防御が無効となり、認証が行われても攻撃成功確率は依然として高い水準を維持した。
• 結果から、現在の認証防御は部分グラフベースのバックドア攻撃に対して不十分であることが示され、新たな防御メカニズムの開発が急務であることが明らかになった。