[論文レビュー] BinarizedAttack: Structural Poisoning Attacks to Graph-based Anomaly Detection

Yulin Zhu, Yuni Lai+5 more|arXiv (Cornell University)|Jun 18, 2021

Advanced Graph Neural Networks被引用数 8

ひとこと要約

本稿では、OddBallなどのグラフベースの異常検出（GAD）システムを標的とする、新しい勾配ベースの構造的ポイズニング攻撃であるBinarizedAttackを提案する。攻撃を二段階最適化問題として定式化し、離散勾配降下法を活用することで、標的ノードの異常スコアを効率的に低下させ、限られた予算下でも高い回避率を達成し、他のGADモデルへも強い転送性を示す。

ABSTRACT

Graph-based Anomaly Detection (GAD) is becoming prevalent due to the powerful representation abilities of graphs as well as recent advances in graph mining techniques. These GAD tools, however, expose a new attacking surface, ironically due to their unique advantage of being able to exploit the relations among data. That is, attackers now can manipulate those relations (i.e., the structure of the graph) to allow some target nodes to evade detection. In this paper, we exploit this vulnerability by designing a new type of targeted structural poisoning attacks to a representative regression-based GAD system termed OddBall. Specially, we formulate the attack against OddBall as a bi-level optimization problem, where the key technical challenge is to efficiently solve the problem in a discrete domain. We propose a novel attack method termed BinarizedAttack based on gradient descent. Comparing to prior arts, BinarizedAttack can better use the gradient information, making it particularly suitable for solving combinatorial optimization problems. Furthermore, we investigate the attack transferability of BinarizedAttack by employing it to attack other representation-learning-based GAD systems. Our comprehensive experiments demonstrate that BinarizedAttack is very effective in enabling target nodes to evade graph-based anomaly detection tools with limited attackers' budget, and in the black-box transfer attack setting, BinarizedAttack is also tested effective and in particular, can significantly change the node embeddings learned by the GAD systems. Our research thus opens the door to studying a new type of attack against security analytic tools that rely on graph data.

研究の動機と目的

• グラフベースの異常検出（GAD）システムが、グラフ構造を操作する構造的ポイズニング攻撃に対してどれほど脆弱であるかを調査すること。
• 回帰ベースのGADシステム（例：OddBall）を効果的に回避できる、グラフ構造を変更することで実現する効率的な攻撃手法の設計。
• ブラックボックス設定下で、異なる表現学習ベースのGADモデル間における攻撃の転送性を評価すること。
• 攻撃が、下流の異常分類タスクにおける学習済みノード埋め込みおよび意思決定境界に与える影響を分析すること。
• このような構造的攻撃に対する防御メカニズムの可能性を検討すること（防御は今後の課題として残す）。

提案手法

• 攻撃者が標的ノードの異常スコアを最小化するようにグラフ構造を変更することで、OddBallに対する構造的ポイズニング攻撃を二段階最適化問題として定式化する。
• 離散的組合せ最適化に特化した勾配降下法を用い、可能なグラフ編集の空間における効率的探索を可能にするBinarizedAttackを提案する。
• 微分可能リラクゼーションとバイナリリラクゼーション技術を用いて、離散的なエッジ追加／削除を近似し、勾配情報を活用する。
• 二段階最適化を採用：内側のループで摂動を加えた特徴量上で回帰モデルを最適化し、外側のループで勾配を用いてグラフ構造を更新する。
• ブラックボックス設定下で、GAL や ReFeX などの他のGADシステムに対しても攻撃を適用し、転送性を評価する。
• t-SNEを用いてノード埋め込みを可視化し、BinarizedAttackが異常ノードと健全ノードの線形分離性を破壊することを示す。

Figure 1 : Illustration of the structural attack to $\mathsf{OddBall}$ : $\mathsf{OddBall}$ extracts features from the graph structure, using regression-based approaches to compute the anomaly scores of nodes; structural attacks then poison the graph structure, equivalently manipulating the extracte

実験結果

リサーチクエスチョン

• RQ1 攻撃者がグラフ構造のみを操作することで、グラフベースの異常検出システムからどれほど効果的に検出を回避できるか。
• RQ2 限られた予算制約下でBinarizedAttackが標的ノードの異常スコアをどれほど効果的に低下させられるか。
• RQ3 攻撃者がモデルのアーキテクチャを事前に把握しない状況下でも、BinarizedAttackが他の表現学習ベースのGADシステムに転送可能か。
• RQ4 BinarizedAttackが、下流の分類タスクにおける学習済みノード埋め込みの質および分離性にどのように影響を与えるか。
• RQ5 現在のロバスト回帰手法（例：Huber、RANSAC）が、このような構造的攻撃に対してどれほど効果的に防御できるか。

主な発見

• BinarizedAttackは、Bitcoin-Alphaデータセット上でB=50の摂動で標的ノードの異常スコアを25.69%も低下させ、δBが顕著に減少した。
• Wikivoteデータセットでは、B=100の摂動で異常スコアを56.37%も低下させ、限られた攻撃予算下でも高い有効性を示した。
• 攻撃は強い転送性を示した：GALおよびReFeXモデルへの適用で、Wikivote上でのAUCは最大26.00%、F1は最大41.40%低下し、学習済み表現が破壊されたことが示された。
• t-SNE可視化により、BinarizedAttackが異常ノードを健全ノードクラスタに混合させ、埋め込み空間における線形意思決定境界を破壊していることが確認された。
• ロバスト回帰防御（HuberおよびRANSAC）は攻撃をわずかに緩和するにとどまり、異常スコアの低下に顕著な改善は見られず、防御の限界が示された。
• ブラックボックス設定下でも攻撃は極めて効果的であり、モデルアーキテクチャの知識がなくても、現在のGADシステムが構造的改ざんに対して脆弱であることが示唆された。

(a) Anomalous patterns