[論文レビュー] Black-box Gradient Attack on Graph Neural Networks: Deeper Insights in Graph-based Attack and Defense

Haoxi Zhan, Xiaobing Pei|arXiv (Cornell University)|Apr 30, 2021

Advanced Graph Neural Networks参考文献 39被引用数 6

ひとこと要約

本稿では、学習データ、モデルパラメータ、クエリベースのフィードバックにアクセスしないグラフニューラルネットワークに対する、初めての勾配ベースのブラックボックス攻撃であるBlack-Box Gradient Attack (BBGA)を提案する。スプライスクラスタリングを用いて偽ラベルを生成し、k-foldのグリーディ戦略を適用することで、グラフ全体にわたる均等な摂動分布を実現し、学習データに依存せずに、既存手法を上回る誤分類率を達成する。

ABSTRACT

Graph Neural Networks (GNNs) have received significant attention due to their state-of-the-art performance on various graph representation learning tasks. However, recent studies reveal that GNNs are vulnerable to adversarial attacks, i.e. an attacker is able to fool the GNNs by perturbing the graph structure or node features deliberately. While being able to successfully decrease the performance of GNNs, most existing attacking algorithms require access to either the model parameters or the training data, which is not practical in the real world. In this paper, we develop deeper insights into the Mettack algorithm, which is a representative grey-box attacking method, and then we propose a gradient-based black-box attacking algorithm. Firstly, we show that the Mettack algorithm will perturb the edges unevenly, thus the attack will be highly dependent on a specific training set. As a result, a simple yet useful strategy to defense against Mettack is to train the GNN with the validation set. Secondly, to overcome the drawbacks, we propose the Black-Box Gradient Attack (BBGA) algorithm. Extensive experiments demonstrate that out proposed method is able to achieve stable attack performance without accessing the training sets of the GNNs. Further results shows that our proposed method is also applicable when attacking against various defense methods.

研究の動機と目的

• Mettackのような既存のグレーゾーン攻撃が学習データ情報に強く依存しており、摂動が不均一に分布することに起因する限界を調査すること。
• モデルパラメータ、学習データ、クエリベースのフィードバックにアクセスしないブラックボックス攻撃手法を開発し、実用的な adversarial 攻撃を可能にすること。
• スペクトルクラスタリングから得られる偽ラベルを用いたサーヴィェイモデルのトレーニング戦略を設計し、ブラックボックス環境下での勾配ベース最適化を可能にすること。
• GCN-Jaccard、R-GCN、Pro-GNNを含む複数の防御メカニズムに対するBBGAのロバストネスを評価すること。
• 摂動の空間的分布と学習データへの依存性を分析することで、GNNの脆弱性についてより深い洞察を提供すること。

提案手法

• 固定されたガンマパラメータ（γ = 0.001）を用いたスペクトルクラスタリングにより、ノードをk個のクラスタにグループ化し、真のラベルが存在しない状況でも偽ラベルの作成を可能にする。
• メタ勾配計算のためのパーティション選択にk-foldグリーディ戦略を適用し、グラフ全体にわたり多様で効果的な摂動方向を保証する。
• 偽ラベル付きデータ上でトレーニングされたサーヴィェイモデルを用いて、構造的摂動のための勾配を近似し、真のラベルが存在しない状況下でも勾配ベース最適化を可能にする。
• 勾配更新プロセスにおいて分散が小さいノードペアを除外するフィルタリング機構を導入し、攻撃の効率性と安定性を向上させる。
• 複数のパーティションの勾配を組み合わせるメタ勾配更新ルールを採用し、摂動の分布を均等にする。
• T=100回の反復とη=0.01を用いた摂動率制御機構を導入し、攻撃強度とモデル一般化性能のバランスを取る。

実験結果

リサーチクエスチョン

• RQ1 Mettackのような既存のグレーゾーン攻撃は、グラフ全体にわたって摂動をどのように分布させているのか。その不均一性にどのような意味があるのか。
• RQ2 学習データ、モデルパラメータ、クエリベースのフィードバックにアクセスしない勾配ベースのブラックボックス攻撃を開発できるか。
• RQ3 スペクトルクラスタリングから得られる偽ラベルを用いることで、ブラックボックス攻撃における効果的なサーヴィェイモデルトレーニングが可能になるか。
• RQ4 提案されたBBGA手法は、GCN-Jaccard、R-GCN、Pro-GNNのようなさまざまな防御メカニズムに対して、どのように性能を発揮するか。
• RQ5 k（パーティション数）や分散が小さいエッジのフィルタリングといった、重要なハイパーパrameterが攻撃性能に与える影響は何か。

主な発見

• Mettack攻撃は、学習データに近い領域に摂動が集中する不均一な分布を示し、特定の学習分割に強く依存していることが判明した。
• バリデーションセットのみでGNNをトレーニングすると、Mettackに対する耐性が著しく向上することが示され、シンプルだが効果的な防御戦略であることが明らかになった。
• いくつかの実験設定において、BBGAは元のGCNモデルを攻撃する際、ベースライン手法よりも20%高い誤分類率を達成した。
• Cora、Citeseer、Cora-MLデータセットにおいて、BBGAはクリーンモデルおよび防御済みモデル（R-GCNやPro-GNNを含む）に対して、すべてのベースラインを上回る性能を発揮した。
• アブレーションスタディの結果、k-foldグリーディ選択と分散が小さいノードペアのフィルタリングの両方が、高い攻撃性能を達成するために不可欠であることが判明した。
• パrameter分析の結果、攻撃性能はkが一定の値まで向上し、k=5が性能とトレーニング時間の間で最良のトレードオフを提供することがわかった。