[論文レビュー] Black-box Node Injection Attack for Graph Neural Networks

Mingxuan Ju, Yujie Fan+2 more|arXiv (Cornell University)|Feb 18, 2022

Adversarial Robustness in Machine Learning被引用数 5

ひとこと要約

本稿では、グラフニューラルネットワークに対するブラックボックスノードインジェクション攻撃フレームワークGA2Cを提案する。この攻撃はマーカフ決定過程として定式化され、アドバンテージアクターキャスティングを用いたグラフ強化学習によって、現実的で最適なエッジを有する悪意あるノードを生成する。最小限のモデルアクセスで、ベンチマークデータセットにおいて最先端の攻撃成功率を達成し、厳密なブラックボックス制約下でも、先行するホワイトボックスおよびグレイボックス手法を上回る性能を示す。

ABSTRACT

Graph Neural Networks (GNNs) have drawn significant attentions over the years and been broadly applied to vital fields that require high security standard such as product recommendation and traffic forecasting. Under such scenarios, exploiting GNN's vulnerabilities and further downgrade its classification performance become highly incentive for adversaries. Previous attackers mainly focus on structural perturbations of existing graphs. Although they deliver promising results, the actual implementation needs capability of manipulating the graph connectivity, which is impractical in some circumstances. In this work, we study the possibility of injecting nodes to evade the victim GNN model, and unlike previous related works with white-box setting, we significantly restrict the amount of accessible knowledge and explore the black-box setting. Specifically, we model the node injection attack as a Markov decision process and propose GA2C, a graph reinforcement learning framework in the fashion of advantage actor critic, to generate realistic features for injected nodes and seamlessly merge them into the original graph following the same topology characteristics. Through our extensive experiments on multiple acknowledged benchmark datasets, we demonstrate the superior performance of our proposed GA2C over existing state-of-the-art methods. The data and source code are publicly accessible at: https://github.com/jumxglhf/GA2C.

研究の動機と目的

• 既存のグラフ敵対的攻撃が、実世界のシナリオではしばしば実行不可能な、既存のグラフ構造の操作を必要としているという実用的制限を解消すること。
• モデル勾配やラベルが入手不可であるが、隣接行列と特徴行列のみが利用可能な、より現実的なブラックボックス設定におけるノードインジェクション攻撃を調査すること。
• GNNを効果的に回避できる、人間には検出できないほど自然なノード特徴と最適なエッジ接続を生成できる強化学習ベースのフレームワークを開発すること。
• 攻撃予算（インジェクションノード数、ノードあたりのエッジ数、ノードあたりの特徴数）の変動に伴う攻撃効率と耐性を評価すること。

提案手法

• ノードインジェクション攻撃をマーカフ決定過程（MDP）として定式化し、ノード生成フェーズとエッジ接続フェーズに分離する。
• 離散的で現実的な特徴を微分可能に生成できるGumbel-Softmaxベースのノード生成器を用いる。
• 生成されたノードと既存のノードとの間のエッジを、学習可能な条件付き確率分布を用いてサンプリングする。
• 攻撃成功を最大化（例：ターゲットノードの予測を反転させる）するように導くためのカスタム報酬関数を設計する。
• 被害者GNNモデルへのクエリアクセスのみを前提に、アドバンテージアクターキャスティング（A2C）強化学習アルゴリズムを用いてGA2Cフレームワークを訓練する。
• 生成された敵対的ノードを元のグラフに滑らかに統合し、トポロジー特性を保持する。

実験結果

リサーチクエスチョン

• RQ1 モデル勾配やラベルが入手不可であり、隣接行列と特徴行列のみが利用可能な状況下でも、ブラックボックスノードインジェクション攻撃は効果的か？
• RQ2 提案されたGA2Cフレームワークは、既存のホワイトボックスおよびグレイボックスノードインジェクション攻撃と比較して、攻撃成功率と実用性において優れているか？
• RQ3 インジェクションノード数、ノードあたりのエッジ数、ノードあたりの特徴数といった異なる攻撃予算が、攻撃性能に与える影響は何か？
• RQ4 GA2Cにおける強化学習ベースのアプローチは、限定的な知識のもとで、どのように現実的で最適なエッジ接続を有する敵対的ノードを生成するのか？

主な発見

• GA2Cは、3つのインジェクションノードの予算下で、Citeseerで51.8%、Coraで57.1%、PubMedで52.8%の攻撃成功率を達成し、最先端のベースラインを上回った。
• アブレーションスタディの結果、Gumbel-Softmaxコンponentを除去すると、各データセットの攻撃性能はそれぞれ55.1%、69.5%、58.3%に低下し、特徴生成におけるその重要性が示された。
• 即時報酬設計を除いたバージョン（GA2C_acc）は、56.4%、71.3%、59.8%の成功率を示し、報酬設計が攻撃を誘導する上で重要な役割を果たしていることを確認した。
• 予算分析の結果、インジェクションノード数（βₙ）が最も強い影響を持ち、全データセットでGCNの精度が50%未満に低下した。
• エッジ予算（βₑ）は2番目に強い影響を持ち、Coraでは2.5倍、Citeseerでは2倍のエッジ予算で性能が50%未満に低下した。
• 特徴予算（β_f）は最も弱い影響を持ち、全データセットで1.5倍の予算で性能が飽和したため、特徴多様性の向上に限界があることが示された。