[論文レビュー] Data Poisoning Attack against Unsupervised Node Embedding Methods

Mingjie Sun, Jian Tang+5 more|arXiv (Cornell University)|Oct 30, 2018

Adversarial Robustness in Machine Learning参考文献 23被引用数 45

ひとこと要約

この論文は、リンク予測のための教師なしグラフ埋め込み法（DeepWalk、LINE）を標的とするデータポイズニングフレームワークを提示し、Projected Gradient Descentを用いてエッジを追加または削除し、方法間での転移性を評価することで整合性攻撃と可用性攻撃を評価する。

ABSTRACT

Unsupervised node embedding methods (e.g., DeepWalk, LINE, and node2vec) have attracted growing interests given their simplicity and effectiveness. However, although these methods have been proved effective in a variety of applications, none of the existing work has analyzed the robustness of them. This could be very risky if these methods are attacked by an adversarial party. In this paper, we take the task of link prediction as an example, which is one of the most fundamental problems for graph analysis, and introduce a data positioning attack to node embedding methods. We give a complete characterization of attacker's utilities and present efficient solutions to adversarial attacks for two popular node embedding methods: DeepWalk and LINE. We evaluate our proposed attack model on multiple real-world graphs. Experimental results show that our proposed model can significantly affect the results of link prediction by slightly changing the graph structures (e.g., adding or removing a few edges). We also show that our proposed model is very general and can be transferable across different embedding methods. Finally, we conduct a case study on a coauthor network to better understand our attack method.

研究の動機と目的

• 教師なしグラフ埋め込みがリンク予測で使用される robustness の懸念を動機づける。
• グラフ上でエッジを追加または削除してデータポイズニングを行う統一最適化フレームワークを開発する。
• 整合性攻撃と可用性攻撃のための攻撃者の有用性と制約を特徴づける。
• 実世界のグラフに対する有効性、転移性、ケーススタディを実証する。

提案手法

• 無監督グラフ埋め込み（DeepWalk、LINE）を暗黙の因子分解として表現する（minimize ||R_Omega(Z-XY^T)||_F^2）。
• データポイズニングを、二つの目的（整合性と可用性）を前提としたエッジの変更を最大化する最適化問題として定式化する。
• 二段階のPGD手順を用いる： (1) 重み付き隣接行列に対する勾配降下、 (2) 追加/削除すべきエッジを選択して二値隣接行列へ射影する。
• Backpropagationを用いて最初のKKT条件から∇_A Lを得て、DeepWalkとLINEの勾配を計算する。
• 各々のZの定義（Eq. 1とEq. 2）と連鎖法則から、DeepWalkとLINEの勾配成分を導出する。
• 射影において、A_optの値が1に近い（追加）または0に近い（削除）候補エッジを選択する。

実験結果

リサーチクエスチョン

• RQ1 教師なしグラフ埋め込み（DeepWalk、LINE）はデータポイズニング攻撃にどれほど脆弱であるか。
• RQ2 少数のエッジを追加または削除することで統一最適化フレームワークはリンク予測を効果的に劣化させられるか。
• RQ3 ポイズニング摂動は異なる埋め込み法間で転移可能か。
• RQ4 ネットワーク構造のどの特徴が攻撃の有効性（整合性と可用性）に影響を与えるか。

主な発見

• 提案する Opt-attack フレームワークは、少数のエッジの追加/削除だけでリンク予測スコアを大きく変えることができる。
• 攻撃は異なる埋め込み法間で転移可能（DeepWalk/LINE から他の方法へ等）。
• 実世界のグラフ（Facebook、Cora、Citeseer）で、整合性と可用性攻撃の双方において、ランダムまたはヒューリスティックなベースラインよりも強い性能を示す。
• ターゲットノードに隣接するエッジを改変する直接攻撃と、他のエッジを改変する間接攻撃のどちらも有効であり、追加エッジは削除よりも影響力が大きい傾向。
• 共著者ネットワークのケーススタディは、攻撃がターゲット横断リンクの類似度スコアを低下させ、可用性攻撃下で横断-fieldのエッジを追加する傾向を示す。