[論文レビュー] Evasion Attacks to Graph Neural Networks via Influence Function.

Binghui Wang, Tianxiang Zhou+7 more|arXiv (Cornell University)|Sep 1, 2020

Advanced Graph Neural Networks参考文献 30被引用数 12

ひとこと要約

本稿は、ラベル伝播におけるラベル影響を活用することで、モデルパラメータを必要とせずにマルチレイヤーGNNを効率的に回避する影響ベースの撹乱攻撃を提案する。影響関数を通じてGNNとラベル伝播の間に接続を確立することで、2層GNNでは最先端の手法と同等の攻撃成功率を達成し、5–50倍の高速化を実現。深層モデルに対しても有効な性能を示す。

ABSTRACT

Graph neural networks (GNNs) have achieved state-of-the-art performance in many graph-related tasks, e.g., node classification. However, recent works show that GNNs are vulnerable to evasion attacks, i.e., an attacker can slightly perturb the graph structure to fool GNN models. Existing evasion attacks to GNNs have several key drawbacks: 1) they are limited to attack two-layer GNNs; 2) they are not efficient; or/and 3) they need to know GNN model parameters. We address the above drawbacks in this paper and propose an influence-based evasion attack against GNNs. Specifically, we first introduce two influence functions, i.e., feature-label influence and label influence, that are defined on GNNs and label propagation (LP), respectively. Then, we build a strong connection between GNNs and LP in terms of influence. Next, we reformulate the evasion attack against GNNs to be related to calculating label influence on LP, which is applicable to multi-layer GNNs and does not need to know the GNN model. We also propose an efficient algorithm to calculate label influence. Finally, we evaluate our influence-based attack on three benchmark graph datasets. Our experimental results show that, compared to state-of-the-art attack, our attack can achieve comparable attack performance, but has a 5-50x speedup when attacking two-layer GNNs. Moreover, our attack is effective to attack multi-layer GNNs.

研究の動機と目的

• 既存のGNN向け撹乱攻撃の限界、すなわち2層モデルに限定された適用範囲、非効率性、モデルパラメータへの依存性を是正する。
• モデルパラメータの知識を必要とせず、マルチレイヤーGNNに適用可能な統一的な撹乱攻撃フレームワークを構築する。
• 影響関数を通じてGNNとラベル伝播の理論的接続を確立し、効率的な攻撃定式化を可能にする。
• 大規模グラフにスケーリング可能な、ラベル影響を効率的に計算するアルゴリズムを設計する。
• 複数のベンチマークデータセットを用いて、提案手法の有効性と効率性を実証する。

提案手法

• GNN向けの特徴-ラベル影響関数とラベル伝播（LP）向けのラベル影響関数を定義し、グラフモデルにおける影響ベース分析を可能にする。
• ラベル伝播におけるラベル影響がGNNにおける構造的摂動の効果を近似できることを示すことで、GNNとLPの強い理論的接続を確立する。
• 撹乱攻撃をラベル伝播におけるラベル影響の最大化問題に再定式化し、モデルアクセスなしに任意のGNNの深さに適用可能にする。
• 閉形式解と反復近似を用いた効率的なアルゴリズムを提案し、計算コストを顕著に低減する。
• 計算されたラベル影響を用いて、GNNの予測を最大限に誤魔化すために摂動を加えるべき重要なエッジまたはノードを同定する。
• 影響スコアに基づきエッジの追加または削除を実行することで攻撃を実装し、ターゲットノードの誤分類を最大化する。

実験結果

リサーチクエスチョン

• RQ1 ラベル伝播からの影響関数を用いることで、モデルパラメータを必要とせずにGNN向けに効果的な撹乱攻撃を定式化できるか？
• RQ2 提案手法の影響ベース攻撃は、2層GNNにおいて既存の撹乱攻撃と比較して性能と効率性に優れているか？
• RQ3 影響ベース攻撃は、従来の手法が不適切または非効率である多層GNNにも一般化可能か？
• RQ4 提案されたラベル影響計算アルゴリズムを踏まえ、グラフサイズとモデルの深さに伴い攻撃の効率性がどの程度スケーリング可能か？

主な発見

• 提案手法の影響ベース攻撃は、3つのベンチマークデータセットにおいて、2層GNNの最先端の撹乱攻撃と同等の攻撃成功率を達成した。
• 2層GNNを標的とした場合、効率的なラベル影響計算アルゴリズムのおかげで、既存手法と比較して5–50倍の高速化を実現した。
• 従来の攻撃が不適切または非効率である多層GNNに対しても、本手法は効果的に機能し、2層モデルを超えた一般化の有効性を示した。
• モデルパラメータへのアクセスを必要としないため、未知のGNNアーキテクチャを有する実世界のシナリオにも適用可能なブラックボックス攻撃である。
• 影響ベースのアプローチは、最小限の摂動でGNNの予測を誤魔化すために重要な構造的変更（例：エッジ追加）を的確に同定した。
• 実験的評価により、ラベル伝播におけるラベル影響がGNNにおける構造的脆弱性の強力な代理指標であることが確認され、理論的接続の妥当性が裏付けられた。