[論文レビュー] Explainability-based Backdoor Attacks Against Graph Neural Networks

Jing Xu, Minhui+2 more|arXiv (Cornell University)|Apr 8, 2021

Adversarial Robustness in Machine Learning参考文献 22被引用数 14

ひとこと要約

本稿では、GNNExplainerおよびGraphLIMEを活用して最適なトリガー注入位置を特定することにより、グラフニューラルネットワーク（GNN）における説明可能性に基づくバックドア攻撃を提案する。グラフ分類では部分グラフ、ノード分類では重要度が低いノード特徴量を対象とする。本手法は、84%を超える攻撃成功確率を達成し、正常な精度が2.5%未満低下するため、検出を避けられる、高性能なスパイク攻撃を実現する。

ABSTRACT

Backdoor attacks represent a serious threat to neural network models. A backdoored model will misclassify the trigger-embedded inputs into an attacker-chosen target label while performing normally on other benign inputs. There are already numerous works on backdoor attacks on neural networks, but only a few works consider graph neural networks (GNNs). As such, there is no intensive research on explaining the impact of trigger injecting position on the performance of backdoor attacks on GNNs. To bridge this gap, we conduct an experimental investigation on the performance of backdoor attacks on GNNs. We apply two powerful GNN explainability approaches to select the optimal trigger injecting position to achieve two attacker objectives -- high attack success rate and low clean accuracy drop. Our empirical results on benchmark datasets and state-of-the-art neural network models demonstrate the proposed method's effectiveness in selecting trigger injecting position for backdoor attacks on GNNs. For instance, on the node classification task, the backdoor attack with trigger injecting position selected by GraphLIME reaches over $84 \%$ attack success rate with less than $2.5 \%$ accuracy drop

研究の動機と目的

• グラフニューラルネットワーク（GNN）におけるバックドア攻撃の性能に、トリガー注入位置が与える影響、特に攻撃成功確率と正常精度の低下の観点から調査すること。
• GNNの説明可能性技術を用いて、最適なトリガー注入位置を実用的かつ効率的に選択する手法を開発すること。
• 重要度が低いグラフ構造や特徴量を標的とすることで、バックドア攻撃の検知を困難にし、より静かで効果的な攻撃を可能にすること。
• 特にノード分類およびグラフ分類タスクにおける、GNNのバックドア攻撃における説明可能トリガー配置に関する研究の空白を埋めること。
• GNNExplainerやGraphLIMEといった説明可能性ツールを用いて、GNNに対する高性能なバックドア攻撃を実現可能であることを実証すること。

提案手法

• グラフ分類タスクにおいて、トリガー注入のための最も影響力のある部分グラフを特定するためにGNNExplainerを活用する。
• ノードの局所的特徴量の重要度スコアを計算するためにGraphLIMEを適用し、ノード分類におけるトリガー注入のための重要度が低い特徴量を選択可能にする。
• 選択された部分グラフまたはノード特徴量を固定値に変更することでトリガーを注入し、悪意のない入力に対するモデルの機能を維持する。
• ランダム選択（RSA）、最も重要な特徴量（MIA）、最も重要でない特徴量（LIA）の3段階の戦略を用いて、特徴量ベースのトリガーを実装する。
• 複数のGNNアーキテクチャ（例：GIN、GraphSAGE、GAT）およびベンチマークデータセット（Cora、CiteSeer、Mutagenicity、Facebook）を用いて攻撃性能を評価する。
• 説明可能性手法を用いてトリガー配置をガイドすることで、高い攻撃成功確率を維持するとともに、正常精度の低下を最小限に抑える。

実験結果

リサーチクエスチョン

• RQ1 GNNにおけるバックドア攻撃において、トリガー注入位置の選択が攻撃成功確率および正常精度の低下に与える影響は何か？
• RQ2 GNNの説明可能性手法（例：GNNExplainerやGraphLIME）は、最適なトリガー注入位置を効果的に同定できるか？
• RQ3 重要度が低いグラフ構造や特徴量を標的とすることで、GNNにおけるバックドア攻撃の静かさ（ステルス性）は向上するか？
• RQ4 異なるGNNモデルおよびデータセットにおいて、説明可能性ガイドドのバックドア攻撃の性能はどのように比較されるか？
• RQ5 説明可能性に基づくトリガー配置は、正常モデル精度にほとんど影響を与えないまま、高い攻撃成功確率を達成できるか？

主な発見

• ノード分類タスクにおいて、重要度が低い特徴量を選択する攻撃（LIA）は、CoraおよびCiteSeerデータセットで84%を超える攻撃成功確率を達成し、正常精度の低下は2.5%未満であった。
• Coraデータセットでは、LIAが84.22%の攻撃成功確率と1.95%の正常精度低下を達成した。一方、MIAは84.11%と0.66%を記録し、重要度が低い特徴量を標的にした場合、性能低下が最小限に抑えられることを示した。
• Mutagenicityデータセットでは、GNNExplainerを用いた攻撃が、最適な部分グラフを用いて98.24%の攻撃成功確率と2.80%の正常精度低下を達成した。
• GraphLIMEを用いて最適なトリガー位置を選択する平均時間は、Coraでは0.06秒、CiteSeerでは0.09秒／ノードであり、計算上の実行可能性を示した。
• 重要度が低い特徴量（LIA）を用いた攻撃は、ランダム選択（RSA）と同等の攻撃成功確率を達成しており、静かで効果的なトリガーがランダムなものと同等に有効であることを示唆している。
• 結果から、説明可能性ガイドドのトリガー配置により、検知が困難な高パフォーマンスのバックドア攻撃が可能であることが確認された。特に、影響力が小さいグラフコンponentsを標的にすることで、その効果は顕著である。