[論文レビュー] GraphSAC: Detecting anomalies in large-scale graphs

Vassilis N. Ioannidis, Dimitris Berberidis+1 more|arXiv (Cornell University)|Oct 21, 2019

Complex Network Analysis Techniques参考文献 29被引用数 22

ひとこと要約

GraphSAC は、ノード属性とリンクが敵対的攻撃を受ける可能性がある大規模な属性付きグラフに対して、スケーラブルでサンプリングベースの異常検出フレームワークであり、半教師あり学習（SSL）を用いて正規クラス分布を推定する前に、グラフに適したコンセンサスを用いて汚染されたノードサブセットをフィルタリングする。グローバル属性やリンクに依存を最小限に抑え、異常検出に高い耐性を示し、ランダムウォークベース、クラスタ型、敵対的異常を線形1回あたりの計算量で効率的に検出でき、理論的保証も有する。

ABSTRACT

A graph-based sampling and consensus (GraphSAC) approach is introduced to effectively detect anomalous nodes in large-scale graphs. Existing approaches rely on connectivity and attributes of all nodes to assign an anomaly score per node. However, nodal attributes and network links might be compromised by adversaries, rendering these holistic approaches vulnerable. Alleviating this limitation, GraphSAC randomly draws subsets of nodes, and relies on graph-aware criteria to judiciously filter out sets contaminated by anomalous nodes, before employing a semi-supervised learning (SSL) module to estimate nominal label distributions per node. These learned nominal distributions are minimally affected by the anomalous nodes, and hence can be directly adopted for anomaly detection. Rigorous analysis provides performance guarantees for GraphSAC, by bounding the required number of draws. The per-draw complexity grows linearly with the number of edges, which implies efficient SSL, while draws can be run in parallel, thereby ensuring scalability to large graphs. GraphSAC is tested under different anomaly generation models based on random walks, clustered anomalies, as well as contemporary adversarial attacks for graph data. Experiments with real-world graphs showcase the advantage of GraphSAC relative to state-of-the-art alternatives.

研究の動機と目的

• 既存のグラフ異常検出手法がグローバルなノード属性と接続に依存しているため、敵対的攻撃によって影響を受ける脆弱性を解消すること。
• 敵対的状況下でもスケーラブルで効率的かつ耐性のある、大規模な属性付きグラフにおける異常検出手法を開発すること。
• コンセンサスに基づくサンプリング戦略により、異常ノードの影響を最小限に抑えたノードごとの正規クラス分布を推定すること。
• 信頼できる異常検出に必要な描画回数の理論的境界を確立すること。
• 実世界のグラフにおいて、クラスタ型や敵対的攻撃を含む多様な異常モデル下で、優れた検出性能を示すこと。

提案手法

• GraphSAC は、グローバル情報が汚染される可能性があるのを避けるために、グラフからノードのサブセットをランダムにサンプリングする。
• 異常ノードを含むサブセットを除外するため、グラフに適したフィルタリング基準を適用し、学習に使用するサブセットを「クリーン」なものに保つ。
• 各フィルタリング済みサブセットに、半教師あり学習（SSL）モジュールを適用し、ノードごとの正規クラス分布を推定する。
• 異常ノードは SSL タスクで予測性能が著しく劣るという原理を活用し、それらを同定する。
• 集中不等式を用いて、必要な描画回数の理論的上限を導出し、高い確率で収束を保証する。
• 描画処理は計算的に効率的（辺の数に比例）であり、並列化可能であるため、大規模グラフへのスケーラビリティを実現する。

実験結果

リサーチクエスチョン

• RQ1 ノード属性とリンクが敵対的攻撃を受ける状況下でも、サンプリングベースのアプローチが大規模な属性付きグラフにおける異常検出に有効に機能するか。
• RQ2 サンプリングされたサブセットに対するグラフに適したフィルタリングが、異常検出における半教師あり学習の耐性をどのように向上させるか。
• RQ3 敵対的汚染が存在する状況下で、信頼できる異常検出に必要なランダム描画回数の理論的境界をどのように確立できるか。
• RQ4 ランダムウォークやクラスタ型異常を含む多様な異常生成モデル下で、GraphSAC は最先端手法に比べてどのように性能を発揮するか。
• RQ5 グラフデータを標的とする攻撃に対して、GraphSAC は性能と効率をどの程度維持できるか。

主な発見

• GraphSAC はベンチマークグラフで最先端の AUC スコアを達成し、クラスタ型異常検出において Citeseer で 0.88、Cora で 0.97 の AUC を記録。GAE（0.50 と 0.58）や AMEN（0.10 と 0.48）といったベースラインを大きく上回った。
• ランダムウォークベースの異常検出では、異常ノード数が増加しても GraphSAC は高い AUC（例：Citeseer で約 0.90）を維持するが、競合手法の性能は劣化した。
• GraphSAC は競合手法に比べて著しく高速であり、大規模グラフでは実行時間のオーダーが桁違いに優れていた。これは、1回あたりの描画が線形計算量であり、並列化可能であるため。
• 汚染されたサンプルに最大 83 個の異常ノードが含まれても、誤分類されたサンプル内の最大異常ノード数 Kₘ が全数に比べて著しく低いことから、全体の AUC が維持された。
• コンセンサス閾値 T やイテレーション数 I の異なる値に対しても、GraphSAC の性能は安定しており、ハイパーパramータ設定に対して低感度であることが示された。
• 理論的分析により、GraphSAC が収束を保証する有限の描画回数で信頼できる異常検出が可能であることが確認された。