[論文レビュー] Link Prediction Adversarial Attack

Jinyin Chen, Ziqiang Shi+3 more|arXiv (Cornell University)|Oct 2, 2018

Advanced Graph Neural Networks参考文献 37被引用数 23

ひとこと要約

この論文は、リンク予測に対する敵対的攻撃のための最初の形式的定義とフレームワークを提示し、訓練済みのグラフオートエンコーダー（GAE）における勾配最適化に基づく反復的勾配攻撃（IGA）を提案する。IGAは、わずかなリンクの摂動のみで、深層学習ベースの（例：GAE、DeepWalk、node2vec）および古典的な類似度ベースのリンク予測手法を効果的にだますことができ、GAEでは60％を超える成功確率を達成し、最小限の摂動でLocal Random Walkなどの手法では100％に達する。

ABSTRACT

Deep neural network has shown remarkable performance in solving computer vision and some graph evolved tasks, such as node classification and link prediction. However, the vulnerability of deep model has also been revealed by carefully designed adversarial examples generated by various adversarial attack methods. With the wider application of deep model in complex network analysis, in this paper we define and formulate the link prediction adversarial attack problem and put forward a novel iterative gradient attack (IGA) based on the gradient information in trained graph auto-encoder (GAE). To our best knowledge, it is the first time link prediction adversarial attack problem is defined and attack method is brought up. Not surprisingly, GAE was easily fooled by adversarial network with only a few links perturbed on the clean network. By conducting comprehensive experiments on different real-world data sets, we can conclude that most deep model based and other state-of-art link prediction algorithms cannot escape the adversarial attack just like GAE. We can benefit the attack as an efficient privacy protection tool from link prediction unknown violation, on the other hand, link prediction attack can be a robustness evaluation metric for current link prediction algorithm in attack defensibility.

研究の動機と目的

• リンク予測に対する敵対的攻撃問題を定義・形式化すること。これは、以前に体系的・系統的に研究されていなかった。
• モデルの勾配を活用して効果的な敵対的摂動を生成する勾配ベースの攻撃手法（IGA）を開発すること。
• 深層学習モデルおよび古典的な類似度ベースの手法を含む、さまざまなリンク予測モデルの敵対的攻撃に対する耐性を評価すること。
• 敵対的攻撃の二重的利点を検討すること：プライバシー保護ツールとしての役割と、リンク予測アルゴリズムの耐性評価指標としての役割。

提案手法

• 入力グラフに対する損失関数の勾配を用いて、反復的に隣接行列を更新することで敵対的摂動を計算する反復的勾配攻撃（IGA）を提案する。
• リンク予測のターゲットモデルとしてグラフオートエンコーダー（GAE）を訓練し、その学習済みのノード表現を用いて攻撃生成のための勾配を計算する。
• 攻撃者がモデルのパラメータおよび勾配に完全にアクセス可能なホワイトボックス設定でIGAを適用し、リンク摂動を最適化する。
• 複数の実世界ネットワーク（NS、Facebook、Yeast）において、勾配攻撃（GA）、DICE、およびランダム摂動（RAND）といったベースライン攻撃手法とIGAを比較する。
• 攻撃範囲の影響を調査するために、単一ノードまたは無制限ノードの変更に制限を設ける。
• 異なるリンク予測手法およびネットワークタイプにおける攻撃効果を可視化し、性能のトレンドを分析する。

実験結果

リサーチクエスチョン

• RQ1 特にGAEのような深層学習ベースのモデルは、グラフ構造に対する敵対的摂動によって効果的に攻撃可能であるか？
• RQ2 提案されたIGAは、DICE や GA などの既存の攻撃手法と比較して、多様なリンク予測アルゴリズムにおいてどのように性能を発揮するか？
• RQ3 摂動サイズおよびターゲットノードの次数が攻撃成功確率に与える影響は何か？
• RQ4 制約が厳しいにもかかわらず、なぜ単一ノード攻撃が無制限ノード攻撃を上回るのか？
• RQ5 古典的な類似度ベースのリンク予測手法（例：Local Random Walk）は、深層学習モデルと比較して敵対的攻撃に対してどれほど耐性があるか？

主な発見

• IGAはGAEで60％の攻撃成功確率を達成し、GA や DICE より顕著に優れている。特に摂動が少ない状況で顕著である。
• Yeastネットワークにおいて、Local Random Walk手法に対してIGAはわずか3〜4つのリンクを変更するだけで100％の攻撃成功を達成し、類似度ベースの手法の高い脆弱性を示している。
• 単一ノード攻撃は無制限ノード攻撃を上回り、NSデータセットのDeepWalk や node2vec ではほぼ100％の成功を達成しており、集中した摂動がより効果的であることを示している。
• 次数が低いリンク（2〜3）に対しては、YeastでIGAが3つのリンクを変更するだけで33.93％の攻撃成功確率を達成しており、低次数ノードの脆弱性が顕著である。
• NSおよびYeastネットワークにおける深層学習モデル（GAE、DeepWalk、node2vec）において、IGAの成功確率はGA や DICE よりも一貫して高く、特に摂動率が50％未満の状況で顕著である。
• 密集したFacebookネットワークでは、摂動率が50％を超えるとDICEがIGAを上回る。これは、大規模で密集したグラフでは長距離リンクの追加がより効果的になる傾向があることを示唆している。