[論文レビュー] Motif-Backdoor: Rethinking the Backdoor Attack on Graph Neural Networks via Motifs

Haibin Zheng, Haiyang Xiong+3 more|arXiv (Cornell University)|Oct 25, 2022

Advanced Graph Neural Networks被引用数 4

ひとこと要約

Motif-Backdoor は、統計的に有意な繰り返しパターン（モチーフ）をトリガーとして用いることで、グラフニューラルネットワークにおける画期的なバックドア攻撃を提案する。この手法は、モチーフ分布解析とグラフ重要度スコアリングにより、防御策が適用されても、静かで効率的な攻撃を実現し、最先端の攻撃成功率（ベースライン比最大14.73%の向上）を達成する。

ABSTRACT

Graph neural network (GNN) with a powerful representation capability has been widely applied to various areas, such as biological gene prediction, social recommendation, etc. Recent works have exposed that GNN is vulnerable to the backdoor attack, i.e., models trained with maliciously crafted training samples are easily fooled by patched samples. Most of the proposed studies launch the backdoor attack using a trigger that either is the randomly generated subgraph (e.g., erdős-rényi backdoor) for less computational burden, or the gradient-based generative subgraph (e.g., graph trojaning attack) to enable a more effective attack. However, the interpretation of how is the trigger structure and the effect of the backdoor attack related has been overlooked in the current literature. Motifs, recurrent and statistically significant sub-graphs in graphs, contain rich structure information. In this paper, we are rethinking the trigger from the perspective of motifs, and propose a motif-based backdoor attack, denoted as Motif-Backdoor. It contributes from three aspects. (i) Interpretation: it provides an in-depth explanation for backdoor effectiveness by the validity of the trigger structure from motifs, leading to some novel insights, e.g., using subgraphs that appear less frequently in the graph as the trigger can achieve better attack performance. (ii) Effectiveness: Motif-Backdoor reaches the state-of-the-art (SOTA) attack performance in both black-box and defensive scenarios. (iii) Efficiency: based on the graph motif distribution, Motif-Backdoor can quickly obtain an effective trigger structure without target model feedback or subgraph model generation. Extensive experimental results show that Motif-Backdoor realizes the SOTA performance on three popular models and four public datasets compared with five baselines.

研究の動機と目的

• トリガーの構造的役割を分析することで、既存の GNN バックドア攻撃における解釈可能性の欠如を解消すること。
• 希少だが意味のあるモチーフパターンを選択することで、攻撃の効果を向上させること。
• モデルフィードバックや部分グラフ生成を必要とせず、モチーフ分布を活用することで、効率を高めること。
• 防御機構が適用されても高い攻撃成功率を維持できることを示し、強固な防御の必要性を強調すること。
• バックドア脆弱性の理解を深めるために、トリガー構造と挿入位置に関する知見を提供すること。

提案手法

• 訓練データ内に繰り返し現れる統計的に有意な部分グラフ（モチーフ）を特定し、それらを潜在的なトリガーとして利用する。
• グラフ重要度インデックスを用いて、関連性の低いノードを除外し、構造的に重要な領域に焦点を当てる。
• 候補となる部分グラフが効果的なトリガーとしての可能性を評価するためのサブグラフスコアを定義する。
• サブグラフスコアによって特定された最も影響力のある位置にトリガーを挿入することで、攻撃成功率を高めつつグラフ構造を保持する。
• 反復的最適化や勾配ベースの生成を避けており、代わりにモチーフ頻度と分布解析に依存することで、効率性を確保する。
• 信頼度スコアをターゲットモデルから得て、シャロウモデルを構築することでトリガー選択を支援するが、これにより検出リスクが上昇する。

実験結果

リサーチクエスチョン

• RQ1 モチーフ構造は、GNN におけるバックドア攻撃の効果にどのように影響するか？
• RQ2 構造的特徴が顕著な希少モチーフが、なぜより効果的なトリガーとなるのか？
• RQ3 トリガー挿入位置の選択が、攻撃の静かさと成功率に与える影響は何か？
• RQ4 標準的および防御的環境下で、Motif-Backdoor は既存のバックドア攻撃をどの程度上回るか？
• RQ5 リンク削除や構造的変更を標的とする防御に対しても、モチーフベースのトリガーは高い性能を維持できるか？

主な発見

• Motif-Backdoor は、3つの GNN モデルと4つの公開データセットにおいて、最先端の攻撃成功率を達成し、5つのベースラインと比較して平均攻撃成功率が14.73%向上した。
• 攻撃がリンク削除を標的とする防御機構に対しても有効である。トリガー構造は部分的な変更後も機能し続けるため、攻撃が持続する。
• フィルターノード数（k）の変動に対しても攻撃成功率が安定しており、GCN を用いた NCI1 では97%以上の成功率を示した。
• 汚染率（p）が高くなるほど攻撃成功率が向上し、p = 0.1 でピークに達する。これは、効果性と静かさのバランスを取る上で最適である。
• 可視化結果から、健全なグラフの構造的変更が最小限に抑えられており、わずか数本のリンクの変更に留まっている。これは、非常に高い静かさを示している。
• 本手法は、頻度が低いモチーフに基づくトリガーが、より優れた攻撃性能を示すことを示しており、バックドアメカニズムに関する新たな解釈的知見を提供している。