[論文レビュー] Node Injection Attacks on Graphs via Reinforcement Learning

Yiwei Sun, Suhang Wang+3 more|arXiv (Cornell University)|Sep 14, 2019

Adversarial Robustness in Machine Learning参考文献 27被引用数 31

ひとこと要約

本稿では、グラフにおける非標的ノードインジェクション攻撃のための強化学習ベースのフレームワークNIPAを提案する。攻撃者は最適化された特徴量と接続を備えた敵対的ノードを戦略的にインジェクションし、ノード分類性能を低下させる。階層的ディープQネットワークを用いることで、NIPAは既存の最先端手法を上回り、グラフ構造統計を保持したままグラフ分類器を汚染する。

ABSTRACT

Real-world graph applications, such as advertisements and product recommendations make profits based on accurately classify the label of the nodes. However, in such scenarios, there are high incentives for the adversaries to attack such graph to reduce the node classification performance. Previous work on graph adversarial attacks focus on modifying existing graph structures, which is infeasible in most real-world applications. In contrast, it is more practical to inject adversarial nodes into existing graphs, which can also potentially reduce the performance of the classifier. In this paper, we study the novel node injection poisoning attacks problem which aims to poison the graph. We describe a reinforcement learning based method, namely NIPA, to sequentially modify the adversarial information of the injected nodes. We report the results of experiments using several benchmark data sets that show the superior performance of the proposed method NIPA, relative to the existing state-of-the-art methods.

研究の動機と目的

• 現実世界のシステムでは既存エッジの変更がしばしば不可能であるため、既存エッジの変更に依存しないグラフ敵対的攻撃におけるギャップを埋める。
• 元のグラフ構造を変更せずに、敵対的特徴量とラベルを備えた偽ノードをインジェクションする実用的な攻撃戦略を開発する。
• スケーラブルで効果的な非標的グラフ汚染手法を設計し、主要なグラフ統計を維持することで隠れやすさを確保する。
• インジェクション比、ノード次数、グラフスパarsityなどの攻撃パラメータが攻撃効果に与える影響を調査する。

提案手法

• NIPAは、攻撃をマークフ・決定過程としてモデル化するため、階層的ディープQネットワーク（HQN）を用いる。これにより、ノードインジェクションのための逐次的意思決定が可能になる。
• 攻撃成功度の低さと構造的偏差の高さをペナルティとするカスタム報酬関数を用いて、インジェクションノードの特徴量とリンク構造を同時に最適化する。
• 二段階の訓練プロセスを採用する：第一段階では、エージェントがインジェクションノードを既存ノードに接続する方法を学習する。第二段階では、誤分類を最大化するために敵対的ラベルを割り当てる方法を学習する。
• 報酬関数は、攻撃効果（正答率の低下）と隠れやすさ（元のグラフと類似したグラフ統計）のバランスを取るように設計されている。
• グラフ統計量として、パワー則指数、ジニ係数、三角形数を用いて、汚染グラフの構造的整合性を評価する。
• GCNおよびGAT分類器を用いて、CORA、CITESEER、PubMedのベンチマークデータセット上で、攻撃予算とグラフスパarsityの変動を考慮して評価する。

実験結果

リサーチクエスチョン

• RQ1 NIPAは、既存エッジの変更なしにノードインジェクションによりノード分類精度をどれほど低下させることができるか？
• RQ2 汚染されたグラフは、元のクリーングラフの構造的性質（例：次数分布、三角形数）をどの程度保持しているか？
• RQ3 インジェクション比やインジェクションノードの平均次数といった攻撃パラメータが攻撃性能に与える影響はいかほどか？
• RQ4 グラフスパarsityはノードインジェクション攻撃の効果にどのように影響するか？

主な発見

• インジェクション比 r=0.1 のCORAでは、NIPAがノード分類精度を 0.6035 ± 0.0003 まで低下させ、クリーングラフのベースライン 0.9263 ± 0.0010 に対して顕著な低下を示した。
• r=0.1 のPubMedでは、NIPAが平均F1スコア 2.1686 ± 0.0141 を達成し、既存手法を上回る攻撃効果性を示した。
• 汚染グラフはクリーングラフと高い構造的類似性を維持しており、パワー則指数とジニ係数が元の値に近く、隠れやすさが裏付けられた。
• インジェクションノードの平均次数が3から10に増加するにつれ、ノード分類精度が急激に低下し、攻撃成功における接続性の重要性が確認された。
• スパースなグラフでは、NIPAの攻撃効果が向上し、エッジ除去率が90%に達するほど、周辺部の耐性が低下した結果、正答率の低下が顕著に見られた。
• インジェクション比が高くなるにつれ、汚染グラフ内の三角形数が増加し、NIPAが影響を拡大させるために意図的に接続された部分グラフを形成していることが示された。