[論文レビュー] Scalable Attack on Graph Data by Injecting Vicious Nodes

Jihong Wang, Minnan Luo+4 more|arXiv (Cornell University)|Apr 22, 2020

Advanced Graph Neural Networks参考文献 27被引用数 4

ひとこと要約

本稿では、グラフ畳み込みネットワーク（GCNs）の分類精度を著しく低下させるために、悪意あるノードをグラフデータに挿入するスケーラブルな攻撃手法AFGSMを提案する。モデル勾配を近似することで高速かつ閉形式の更新が可能となり、従来の手法と比べて桁違いの高速化を達成する。これは、エッジのみ、または間接的な摂動といった現実的な制約下でも有効である。

ABSTRACT

Recent studies have shown that graph convolution networks (GCNs) are vulnerable to carefully designed attacks, which aim to cause misclassification of a specific node on the graph with unnoticeable perturbations. However, a vast majority of existing works cannot handle large-scale graphs because of their high time complexity. Additionally, existing works mainly focus on manipulating existing nodes on the graph, while in practice, attackers usually do not have the privilege to modify information of existing nodes. In this paper, we develop a more scalable framework named Approximate Fast Gradient Sign Method (AFGSM) which considers a more practical attack scenario where adversaries can only inject new vicious nodes to the graph while having no control over the original graph. Methodologically, we provide an approximation strategy to linearize the model we attack and then derive an approximate closed-from solution with a lower time cost. To have a fair comparison with existing attack methods that manipulate the original graph, we adapt them to the new attack scenario by injecting vicious nodes. Empirical experimental results show that our proposed attack method can significantly reduce the classification accuracy of GCNs and is much faster than existing methods without jeopardizing the attack performance.

研究の動機と目的

• 大規模グラフにおいて計算的に非現実的である既存のGCN攻撃手法のスケーラビリティの制限を解消すること。
• 既存のノードを変更できるのではなく、新規ノードを挿入するという制限がある攻撃シナリオをより現実的にモデル化すること。
• 元のグラフ構造に対する制御が限定されている中でも、高い有効性を維持する高速かつ近似された攻撃手法を開発すること。
• エッジのみ、またはターゲットノードへの間接的接続といった実用的制約下での攻撃の頑健性を評価すること。

提案手法

• 勾配近似を用いてGCNモデルを線形化し、挿入された悪意あるノードに対する閉形式更新を可能にする、近似高速勾配符号法（AFGSM）を提案する。
• 反復的最適化を回避する低複雑度の近似戦略を導入し、時間コストを著しく削減しながらも攻撃の質を維持する。
• 既存の攻撃手法（例：Nettack、FGSM）を、ノード挿入のみを許容する新しいシナリオに適応する。悪意ある特徴とエッジを用いてノードを挿入する。
• 再訓練された摂動付きグラフに対しても攻撃が成功するように、二段階最適化フレームワークを採用する。
• エッジのみの摂動や、ターゲットノードへの間接的接続といった制限付き設定をサポートし、現実世界のアクセス制限を模擬する。
• 制約に基づく最適化（式7）を用いて、摂動が見えにくく保ちつつ、ターゲットノードの誤分類を最大化する。

実験結果

リサーチクエスチョン

• RQ1 攻撃者が既存ノードを変更できるのではなく、新規ノードを挿入する制限がある場合でも、GCNに対する悪意ある攻撃は有効に保たれるか？
• RQ2 大規模グラフ環境下で、提案手法AFGSMは既存手法と比べて攻撃の有効性と効率性においてどのように差をつけるか？
• RQ3 エッジのみ、または間接的な摂動といった実用的制約下で、攻撃性能はどの程度低下するか？
• RQ4 挿入ノードの特徴を自由に設計できる能力は、元のノードに対する制御の欠如を補うのに十分か？

主な発見

• AFGSMはCoraでは0.216 ± 0.013、Redditでは0.572 ± 0.027までGCNの分類精度を低下させ、FGSM や Nettack といったベースラインを著しく上回る。
• 大規模グラフ上では、従来手法と比べて10倍から100倍の高速化を達成し、ランタイムのスケーリングが二次関数的以上ではなく、部分線形に近い。
• エッジのみの摂動下でも、AFGSMは強力な攻撃性能を維持する（例：Coraでは0.604 ± 0.034）。これは特徴操作制限に対する頑健性を示している。
• 直接接続がない間接的攻撃は効果がやや低いが、依然として成功しており、Coraでは0.648 ± 0.030まで精度が低下する。これは直接リンクの重要性を強調している。
• AFGSM-ada（適応型バージョン）は、すべてのデータセットで最良の攻撃性能を達成し、Coraでは0.216 ± 0.013の誤差率を記録し、すべてのベースラインを上回る。
• 挿入ノードの特徴がランダムに選択されても攻撃は依然として有効であるため、エッジ構造が新しい攻撃シナリオにおいて主導的役割を果たしていることが示唆される。