[논문 리뷰] Adversarial Attack on Hierarchical Graph Pooling Neural Networks

Haoteng Tang, Guixiang Ma외 5명|arXiv (Cornell University)|2020. 05. 23.

Adversarial Robustness in Machine Learning참고 문헌 55인용 수 22

한 줄 요약

이 논문은 그래프 분류를 위한 계층적 그래프 풀링(Hierarchical Graph Pooling, HGP) 신경망을 대상으로 하는 최초의 적대적 공격 프레임워크를 제안한다. 풀링 연산자가 선택한 핵심 노드를 보조 모델을 사용해 변형함으로써, 잘못된 노드 유지 상태를 유도함으로써 최소한이고 눈에 띄지 않는 그래프 수정으로도 모델 성능을 심각하게 떨어뜨린다.

ABSTRACT

Recent years have witnessed the emergence and development of graph neural networks (GNNs), which have been shown as a powerful approach for graph representation learning in many tasks, such as node classification and graph classification. The research on the robustness of these models has also started to attract attentions in the machine learning field. However, most of the existing work in this area focus on the GNNs for node-level tasks, while little work has been done to study the robustness of the GNNs for the graph classification task. In this paper, we aim to explore the vulnerability of the Hierarchical Graph Pooling (HGP) Neural Networks, which are advanced GNNs that perform very well in the graph classification in terms of prediction accuracy. We propose an adversarial attack framework for this task. Specifically, we design a surrogate model that consists of convolutional and pooling operators to generate adversarial samples to fool the hierarchical GNN-based graph classification models. We set the preserved nodes by the pooling operator as our attack targets, and then we perturb the attack targets slightly to fool the pooling operator in hierarchical GNNs so that they will select the wrong nodes to preserve. We show the adversarial samples generated from multiple datasets by our surrogate model have enough transferability to attack current state-of-art graph classification models. Furthermore, we conduct the robust train on the target models and demonstrate that the retrained graph classification models are able to better defend against the attack from the adversarial samples. To the best of our knowledge, this is the first work on the adversarial attack against hierarchical GNN-based graph classification models.

연구 동기 및 목표

• 계층적 그래프 풀링(Hierarchical Graph Pooling, HGP) 신경망의 그래프 분류 작업에서의 강건성 탐구.
• 특히 HGP 기반 아키텍처에 대한 적대적 공격 연구의 부족 해결.
• 분류 작업을 방해하기 위해 그래프 풀링 메커니즘을 공격 대상으로 삼는 전이 가능한 적대적 공격 전략 개발.
• 이러한 공격에 대한 강건성 향상 여부 평가를 위한 적대적 훈련의 효과성 평가.

제안 방법

• 적대적 샘플 생성을 위한 컨볼루션 및 풀링 연산자를 갖춘 보조 모델 설계.
• 풀링 연산으로부터 유지되는 노드를 공격의 주요 대상으로 식별.
• 공격 대상에 작은, 눈에 띄지 않는 변형을 적용하여 풀링 연산자가 잘못된 노드를 선택하도록 유도.
• 구조적 변화를 최소화하면서도 오분류를 극대화하는 변형을 최적화하기 위해 탐욕적 탐색 전략 적용.
• 다양한 최신 HGP 모델에 대해 생성된 적대적 샘플의 전이성 평가.
• 기존 샘플과 적대적 샘플을 혼합하여 재학습함으로써 강건한 훈련 구현 및 내성 향상.

실험 결과

연구 질문

• RQ1 적대적 공격가 계층적 GNN의 그래프 분류 작업 성능을 효과적으로 방해할 수 있는가?
• RQ2 한 HGP 모델에서 생성된 적대적 샘플이 다른 최신 HGP 모델로 얼마나 전이 가능한가?
• RQ3 적대적 훈련이 이러한 공격에 대한 HGP 모델의 강건성 향상에 어느 정도 기여하는가?
• RQ4 변형이 커뮤니티 및 중심성 지표로 측정된 그래프의 계층적 구조에 어떤 영향을 미치는가?

주요 결과

• 제안된 공격 프레임워크는 다양한 데이터셋에서 여러 HGP 모델에 대해 높은 전이성을 갖는 적대적 샘플을 성공적으로 생성했다.
• 원본 및 적대적 샘플 간의 노드 차수 분포 간 평균 KL 발산은 낮았으며(예: DD에서 7.60e-3), 이는 최소한이고 눈에 띄지 않는 변형임을 시사한다.
• 통계적 검정(p-값 < 0.05) 결과, GRC 및 CL 지표로 측정된 그래프 계층의 구조적 차이가 유의미하게 확인되었다.
• 강건한 훈련은 적대적 테스트 세트에서 모델 정확도를 크게 향상시켰으며, 청소된 데이터에서의 성능 저하도 미미했다(예: DD 및 Mutagenicity 데이터셋에서 <5% 저하).
• 적대적 샘플은 원본 모델에서 분류 정확도에 뚜렷한 하락을 유도하여 공격의 높은 효과성을 입증했다.
• 공격는 구체적으로 풀링 메커니즘을 대상으로 하여 유지되는 노드가 어떻게 변화하는지 조작함으로써, 모델이 분류 가능한 그래프 표현을 학습하는 능력을 떨어뜨렸다.