[논문 리뷰] Adversarial Attacks on Node Embeddings via Graph Poisoning

Aleksandar Bojchevski, Stephan Günnemann|arXiv (Cornell University)|2018. 09. 04.

Adversarial Robustness in Machine Learning참고 문헌 50인용 수 97

한 줄 요약

이 논문은 무감독 노드 임베딩(랜덤 워크 기반)의 적대적 그래프 섭동에 대한 강건성을 분석하고 임베딩 품질을 저하시켜 모델 간 전이성을 갖는 효율적인 오염 공격을 제안한다.

ABSTRACT

The goal of network representation learning is to learn low-dimensional node embeddings that capture the graph structure and are useful for solving downstream tasks. However, despite the proliferation of such methods, there is currently no study of their robustness to adversarial attacks. We provide the first adversarial vulnerability analysis on the widely used family of methods based on random walks. We derive efficient adversarial perturbations that poison the network structure and have a negative effect on both the quality of the embeddings and the downstream tasks. We further show that our attacks are transferable since they generalize to many models and are successful even when the attacker is restricted.

연구 동기 및 목표

• 특히 DeepWalk 스타일의 RW 기반 무감독 노드 임베딩이 적대적 그래프 섭동에 취약한 정도를 평가한다.
• 특징 없이 그래프 구조(에지)에서 작동하는 효율적인 독성 공격 알고리즘을 고정 예산 하에 개발한다.
• 스펙트럼 기반 임베딩으로 확장하고 공격의 모델 간 전이 가능성을 평가한다.
• 제약된 공격 설정에서 타깃 공격(노드 분류 및 링크 예측)을 탐색한다.

제안 방법

• 예산 하에서 인접 행렬을 섭동하여 임베딩 손실을 최대화하는 이중 최적화 공격을 수립하고, 공격 후 임베딩을 재계산한다.
• PMI 기반 해석을 활용하여 DeepWalk가 동시출현 행렬의 랭크-K 근사에 대응함을 보이고, 단일 수준 최적화를 가능하게 한다.
• 고유값 섭동 이론을 사용하여 전체 SVD 재계산 없이 손실 변화를 근사한다(정리 1).
• 희소하고 닫힌 형태의 근사(정리 2)를 제공하여 단일 간선 뒤집음 후 스펙트럼의 변화를 상한하고 빠른 평가를 가능하게 한다.
• 대리 손실(L_DW3)을 최대화하기 위해 후보 에지 플립 집합에서 탐욕적 선택을 수행하며 복잡도는 O(|V|·|E| + C|V| log|V|)이다.
• 목표 임베딩을 근사화하여 표적 공격으로 확장하고(정리 3), 노드 분류의 오분류 확률 또는 링크 예측의 AP 점수를 평가한다.

실험 결과

연구 질문

• RQ1 무감독 노드 임베딩이 random walks를 기반으로 그래프 구조를 섭동할 때 의미 있게 공격당할 수 있는가?
• RQ2 그래프에서 샘플링을 통한 그래디언트 역전파 없이 이산 그래프 도메인에서 효율적으로 적대적 에지 플립을 계산할 수 있는 방법은 무엇인가?
• RQ3 포이징 공격이 서로 다른 임베딩 모델 간에 전이되어 공격 제한 하에서도 효과를 유지하는가?
• RQ4 타깃 공격이 노드 분류 및 링크 예측과 같은 다운스트림 작업에 어떤 영향을 미치는가?

주요 결과

• 에지의 적대적 섭동은 임베딩 품질과 다운스트림 작업 성능을 baselines 대비 크게 저하시킬 수 있다.
• 닫힌 형식의 기울기 없는 공격(A_DW3)이 기울기 기반 접근법보다 우수하고 실제 손실 변화와 근접하게 일치한다.
• 제한된 예산 하에서도 공격이 효과적이며, 타깃 노드나 후보 에지가 제한된 경우에도 여전히 효과적이다.
• 타깃 공격은 고차 노드의 오분류를 일으키고 링크 예측 성능을 저하시킬 수 있으며 다운스트림 지표에 상당한 영향을 준다.
• 공격은 여러 RW 기반 및 스펙트럼 임베딩 접근법 간에 전이 가능성을 보이며 더 넓은 취약성을 시사한다.
• 우리 분석은 적대적 에지가 단순 중심성 휴리스틱으로 쉽게 특성화되지 않으며, 효과적인 공격은 원리 있는 스펙트럼 기반 섭동을 포함한다.