[논문 리뷰] BinarizedAttack: Structural Poisoning Attacks to Graph-based Anomaly Detection

Yulin Zhu, Yuni Lai외 5명|arXiv (Cornell University)|2021. 06. 18.

Advanced Graph Neural Networks인용 수 8

한 줄 요약

이 논문은 그래프 기반 이상 탐지(GAD) 시스템인 OddBall과 같은 대상으로 하여 구조적 풀기 공격을 위한 새로운 기울기 기반 공격 기법인 BinarizedAttack을 제안한다. 공격를 이중 최적화 문제로 공식화하고 이산 기울기 강하를 활용하여 그래프 구조를 효율적으로 조작함으로써 타겟 노드의 이상도 점수를 낮추며, 제한된 예산 조건에서도 높은 회피율을 달성하고 다른 GAD 모델로의 전이성도 입증한다.

ABSTRACT

Graph-based Anomaly Detection (GAD) is becoming prevalent due to the powerful representation abilities of graphs as well as recent advances in graph mining techniques. These GAD tools, however, expose a new attacking surface, ironically due to their unique advantage of being able to exploit the relations among data. That is, attackers now can manipulate those relations (i.e., the structure of the graph) to allow some target nodes to evade detection. In this paper, we exploit this vulnerability by designing a new type of targeted structural poisoning attacks to a representative regression-based GAD system termed OddBall. Specially, we formulate the attack against OddBall as a bi-level optimization problem, where the key technical challenge is to efficiently solve the problem in a discrete domain. We propose a novel attack method termed BinarizedAttack based on gradient descent. Comparing to prior arts, BinarizedAttack can better use the gradient information, making it particularly suitable for solving combinatorial optimization problems. Furthermore, we investigate the attack transferability of BinarizedAttack by employing it to attack other representation-learning-based GAD systems. Our comprehensive experiments demonstrate that BinarizedAttack is very effective in enabling target nodes to evade graph-based anomaly detection tools with limited attackers' budget, and in the black-box transfer attack setting, BinarizedAttack is also tested effective and in particular, can significantly change the node embeddings learned by the GAD systems. Our research thus opens the door to studying a new type of attack against security analytic tools that rely on graph data.

연구 동기 및 목표

• 그래프 기반 이상 탐지(GAD) 시스템이 그래프 구조를 조작하는 구조적 풀기 공격에 얼마나 취약한지 조사한다.
• OddBall과 같은 회귀 기반 GAD 시스템을 회피할 수 있는 효율적인 공격 방법을 설계한다. 이는 그래프 구조를 변경하여 달성한다.
• 다양한 표현 학습 기반 GAD 모델 간 공격의 전이성을 블랙박스 환경에서 평가한다.
• 공격이 최종 이상 탐지 분류 작업에서 학습된 노드 임베딩과 결정 경계에 미치는 영향을 분석한다.
• 이러한 구조적 공격에 대비한 방어 기법을 탐색하지만, 방어는 향후 연구 과제로 남긴다.

제안 방법

• OddBall 대상으로 구조적 풀기 공격를 이중 최적화 문제로 공식화하여, 공격자가 타겟 노드의 이상도 점수를 최소화하도록 그래프 구조를 수정한다.
• 이산 조합 최적화에 특화된 기울기 강하 기반 방법인 BinarizedAttack을 제안하여 가능한 그래프 편집 공간에서 효율적인 탐색을 가능하게 한다.
• 이산적인 간선 추가/제거를 근사하기 위해 미분 가능 리프레젠테이션과 이진 리프레젠테이션 기법을 사용하며, 기울기 정보를 활용한다.
• 이중 최적화 절차를 적용: 내부 루프는 훼손된 특성에서 회귀 모델을 최적화하고, 외부 루프는 기울기를 이용해 그래프 구조를 업데이트한다.
• 블랙박스 환경에서 GAL, ReFeX 등의 다른 GAD 시스템에 공격를 적용하여 전이성 평가를 수행한다.
• t-SNE를 활용한 노드 임베딩 시각화를 통해 BinarizedAttack이 이상 노드와 정상 노드 간 선형 분리 가능성을 어떻게 무너뜨리는지 확인한다.

Figure 1 : Illustration of the structural attack to $\mathsf{OddBall}$ : $\mathsf{OddBall}$ extracts features from the graph structure, using regression-based approaches to compute the anomaly scores of nodes; structural attacks then poison the graph structure, equivalently manipulating the extracte

실험 결과

연구 질문

• RQ1 공격자가 오직 그래프 구조만 조작하여 그래프 기반 이상 탐지 시스템에서 탐지 회피를 얼마나 효과적으로 달성할 수 있는가?
• RQ2 제한된 예산 조건 하에서 BinarizedAttack이 타겟 노드의 이상도 점수를 얼마나 효과적으로 낮출 수 있는가?
• RQ3 공격자가 다른 표현 학습 기반 GAD 시스템의 아키텍처를 사전에 알지 못하더라도 성공적으로 전이될 수 있는가?
• RQ4 BinarizedAttack이 최종 분류 작업에서 학습된 노드 임베딩의 품질과 분리 가능성에 어떤 영향을 미치는가?
• RQ5 기존의 강건한 회귀 방법(Huber, RANSAC)이 이러한 구조적 공격에 대해 얼마나 방어적일 수 있는가?

주요 결과

• BinarizedAttack은 Bitcoin-Alpha 데이터셋에서 B=50개의 편집만으로도 OddBall에서 타겟 노드의 이상도 점수를 25.69% 감소시켜 δB를 달성한다.
• Wikivote 데이터셋에서는 B=100개의 편집으로 이상도 점수를 56.37% 감소시켜, 제한된 공격 예산 조건에서도 매우 효과적인 것으로 나타났다.
• 공격는 강력한 전이성을 보였다: GAL 및 ReFeX 모델에 적용했을 때 Wikivote에서 AUC는 최대 26.00% 감소하고 F1은 최대 41.40% 감소하여 학습된 표현이 손상됨을 시사한다.
• t-SNE 시각화 결과, BinarizedAttack이 이상 노드를 정상 노드 클러스터에 효과적으로 혼합하여 임베딩 공간에서의 선형 결정 경계를 파괴함을 확인하였다.
• 강건한 회귀 방어 기법(Huber, RANSAC)은 공격를 약간만 완화할 뿐, 이상도 점수 감소에 유의미한 개선을 보이지 않아, 저항력이 떨어지는 것으로 나타났다.
• 공격는 블랙박스 환경에서도 매우 효과적이었으며, 모델 아키텍처 지식이 없이도 구조적 조작을 통해 효과적으로 탐지 회피가 가능함을 시사한다. 이는 현재 GAD 시스템이 구조적 변조에 취약함을 시사한다.

(a) Anomalous patterns