[논문 리뷰] Black-box Node Injection Attack for Graph Neural Networks

Mingxuan Ju, Yujie Fan외 2명|arXiv (Cornell University)|2022. 02. 18.

Adversarial Robustness in Machine Learning인용 수 5

한 줄 요약

이 논문은 그래프 신경망에 대한 블랙박스 노드 주입 공격 프레임워크인 GA2C를 제안한다. 이는 공격를 마르코프 결정 과정으로 공식화하고, 그래프 강화학습을 사용하여 실재성 있는 적대적 노드와 최적의 간선을 생성한다. 최소한의 모델 접근을 통해 벤치마크 데이터셋에서 최신 기술 수준의 공격 성공률을 달성하며, 엄격한 블랙박스 제약 조건 하에서 이전의 화이트박스 및 GRAY박스 방법들을 능가한다.

ABSTRACT

Graph Neural Networks (GNNs) have drawn significant attentions over the years and been broadly applied to vital fields that require high security standard such as product recommendation and traffic forecasting. Under such scenarios, exploiting GNN's vulnerabilities and further downgrade its classification performance become highly incentive for adversaries. Previous attackers mainly focus on structural perturbations of existing graphs. Although they deliver promising results, the actual implementation needs capability of manipulating the graph connectivity, which is impractical in some circumstances. In this work, we study the possibility of injecting nodes to evade the victim GNN model, and unlike previous related works with white-box setting, we significantly restrict the amount of accessible knowledge and explore the black-box setting. Specifically, we model the node injection attack as a Markov decision process and propose GA2C, a graph reinforcement learning framework in the fashion of advantage actor critic, to generate realistic features for injected nodes and seamlessly merge them into the original graph following the same topology characteristics. Through our extensive experiments on multiple acknowledged benchmark datasets, we demonstrate the superior performance of our proposed GA2C over existing state-of-the-art methods. The data and source code are publicly accessible at: https://github.com/jumxglhf/GA2C.

연구 동기 및 목표

• 기존 그래프 적대적 공격가 존재하는 그래프 구조를 수정하는 데서 비현실적인 실용적 제약를 해결하기 위해, 기존 구조를 수정하는 데서 자유로운 공격 방식을 제안한다.
• 모델 기울기나 레이블에 접근할 수 없는, 더 현실적인 블랙박스 환경에서의 노드 주입 공격를 조사한다.
• 감지하기 어려운 실재성 있는 노드 특징과 최적의 간선 연결을 생성할 수 있는 강화학습 기반 프레임워크를 개발한다.
• 노드 주입 수, 노드당 간선 수, 노드당 특징 수 등 다양한 공격 예산 하에서의 공격 효율성과 내성에 대해 평가한다.

제안 방법

• 노드 주입 공격를 마르코프 결정 과정(MDP)으로 공식화하고, 노드 생성 단계와 간선 연결 단계로 분리한다.
• Gumbel-Softmax 기반의 노드 생성기로, 미분 가능하게 이산적이고 실재성 있는 특징을 갖는 적대적 노드를 생성한다.
• 기존 노드와의 간선 연결을 위해 학습 가능한 조건부 확률 분포를 사용한다.
• 공격 성공률을 극대화하도록 유도하는 커스터마이즈된 보상 함수를 설계한다. 예를 들어, 타겟 노드의 예측을 뒤집는 것을 목표로 한다.
• 공격 성공률을 극대화하기 위해, 피해자 GNN 모델에 대한 쿼리 접근만을 사용하여 A2C 강화학습 알고리즘을 기반으로 GA2C 프레임워크를 훈련한다.
• 기존 그래프의 위상적 특성을 유지하면서 생성된 적대적 노드를 원본 그래프에 원활하게 통합한다.

실험 결과

연구 질문

• RQ1 모델 기울기나 레이블에 접근할 수 없고, 오직 인접 행렬과 특징 행렬만 제공되는 조건에서, 블랙박스 노드 주입 공격가 효과적일 수 있는가?
• RQ2 제안된 GA2C 프레임워크는 기존 화이트박스 및 GRAY박스 노드 주입 공격와 비교해 공격 성공률과 실용성 측면에서 어떻게 성능을 내는가?
• RQ3 노드 주입 수, 노드당 간선 수, 노드당 특징 수 등 다양한 공격 예산이 공격 성능에 미치는 영향은 어떠한가?
• RQ4 GA2C의 강화학습 기반 접근 방식은 제한된 지식 조건 하에서 어떻게 실재성 있는 적대적 노드와 최적의 간선 연결을 생성하는가?

주요 결과

• GA2C는 3개의 주입된 노드 예산 하에서 Citeseer에서 51.8%, Cora에서 57.1%, PubMed에서 52.8%의 공격 성공률를 기록하며 최신 기술 수준의 기준선을 초월한다.
• 제거 실험 결과, Gumbel-Softmax 구성 요소를 제거할 경우 각각의 데이터셋에서 공격 성공률가 55.1%, 69.5%, 58.3%로 감소하여, 특징 생성에서의 핵심적 역할을 확인한다.
• 즉각적인 보상 설계를 제거한 변형(GA2C_acc)은 각각 56.4%, 71.3%, 59.8%의 성공률를 기록하여, 보상 설계가 공격를 유도하는 데 있어 중요함을 확인한다.
• 예산 분석 결과, 주입된 노드 수(βₙ)가 가장 강력한 영향을 미치며, 3개의 노드 주입으로 모든 데이터셋에서 GCN 정확도가 50% 이하로 떨어진다.
• 간선 예산(βₑ)은 두 번째로 강력한 영향을 미치며, Cora에서 2.5배, Citeseer에서 2배의 간선 예산으로 성능이 50% 이하로 떨어진다.
• 특징 예산(β_f)는 가장 약한 영향을 미치며, 모든 데이터셋에서 1.5배 예산 이상에서는 성능가 포화 상태에 도달하여 특징 다양성 증가의 유용성이 제한됨을 시사한다.