[논문 리뷰] Fast Gradient Attack on Network Embedding

Jinyin Chen, Yangyang Wu외 4명|arXiv (Cornell University)|2018. 09. 08.

Advanced Graph Neural Networks참고 문헌 46인용 수 135

한 줄 요약

논문은 Fast Gradient Attack (FGA)를 소개하며, 훈련된 GCN의 그래디언트 정보를 사용하여 네트워크를 왜곡하고 다양한 네트워크 임베딩 방법을 공격하며, 수정된 링크가 적은 상태에서 높은 공격 성공률과 강한 전이성을 달성합니다.

ABSTRACT

Network embedding maps a network into a low-dimensional Euclidean space, and thus facilitate many network analysis tasks, such as node classification, link prediction and community detection etc, by utilizing machine learning methods. In social networks, we may pay special attention to user privacy, and would like to prevent some target nodes from being identified by such network analysis methods in certain cases. Inspired by successful adversarial attack on deep learning models, we propose a framework to generate adversarial networks based on the gradient information in Graph Convolutional Network (GCN). In particular, we extract the gradient of pairwise nodes based on the adversarial network, and select the pair of nodes with maximum absolute gradient to realize the Fast Gradient Attack (FGA) and update the adversarial network. This process is implemented iteratively and terminated until certain condition is satisfied, i.e., the number of modified links reaches certain predefined value. Comprehensive attacks, including unlimited attack, direct attack and indirect attack, are performed on six well-known network embedding methods. The experiments on real-world networks suggest that our proposed FGA behaves better than some baseline methods, i.e., the network embedding can be easily disturbed using FGA by only rewiring few links, achieving state-of-the-art attack performance.

연구 동기 및 목표

• 네트워크 임베딩의 프라이버시 및 견고성 우려를 제시하여 임베딩이 얼마나 쉽게 왜곡될 수 있는지 보여준다.
• GCN의 그래디언트 정보를 이용해 perturbation(교란)을 생성하는 적대적 네트워크 제너레이터를 개발한다.
• GCN 외의 여러 임베딩 방법에서 FGA의 효과를 입증한다.
• GCN에서 파생된 교란의 다른 네트워크 임베딩 방법으로의 전이 가능성을 평가한다.

제안 방법

• 네트워크 임베딩 및 네트워크 임베딩 공격 프레임워크를 정의한다.
• 두 층 GCN을 학습하고 대상 손실의 그래디언트를 인접 행렬에 대해 계산하여 Link Gradient Network(LGN)를 형성한다.
• 절대값 그래디언트가 최대가 되는 노드 쌍을 반복적으로 선택하고 그래디언트 부호에 따라 간선 추가/제거로 적대적 인접 행렬을 업데이트한다(Algorithm 1).
• K개의 수정으로 대상 노드의 손실을 최대화하는 적대적 네트워크를 생성하여 다른 임베딩으로의 전달 가능성을 갖는 perturbations를 만든다.
• GCN에 대한 white-box 공격(직접, 간접, 무제한)과 GraRep, DeepWalk, node2vec, LINE, GraphGAN에 대한 black-box 공격을 평가하고, baseline 방법(RA, DICE, NETTACK)과 비교한다.
• Pol.Blogs, Cora, Citeseer 데이터셋에서 ASR(attack success rate)과 AML(average modified links)을 주요 지표로 사용한다.

실험 결과

연구 질문

• RQ1 GCN 기반 그래디언트 프레임워크가 네트워크 임베딩에서 대상 노드 분류를 오도하는 적대적 교란을 효과적으로 생성할 수 있는가?
• RQ2 FGA를 통해 만들어진 교란이 GCN 외의 다른 임베딩 방법으로 전이되는가?
• RQ3 교란 크기(수정된 링크 수)와 공격 성공 간의 트레이드오프가 서로 다른 데이터셋과 방법에서 어떻게 나타나는가?
• RQ4 ASR 및 AML 측면에서 FGA가 baseline 공격(RA, DICE, NETTACK)과 어떻게 비교되는가?
• RQ5 공격 유형(직접 vs 간접 vs 무제한)이 다양한 네트워크 구조에서 효과성에 어떤 영향을 미치는가?

주요 결과

• FGA는 여러 임베딩 방법 및 데이터셋에서 일반적으로 더 높은 공격 성공률을 달성하고, 수정된 링크 수가 적은 경우가 많다.
• Cora 및 Citeseer에서 무제한 FGA는 각 대상 노드당 20개의 링크를 변경했을 때 노드 분류 작업에서 100% ASR을 달성한다.
• Direct FGA는 특히 Pol.Blogs, Cora, Citeseer 데이터셋에서 NETTACK 및 DICE보다 자주 우수한 성능을 보인다.
• 화이트박스 공격(대상 GC에 초점) 은 흰박스 공격보다 블랙박스 공격보다 약간 더 효과적이고 평균적으로 필요한 링크 변경 수가 더 적다.
• FGA는 GCN 그래디언트 프레임워크에서 파생되었음에도 불구하고 GraRep, DeepWalk, node2vec, LINE 및 GraphGAN에 대해 강력한 전이 가능성을 보이며 효과적인 공격을 가능하게 한다.
• FGA의 시간 복잡도는 동등한 공격 범위에 대해 NETTACK보다 낮아 ASR/AML를 유지하며 경쟁력을 갖춘다.