[논문 리뷰] Graph Backdoor.

Zhaohan Xi, Ren Pang외 2명|arXiv (Cornell University)|2020. 06. 21.

Adversarial Robustness in Machine Learning참고 문헌 71인용 수 9

한 줄 요약

이 논문은 그래프 신경망(GNN)에 대한 백도어 공격 프레임워크인 GTA를 소개한다. 이는 개별 그래프에 맞춰진 적응형 부분그래프 트리거를 사용하며, 모델에 특화된 지식 없이도 전도성 및 인덕티브 작업에서 높은 공격 성공률을 달성한다. 이는 보안에 민감한 응용 분야에서 사용되는 GNN의 심각한 취약성을 드러낸다.

ABSTRACT

One intriguing property of deep neural networks (DNNs) is their inherent vulnerability to backdoor attacks -- a trojan model responds to trigger-embedded inputs in a highly predictable manner while functioning normally otherwise. Despite the plethora of prior work on DNNs for continuous data (e.g., images), the vulnerability of graph neural networks (GNNs) for discrete-structured data (e.g., graphs) is largely unexplored, which is highly concerning given their increasing use in security-sensitive domains. To bridge this gap, we present GTA, the first backdoor attack on GNNs. Compared with prior work, GTA departs in significant ways: graph-oriented -- it defines triggers as specific subgraphs, including both topological structures and descriptive features, entailing a large design spectrum for the adversary; input-tailored -- it dynamically adapts triggers to individual graphs, thereby optimizing both attack effectiveness and evasiveness; downstream model-agnostic -- it can be readily launched without knowledge regarding downstream models or fine-tuning strategies; and attack-extensible -- it can be instantiated for both transductive (e.g., node classification) and inductive (e.g., graph classification) tasks, constituting severe threats for a range of security-critical applications. Through extensive evaluation using benchmark datasets and state-of-the-art models, we demonstrate the effectiveness of GTA. We further provide analytical justification for its effectiveness and discuss potential countermeasures, pointing to several promising research directions.

연구 동기 및 목표

• 보안에 민감한 영역에 점점 더 널리 쓰이고 있는 그래프 신경망(GNN)이 백도어 공격에 얼마나 취약한지 조사하기 위해.
• 지속적인 데이터를 대상으로 한 딥러닝 모델(DNN)에 대한 광범위한 연구에 비해, GNN에서의 백도어 위협에 대한 연구가 거의 이루어지지 않았다는 격차를 메우기 위해.
• 전도성 및 인덕티브 GNN 작업에 모두 적용 가능한, 그래프 중심의, 입력에 맞춰진, 모델에 관계없고 확장 가능한 백도어 공격 프레임워크를 설계하기 위해.
• 기준 데이터셋과 최신 GNN 모델을 사용하여 실제 조건에서 제안된 공격의 효과성을 평가하기 위해.
• 공격 성공의 분석적 통찰을 제공하고 향후 방어 기법 방향성을 제안하기 위해.

제안 방법

• 공격은 특정 부분그래프로 구성된 트리거를 정의하며, 이는 위상적 구조와 노드/에지 특징을 모두 포함하여 다양한 방식으로 은밀한 트리거 설계를 가능하게 한다.
• 각 입력 그래프에 맞춰 동적으로 트리거를 생성하며, 지역 그래프 구조에 적응함으로써 공격 성공률과 회피 능력을 최적화한다.
• 모델에 관계없는 방식으로 작동하여, 후행 GNN 아키텍처나 학습 전략에 대한 사전 지식이 필요로 하지 않는다.
• 전도성 작업(예: 노드 분류)과 인덕티브 작업(예: 그래프 분류)을 모두 지원하여 광범위한 적용 가능성을 확보한다.
• 학습 단계에서 일부 학습 샘플을 수정함으로써 트리거를 삽입하여, 정상 입력에 대해서는 트로이안 모델이 정상적으로 동작하도록 보장한다.
• 원래 그래프의 구조적 및 특징적 무결성을 유지하는 그래프 수준의 변형을 활용하여 탐지 가능성을 줄인다.

실험 결과

연구 질문

• RQ1 그래프 신경망이 이산적이고 구조적인 데이터 성격을 지닌 점을 감안할 때, 백도어 공격가 효과적으로 시행될 수 있는가?
• RQ2 위상과 특징에 기반한 그래프 전용 트리거의 설계가 공격 성공률 및 은밀함에 어떤 영향을 미치는가?
• RQ3 고정된 트리거에 비해 입력에 맞춰진 트리거가 공격 효과성과 회피 능력 향상에 얼마나 기여하는가?
• RQ4 모델에 관계없는 백도어 공격이 전도성 및 인덕티브 GNN 학습 환경 모두에 성공적으로 적용될 수 있는가?
• RQ5 이러한 공격의 성공에 기여하는 주요 요인들은 무엇이며, 어떻게 이를 완화할 수 있는가?

주요 결과

• GTA는 다양한 기준 데이터셋과 최신 GNN 모델을 대상으로 높은 공격 성공률를 달성하여, GNN에 대한 백도어 공격의 가능성과 실현 가능성을 입증한다.
• 입력에 맞춰진 트리거 설계는 고정형 또는 무작위로 배치된 트리거에 비해 공격 효과성 향상과 탐지 가능성 감소에 뚜렷한 기여를 한다.
• GTA의 모델에 관계없는 성격 덕분에, 타겟 GNN의 아키텍처나 학습 세부 정보에 대한 액세스 없이도 성공적인 공격가 가능하다.
• 공격는 전도성 및 인덕티브 학습 시나리오 모두에서 효과를 유지하여 광범위한 위협 적용 가능성을 보여준다.
• 분석적 평가 결과, 공격는 GNN의 메시지 전달 메커니즘 내재된 구조적 및 특징 수준의 취약점을 악용하고 있음을 확인했다.
• 결과는 그래프 구조 데이터에 특화된 강력한 방어 기법이 급히 필요하다는 점을 강조한다.