[논문 리뷰] Scalable Attack on Graph Data by Injecting Vicious Nodes

Jihong Wang, Minnan Luo외 4명|arXiv (Cornell University)|2020. 04. 22.

Advanced Graph Neural Networks참고 문헌 27인용 수 4

한 줄 요약

이 논문은 그래프 컬러리션 네트워크(GCNs)의 분류 정확도를 크게 떨어뜨리기 위해 그래프 데이터에 악성 노드를 주입하는 확장 가능한 공격 방법인 AFGSM을 제안한다. 모델 기울기를 근사하여 빠른 폐형 업데이트를 가능하게 함으로써 AFGSM은 기존 방법에 비해 수십만 배 빠른 속도로 높은 공격 효과를 달성하며, 간선만 또는 간접적인 훼손과 같은 현실적인 제약 조건 하에서도 성능을 유지한다.

ABSTRACT

Recent studies have shown that graph convolution networks (GCNs) are vulnerable to carefully designed attacks, which aim to cause misclassification of a specific node on the graph with unnoticeable perturbations. However, a vast majority of existing works cannot handle large-scale graphs because of their high time complexity. Additionally, existing works mainly focus on manipulating existing nodes on the graph, while in practice, attackers usually do not have the privilege to modify information of existing nodes. In this paper, we develop a more scalable framework named Approximate Fast Gradient Sign Method (AFGSM) which considers a more practical attack scenario where adversaries can only inject new vicious nodes to the graph while having no control over the original graph. Methodologically, we provide an approximation strategy to linearize the model we attack and then derive an approximate closed-from solution with a lower time cost. To have a fair comparison with existing attack methods that manipulate the original graph, we adapt them to the new attack scenario by injecting vicious nodes. Empirical experimental results show that our proposed attack method can significantly reduce the classification accuracy of GCNs and is much faster than existing methods without jeopardizing the attack performance.

연구 동기 및 목표

• 대규모 그래프에서 계산적으로 비현실적인 기존 GCN 공격 방법의 확장성 한계를 해결하기 위해.
• 기존 노드를 수정하는 것이 아니라 새로운 노드만 주입할 수 있는 현실적인 공격 시나리오를 모델링하기 위해.
• 기존 그래프 구조에 대한 제한된 제어 조건 하에서도 높은 효과를 유지할 수 있는 빠른 근사 공격 방법을 개발하기 위해.
• 간선만 또는 대상 노드로의 간접적 연결과 같은 실질적 제약 조건 하에서의 공격 내성 평가하기 위해.

제안 방법

• 기울기 근사를 통해 GCN 모델을 선형화하여 주입된 악성 노드에 대한 폐형 업데이트를 가능하게 하는 근사 빠른 기울기 부호 방법(AGFMS)을 제안한다.
• 반복 최적화를 피하는 저복잡도 근사 전략을 도입하여 시간 비용을 극적으로 감소시키면서도 공격 품질을 유지한다.
• 기존 공격 방법들(예: Nettack, FGSM)을 새로운 주입 전용 시나리오에 맞게 변형하여 악성 특성과 간선을 가진 노드를 주입한다.
• 모델이 훼손된 그래프에서 재학습된 후에도 공격 성공을 보장하기 위해 이중 최적화 프레임워크를 활용한다.
• 실제 접근 제약 조건을 시뮬레이션하기 위해 간선만의 훼손이나 대상 노드로의 간접적 연결과 같은 제한된 설정을 지원한다.
• 편차가 눈에 띄지 않게 유지되면서도 대상 노드의 오분류를 최대화하기 위해 제약 기반 최적화(Eq. 7)를 사용한다.

실험 결과

연구 질문

• RQ1 공격자가 기존 노드를 수정하는 대신 새로운 노드만 주입할 수 있는 제약 조건 하에서도 GCN에 대한 악성 공격가 여전히 효과를 가지는가?
• RQ2 대규모 그래프 환경에서 기존 방법에 비해 AFGSM의 공격 효과성과 효율성은 어떻게 비교되는가?
• RQ3 간선만 또는 간접적인 훼손과 같은 실질적 제약 조건 하에서 공격 성능은 어느 정도 저하되는가?
• RQ4 주입된 노드의 특성을 자유롭게 설계할 수 있는 능력은 원래 노드에 대한 제어 부족을 상쇄할 수 있는가?

주요 결과

• AFGSM은 Cora에서 0.216 ± 0.013, Reddit에서 0.572 ± 0.027까지 GCN의 분류 정확도를 떨어뜨려 FGSM 및 Nettack과 같은 기존 기준보다 뛰어난 성능을 보였다.
• 대규모 그래프에서 AFGSM은 기존 방법 대비 10배에서 100배 빠른 속도를 기록했으며, 이전 연구에서의 이차 또는 그 이상의 복잡도에 비해 런타임이 비선형적으로 증가하는 경향을 보였다.
• 간선만의 훼손 조건 하에서도 AFGSM은 강력한 공격 성능(예: Cora에서 0.604 ± 0.034)을 유지하여 특성 조작 제약 조건에 대한 내성을 입증했다.
• 직접 연결이 없는 간접 공격은 덜 효과적이지만 여전히 성공적이었으며, Cora에서 정확도가 0.648 ± 0.030까지 떨어졌고, 이는 직접 연결의 중요성을 강조한다.
• 적응형 변종인 AFGSM-ada는 모든 데이터셋에서 최고의 공격 성능을 기록했으며, Cora에서 0.216 ± 0.013의 오차율을 기록해 모든 기준보다 뛰어났다.
• 주입된 노드의 특성이 무작위로 샘플링된 경우에도 공격이 효과를 유지했으며, 이는 간선 구조가 새로운 공격 시나리오에서 주도적인 역할을 한다는 것을 시사한다.