[논문 리뷰] Adversarial Attack on Network Embeddings via Supervised Network Poisoning

Viresh Gupta, Tanmoy Chakraborty|arXiv (Cornell University)|2021. 02. 14.

Network Security and Intrusion Detection참고 문헌 21인용 수 5

한 줄 요약

이 논문은 노드 레이블을 활용하여 엣지 뒤집기 결정을 이끌어내는 지도 학습 기반 네트워크 풀링 공격인 VIKING을 제안한다. 이는 네트워크 임베딩에서 적대적 편향을 향상시키며, 실제 및 합성 네트워크에서 노드 분류 성능을 최대 18% 저하시키고 링크 예측 정확도를 50% 감소시켜 최신 기법들을 능가한다.

ABSTRACT

Learning low-level node embeddings using techniques from network representation learning is useful for solving downstream tasks such as node classification and link prediction. An important consideration in such applications is the robustness of the embedding algorithms against adversarial attacks, which can be examined by performing perturbation on the original network. An efficient perturbation technique can degrade the performance of network embeddings on downstream tasks. In this paper, we study network embedding algorithms from an adversarial point of view and observe the effect of poisoning the network on downstream tasks. We propose VIKING, a supervised network poisoning strategy that outperforms the state-of-the-art poisoning methods by upto 18% on the original network structure. We also extend VIKING to a semi-supervised attack setting and show that it is comparable to its supervised counterpart.

연구 동기 및 목표

• 무 supervision 네트워크 임베딩 방법(예: DeepWalk 및 Node2Vec)이 네트워크 풀링을 통한 적대적 공격에 얼마나 취약한지 조사하기 위해.
• 임베딩 과정에서 supervision 이 없음에도 공격 단계에서 노드 레이블을 활용하여 일반화된 효과적인 적대적 공격 프레임워크를 개발하기 위해.
• 실제 블랙박스 공격 시나리오를 시뮬레이션하기 위해, 전체 레이블 지식과 부분 레이블 지식(반감독 설정) 모두에서 공격의 효과성을 평가하기 위해.
• 적대적 엣지가 구조적 특성(예: 차수, 중간성)을 띠는지 분석하여, 이를 방어 또는 탐지에 활용할 수 있는지 탐색하기 위해.

제안 방법

• VIKING은 엣지 수정 수의 예산을 고려하여, 하류 작업 성능을 저하시키는 최적의 엣지 뒤집기 조합을 찾기 위해 이중 최적화 문제를 수립한다.
• 임베딩 모델 자체는 비지도 학습임에도 불구하고, 공격 시점에 노드 레이블을 감독 신호로 활용하여 엣지 뒤집기 대상 선택을 이끌어낸다.
• 공격 전략은 무작위 보행 기반 방법에 내재된 동질성 가정을 이용하여, 레이블이 상반된 노드 쌍을 표적으로 삼아 임베딩 공간의 혼란을 극대화하는 엣지를 선택한다.
• 부분 레이블 가용성(예: 10%의 레이블)에서도 작동하는 반감독형 변형인 VIKING_s가 개발되어 높은 공격 효율성을 유지한다.
• 다양한 실제 및 합성 네트워크에서 노드 분류(micro-F1) 및 링크 예측(평균 정밀도) 성능을 평가한다.
• 노드 차수 및 엣지 중간성 중심성의 통계 분석을 통해 엣지 선택의 타당성을 검증하였으며, 무작위 엣지 분포와의 유의미한 차이가 없음을 확인하였다.

실험 결과

연구 질문

• RQ1 지도 학습 기반 레이블 정보를 효과적으로 활용하여 비지도 네트워크 임베딩 모델에 대해 더 강력한 적대적 공격를 설계할 수 있는가?
• RQ2 기존의 풀링 공격 기준 대비 VIKING의 성능은 하류 작업 정확도 저하 측면에서 어떻게 비교되는가?
• RQ3 부분 레이블 정보(반감독 설정)만 존재할 경우, 공격의 효과성은 어느 정도 유지되는가?
• RQ4 VIKING가 선택한 엣지들은 식별 가능한 구조적 패턴(예: 고차수, 고중간성)을 보이는가? 이를 방어 수단에 활용할 수 있는가?

주요 결과

• VIKING는 실제 네트워크에서 노드 분류의 micro-F1 점수를 최대 18% 저하시키며, 합성 LFR 네트워크에서는 최대 19%까지 저하시키며 이전 최신 기법들을 크게 능가한다.
• 링크 예측에서는 평균 정밀도를 최대 50% 감소시켜 다양한 하류 작업에 걸쳐 강력한 혼란을 유도한다.
• 반감독형 변형인 VIKING_s는 단지 10%의 노드 레이블만 존재할 때에도 유사한 공격 효과를 유지하여 부분 지식 하에서도 강건함을 입증한다.
• VIKING가 선택한 적대적 엣지는 고차수 노드나 고중간성 엣지에 편향되어 있지 않음을 확인하여, 공격 전략이 단순한 위상 히وري스틱에 기반하지 않음을 시사한다.
• 일부 사례에서는 그래프의 희소성과 구조적 변화로 인해 링크 예측 점수가 약간 향상되기도 했지만, VIKING는 항상 성능 향상 폭이 가장 작았으며, 이는 공격가의 타겟팅 및 효과적인 혼란을 입증한다.
• DeepWalk, Node2Vec, LINE 및 GCN 등 다양한 임베딩 모델에 대해 공격가가 효과적으로 작용함을 확인하여, 다양한 네트워크 임베딩 프레임워크에 일반화 가능함을 입증한다.