[论文解读] BinarizedAttack: Structural Poisoning Attacks to Graph-based Anomaly Detection

Yulin Zhu, Yuni Lai+5 more|arXiv (Cornell University)|Jun 18, 2021

Advanced Graph Neural Networks被引用 8

一句话总结

本文提出 BinarizedAttack，一种新型基于梯度的结构中毒攻击，针对图神经网络异常检测（GAD）系统（如 OddBall）。通过将攻击建模为双层优化问题并利用离散梯度下降，BinarizedAttack 能够高效地操纵图结构，降低目标节点的异常分数，在有限预算下实现高逃逸率，并展现出对其他 GAD 模型的强迁移能力。

ABSTRACT

Graph-based Anomaly Detection (GAD) is becoming prevalent due to the powerful representation abilities of graphs as well as recent advances in graph mining techniques. These GAD tools, however, expose a new attacking surface, ironically due to their unique advantage of being able to exploit the relations among data. That is, attackers now can manipulate those relations (i.e., the structure of the graph) to allow some target nodes to evade detection. In this paper, we exploit this vulnerability by designing a new type of targeted structural poisoning attacks to a representative regression-based GAD system termed OddBall. Specially, we formulate the attack against OddBall as a bi-level optimization problem, where the key technical challenge is to efficiently solve the problem in a discrete domain. We propose a novel attack method termed BinarizedAttack based on gradient descent. Comparing to prior arts, BinarizedAttack can better use the gradient information, making it particularly suitable for solving combinatorial optimization problems. Furthermore, we investigate the attack transferability of BinarizedAttack by employing it to attack other representation-learning-based GAD systems. Our comprehensive experiments demonstrate that BinarizedAttack is very effective in enabling target nodes to evade graph-based anomaly detection tools with limited attackers' budget, and in the black-box transfer attack setting, BinarizedAttack is also tested effective and in particular, can significantly change the node embeddings learned by the GAD systems. Our research thus opens the door to studying a new type of attack against security analytic tools that rely on graph data.

研究动机与目标

• 研究图神经网络异常检测（GAD）系统在仅操纵图拓扑结构的结构中毒攻击下的脆弱性。
• 设计一种高效的攻击方法，通过修改图结构来逃避基于回归的 GAD 系统（如 OddBall）的检测。
• 在黑盒设置下，评估该攻击在不同表示学习型 GAD 模型间的迁移能力。
• 分析该攻击对下游异常分类任务中学习到的节点嵌入与决策边界的影响。
• 探讨针对此类结构攻击的潜在防御机制，尽管防御工作留待未来研究。

提出的方法

• 将针对 OddBall 的结构中毒攻击建模为双层优化问题，攻击者通过修改图结构以最小化目标节点的异常分数。
• 提出 BinarizedAttack，一种专为离散组合优化设计的基于梯度下降的方法，可在可能的图编辑空间中实现高效搜索。
• 利用可微松弛和二值松弛技术，近似离散的边添加/删除操作，同时利用梯度信息。
• 采用两阶段优化：内层循环在扰动特征上优化回归模型，外层循环使用梯度更新图结构。
• 在黑盒设置下将该攻击应用于其他 GAD 系统（如 GAL、ReFeX），以评估其迁移能力。
• 通过 t-SNE 可视化节点嵌入，证明 BinarizedAttack 成功破坏了异常节点与正常节点之间的线性可分性。

Figure 1 : Illustration of the structural attack to $\mathsf{OddBall}$ : $\mathsf{OddBall}$ extracts features from the graph structure, using regression-based approaches to compute the anomaly scores of nodes; structural attacks then poison the graph structure, equivalently manipulating the extracte

实验结果

研究问题

• RQ1 攻击者仅通过操纵图结构，能在多大程度上逃避图神经网络异常检测系统的检测？
• RQ2 在有限预算约束下，BinarizedAttack 在降低目标节点异常分数方面的有效性如何？
• RQ3 BinarizedAttack 是否能在不了解目标模型架构的前提下，成功迁移至其他表示学习型 GAD 系统？
• RQ4 BinarizedAttack 如何影响下游分类任务中学习到的节点嵌入的质量与可分性？
• RQ5 现有鲁棒回归方法（如 Huber、RANSAC）在防御此类结构攻击方面存在哪些局限性？

主要发现

• BinarizedAttack 在 Bitcoin-Alpha 数据集上仅使用 B=50 次扰动，即显著降低 OddBall 中目标节点的异常分数，异常分数降低达 25.69%（δB）。
• 在 Wikivote 数据集上，BinarizedAttack 在 B=100 次扰动下实现异常分数降低 56.37%（δB），表明在有限攻击预算下具有极高的有效性。
• 该攻击展现出强大的迁移能力：当应用于 GAL 和 ReFeX 模型时，其在 Wikivote 上使 AUC 最多降低 26.00%，F1 最多降低 41.40%，表明成功破坏了模型学习到的表示。
• t-SNE 可视化结果证实，BinarizedAttack 有效将异常节点混入正常节点簇中，破坏了嵌入空间中的线性决策边界。
• 鲁棒回归防御（Huber 和 RANSAC）仅略微缓解了该攻击，对异常分数降低无显著改善，表明其防御能力有限。
• 该攻击在黑盒设置下依然高度有效，表明当前 GAD 系统在无需了解模型架构的情况下，极易受到结构操纵的威胁。

(a) Anomalous patterns