[论文解读] Black-box Node Injection Attack for Graph Neural Networks

Mingxuan Ju, Yujie Fan+2 more|arXiv (Cornell University)|Feb 18, 2022

Adversarial Robustness in Machine Learning被引用 5

一句话总结

该论文提出GA2C，一种针对图神经网络的黑盒节点注入攻击框架，将攻击建模为马尔可夫决策过程，并采用图强化学习结合优势演员-critic方法生成真实且最优的对抗性节点与边。该方法在仅需极少模型访问的前提下，在基准数据集上实现了最先进（SOTA）的攻击成功率，优于以往在严格黑盒约束下的白盒与灰盒方法。

ABSTRACT

Graph Neural Networks (GNNs) have drawn significant attentions over the years and been broadly applied to vital fields that require high security standard such as product recommendation and traffic forecasting. Under such scenarios, exploiting GNN's vulnerabilities and further downgrade its classification performance become highly incentive for adversaries. Previous attackers mainly focus on structural perturbations of existing graphs. Although they deliver promising results, the actual implementation needs capability of manipulating the graph connectivity, which is impractical in some circumstances. In this work, we study the possibility of injecting nodes to evade the victim GNN model, and unlike previous related works with white-box setting, we significantly restrict the amount of accessible knowledge and explore the black-box setting. Specifically, we model the node injection attack as a Markov decision process and propose GA2C, a graph reinforcement learning framework in the fashion of advantage actor critic, to generate realistic features for injected nodes and seamlessly merge them into the original graph following the same topology characteristics. Through our extensive experiments on multiple acknowledged benchmark datasets, we demonstrate the superior performance of our proposed GA2C over existing state-of-the-art methods. The data and source code are publicly accessible at: https://github.com/jumxglhf/GA2C.

研究动机与目标

• 解决现有图对抗攻击在实际应用中因需修改现有图结构而面临可行性不足的问题，该问题在现实场景中通常难以实现。
• 在更贴近现实的黑盒设置下研究节点注入攻击，即仅可访问邻接矩阵与特征矩阵，无法获取模型梯度或标签。
• 开发一种基于强化学习的框架，以生成难以察觉、真实感强的节点特征及最优边连接，从而有效规避图神经网络的检测。
• 在不同攻击预算下评估攻击的效率与鲁棒性，包括注入节点数、每节点的边数以及每节点的特征数。

提出的方法

• 将节点注入攻击建模为马尔可夫决策过程（MDP），并将其解耦为节点生成与边连接两个阶段。
• 采用基于Gumbel-Softmax的节点生成器，以可微方式生成离散且真实的对抗性节点特征。
• 使用可学习的条件概率分布，从图中现有节点中采样与注入节点的边连接。
• 设计自定义奖励函数，引导强化学习智能体最大化攻击成功率，例如使目标节点的预测结果发生翻转。
• 仅通过查询访问受害图神经网络模型，使用优势演员-critic（A2C）强化学习算法训练GA2C框架。
• 在保持图拓扑特性不变的前提下，将生成的对抗性节点无缝集成到原始图中。

实验结果

研究问题

• RQ1 当仅可访问邻接矩阵与特征矩阵，而无法获取模型梯度或标签时，黑盒节点注入攻击是否仍具有效性？
• RQ2 所提出的GA2C框架在攻击成功率与实用性方面，相较于现有白盒与灰盒节点注入攻击方法表现如何？
• RQ3 不同攻击预算（包括注入节点数、每节点边数、每节点特征数）对攻击性能有何影响？
• RQ4 GA2C中的基于强化学习的方法如何在知识受限条件下生成真实且最优的对抗性节点与边连接？

主要发现

• 在仅注入3个节点的预算下，GA2C在Citeseer数据集上实现51.8%的攻击成功率，Cora上为57.1%，PubMed上为52.8%，优于最先进基线方法。
• 消融实验表明，若移除Gumbel-Softmax组件，攻击性能分别降至55.1%、69.5%与58.3%，表明其在特征生成中起关键作用。
• 无即时奖励设计的变体（GA2C_acc）分别实现56.4%、71.3%与59.8%的成功率，证实奖励设计在引导攻击过程中的重要性。
• 预算分析显示，注入节点数（βₙ）影响最强，3个节点即使GCN在所有数据集上的准确率降至50%以下。
• 边预算（βₑ）影响次之，Cora中边预算提升2.5倍、Citeseer中提升2倍时，性能均低于50%。
• 特征预算（β_f）影响最弱，所有数据集上性能在1.5倍预算时即趋于饱和，表明增加特征多样性收益有限。