[論文レビュー] Model Extraction Attacks on Graph Neural Networks: Taxonomy and Realization

Bang Ye Wu, Xiangwen Yang+2 more|arXiv (Cornell University)|Oct 24, 2020

Adversarial Robustness in Machine Learning参考文献 49被引用数 13

ひとこと要約

本稿は、グラフニューラルネットワーク（GNN）におけるモデル抽出攻撃の最初の包括的調査を提示し、攻撃者による知識の種別（例：ノード属性、グラフ構造）に基づき、7つの攻撃変種を提案する。クエリ応答と部分的な構造的知識を活用することで、実世界のデータセットにおいて84–89％の予測忠実度を達成し、GNN APIからの正確なスラッグモデル再構築の有効性を示している。

ABSTRACT

Machine learning models are shown to face a severe threat from Model Extraction Attacks, where a well-trained private model owned by a service provider can be stolen by an attacker pretending as a client. Unfortunately, prior works focus on the models trained over the Euclidean space, e.g., images and texts, while how to extract a GNN model that contains a graph structure and node features is yet to be explored. In this paper, for the first time, we comprehensively investigate and develop model extraction attacks against GNN models. We first systematically formalise the threat modelling in the context of GNN model extraction and classify the adversarial threats into seven categories by considering different background knowledge of the attacker, e.g., attributes and/or neighbour connections of the nodes obtained by the attacker. Then we present detailed methods which utilise the accessible knowledge in each threat to implement the attacks. By evaluating over three real-world datasets, our attacks are shown to extract duplicated models effectively, i.e., 84% - 89% of the inputs in the target domain have the same output predictions as the victim model.

研究の動機と目的

• グラフでないモデルでは既知のリスクがあるものの、グラフニューラルネットワーク（GNN）におけるモデル抽出攻撃の脅威は未だ調査がなされていないことを踏まえ、その脅威を調査すること。
• ノード属性やグラフ接続性といった、背景知識の程度に応じた攻撃者能力を形式化すること。
• APIクエリ応答と部分的な構造的知識のみを用いて、正確なスラッグGNNモデルを再構築する実用的な攻撃手法を開発すること。
• 多様な脅威モデル下で、複数の実世界のグラフデータセットに対してこれらの攻撃の有効性を評価すること。
• GNNモデル抽出攻撃の分類法を確立し、実世界のMLaaS環境におけるこうした攻撃の実現可能性と影響を示すこと。

提案手法

• ノード属性、隣接ノード接続、シャドウグラフへのアクセスの有無に基づき、攻撃者を7つの脅威モデルに分類する。
• 標的グラフ内の通常のノードを模倣するように見える正当な入力を生成するためのクエリ戦略を設計する。
• GNNのAPIから入力-出力ペアを収集し、被害者モデルの挙動を再現するスラッグモデルを訓練する。
• 構造的および特徴的構造が類似する合成または部分観測済みのグラフ（シャドウグラフ）を活用して、スラッグモデルの忠実度を向上させる。
• 複数の抽出モデルを組み合わせることで、アンサンブル学習を適用し、標的GNNとの予測の一貫性を向上させる。
• 構造的知識（例：2ホップ近傍）と属性情報を利用して、スラッグモデルの訓練を支援する。

実験結果

リサーチクエスチョン

• RQ1 攻撃者の背景知識に基づいて、GNNにおけるモデル抽出攻撃の明確な脅威モデルは何か？
• RQ2 部分的なグラフ構造とノード属性の可用性が、GNNにおけるモデル抽出攻撃の成功にどのように影響するか？
• RQ3 APIクエリ応答と制限された構造的知識のみを用いて、高忠実度のスラッグGNNモデルを構築できるか？
• RQ4 攻撃者知識のレベル（例：シャドウグラフの有無）が、抽出モデルの正確性と忠実度にどのように影響するか？
• RQ5 攻撃ノードの数とその近傍構造が、抽出スラッグモデルの性能に与える影響は何か？

主な発見

• 提案された攻撃は、3つの実世界データセット（Cora、Citeseer、Pubmed）において、標的GNNモデルに対して84–89％の予測忠実度を達成しており、高精度なスラッグモデル再構築が可能であることを示している。
• 攻撃-4（シャドウグラフと標的グラフノードへのアクセスを併用）は、攻撃-3よりも顕著に高い忠実度（Pubmedでは最大0.857）を達成しており、構造的知識の価値を示している。
• 攻撃ノードの数は性能にほとんど影響しない。スラッグモデルの性能は、主にシャドウグラフと構造的情報の質に依存している。
• 複数の抽出モデルの出力を統合するアンサンブルモデルは、特に1つのモデル（例：攻撃-3）が優れている場合に、忠実度と正確性を向上させる。
• 攻撃-6（ノード属性の完全なアクセスとシャドウグラフ知識の両方を有する）は、最高性能を示す攻撃と同等の性能を達成しており、複数の情報源の統合の有効性を確認している。
• 抽出モデルの忠実度は、攻撃ノードの数よりも構造的知識により敏感であることが判明し、GNNモデル抽出においてグラフトポロジーの重要性が強調されている。