[论文解读] A Restricted Black-box Adversarial Framework Towards Attacking Graph Embedding Models

Heng Chang, Yu Rong+6 more|arXiv (Cornell University)|Aug 4, 2019

Advanced Graph Neural Networks参考文献 27被引用 5

一句话总结

本文提出 GF-Attack，一种受限黑盒对抗性框架，通过仅使用邻接矩阵和特征矩阵、无需访问模型参数、标签或预测结果，对图嵌入模型进行攻击。该方法在多种模型（包括 GCN 和采样型方法）上实现了强大的攻击性能，即使在极小扰动（如单条边翻转）下也表现出色，展示了在实际黑盒约束下的高效率与强迁移性。

ABSTRACT

With the great success of graph embedding model on both academic and industry area, the robustness of graph embedding against adversarial attack inevitably becomes a central problem in graph learning domain. Regardless of the fruitful progress, most of the current works perform the attack in a white-box fashion: they need to access the model predictions and labels to construct their adversarial loss. However, the inaccessibility of model predictions in real systems makes the white-box attack impractical to real graph learning system. This paper promotes current frameworks in a more general and flexible sense -- we demand to attack various kinds of graph embedding model with black-box driven. To this end, we begin by investigating the theoretical connections between graph signal processing and graph embedding models in a principled way and formulate the graph embedding model as a general graph signal process with corresponding graph filter. As such, a generalized adversarial attacker: GF-Attack is constructed by the graph filter and feature matrix. Instead of accessing any knowledge of the target classifiers used in graph embedding, GF-Attack performs the attack only on the graph filter in a black-box attack fashion. To validate the generalization of GF-Attack, we construct the attacker on four popular graph embedding models. Extensive experimental results validate the effectiveness of our attacker on several benchmark datasets. Particularly by using our attack, even small graph perturbations like one-edge flip is able to consistently make a strong attack in performance to different graph embedding models.

研究动机与目标

• 通过聚焦于模型参数、标签和预测不可访问的受限黑盒设置，填补图嵌入模型实际对抗攻击中的空白。
• 克服现有攻击方法依赖白盒或实用白盒假设的局限性，这些假设在真实系统中不可行。
• 开发一种可泛化的攻击框架，适用于多种图嵌入模型，且无需模型特定知识或替代模型。
• 将图嵌入建模为图信号处理问题，通过仅使用输入级数据的图滤波器优化实现攻击。
• 证明在现实约束下，仅通过极小的结构扰动（如单条边翻转）即可实现有效攻击。

提出的方法

• 将图嵌入模型形式化为一种通用图信号过程，其可学习的图滤波器由邻接矩阵导出。
• 基于图滤波器和特征矩阵的低秩近似构建嵌入质量度量，实现在无模型损失函数访问情况下的攻击。
• 通过可微目标函数直接优化图滤波器，最大化嵌入空间与原始状态的偏离程度，且不依赖模型梯度。
• 通过在图滤波器上求解约束优化问题，执行对抗性边修改（插入/删除），仅依赖输入图和特征。
• 在不修改或重新训练目标模型的前提下，将攻击应用于多种图嵌入模型（包括 GCN 和采样型模型）。
• 通过避免对模型参数、标签或预测结果的依赖，确保黑盒兼容性，仅依赖邻接矩阵和特征矩阵。

实验结果

研究问题

• RQ1 在无模型参数、标签或预测访问的受限黑盒设置下，能否有效实施对图嵌入模型的对抗攻击？
• RQ2 如何设计一种通用的对抗攻击框架，使其在无需模型特定适配的情况下，可在多种图嵌入模型间实现迁移？
• RQ3 在受限黑盒约束下，极小的结构扰动（如单条边翻转）在多大程度上会降低图嵌入模型的性能？
• RQ4 能否仅通过输入级信息有效操纵图嵌入模型的图滤波器，以降低下游任务性能？
• RQ5 GF-Attack 中图滤波器的阶数（K）在不同模型架构（如 GCN 和 SGC）上如何影响攻击效果？

主要发现

• GF-Attack 在所有基准数据集（Cora、Citeseer、Pubmed）上，针对多种图嵌入模型，全面超越所有基线方法（包括 Random、Degree、RL-S2V 和 A_class）。
• 即使仅进行单条边翻转，GF-Attack 也能在 GCN 和采样型模型（如 LINE 和 DeepWalk）上持续降低分类准确率。
• 在 Citeseer 数据集上，GF-Attack 平均每节点耗时 12.78 秒，显著快于 RL-S2V（222.80 秒）和 A_class（146.58 秒），同时比 Random（0.19 秒）和 Degree（42.21 秒）更具攻击效果。
• GF-Attack-5（K=5 滤波器阶数）在 2 层和 5 层 GCN 以及 SGC 上均取得最佳攻击性能，表明高阶滤波器可增强攻击效果。
• 随着扰动预算（β）增加，攻击性能持续提升，且在 Cora 数据集的多条边扰动设置下，GF-Attack 始终优于所有基线方法。
• 攻击具备良好的迁移性：GF-Attack 成功在 GCN 和 SGC 上均造成性能下降，且对深层 GCN 和简单模型（如 SGC）均有效。