[论文解读] A Targeted Universal Attack on Graph Convolutional Network

Jiazhu Dai, Weifeng Zhu+1 more|arXiv (Cornell University)|Nov 29, 2020

Adversarial Robustness in Machine Learning参考文献 20被引用 4

一句话总结

该论文提出了一种针对图卷积网络（GCNs）的定向通用对抗攻击（TUA），通过使用少量真实攻击节点和经过特征扰动的虚假节点，将任意受害节点误分类为目标类别。通过在连接至攻击节点的虚假节点上进行特征扰动以增强攻击能力，该方法在三个基准数据集上仅使用3个攻击节点和6个虚假节点即实现了83%的平均攻击成功率。

ABSTRACT

Graph-structured data exist in numerous applications in real life. As a state-of-the-art graph neural network, the graph convolutional network (GCN) plays an important role in processing graph-structured data. However, a recent study reported that GCNs are also vulnerable to adversarial attacks, which means that GCN models may suffer malicious attacks with unnoticeable modifications of the data. Among all the adversarial attacks on GCNs, there is a special kind of attack method called the universal adversarial attack, which generates a perturbation that can be applied to any sample and causes GCN models to output incorrect results. Although universal adversarial attacks in computer vision have been extensively researched, there are few research works on universal adversarial attacks on graph structured data. In this paper, we propose a targeted universal adversarial attack against GCNs. Our method employs a few nodes as the attack nodes. The attack capability of the attack nodes is enhanced through a small number of fake nodes connected to them. During an attack, any victim node will be misclassified by the GCN as the attack node class as long as it is linked to them. The experiments on three popular datasets show that the average attack success rate of the proposed attack on any victim node in the graph reaches 83% when using only 3 attack nodes and 6 fake nodes. We hope that our work will make the community aware of the threat of this type of attack and raise the attention given to its future defense.

研究动机与目标

• 解决图结构化数据中定向通用对抗攻击研究不足的问题。
• 揭示图卷积网络中一种新的安全漏洞：极小扰动可普遍将任意节点误分类为目标类别。
• 开发一种实际且可扩展的攻击方法，仅需少量真实攻击节点和经过优化特征扰动的虚假节点。
• 利用真实世界图数据集评估GCNs在该类攻击下的鲁棒性。
• 提高对此类威胁的认识，并推动未来防御机制的研究。

提出的方法

• 从图中目标类别中选取少量真实节点作为攻击节点。
• 引入少量连接至攻击节点的虚假节点，以放大其影响。
• 利用非目标类别中的辅助节点计算虚假节点的特征扰动，以最大化攻击效果。
• 利用GCN的消息传递机制传播对抗信号，导致任何连接至攻击节点的受害节点均被误分类为目标类别。
• 通过迭代优化方法精炼虚假节点特征中的扰动，以最大化攻击成功率。
• 采用通用扰动策略，使该策略适用于任何连接至攻击节点的受害节点，无论其原始类别如何。

实验结果

研究问题

• RQ1 能否使用最少数量的真实节点和虚假节点，有效构建针对GCNs的定向通用对抗攻击？
• RQ2 攻击节点和虚假节点的数量如何影响攻击成功率？
• RQ3 在随机选择用于计算扰动的辅助节点时，攻击性能是否稳定？
• RQ4 在少量攻击节点和虚假节点条件下，可达到的最大攻击成功率是多少？
• RQ5 所提出的TUA与现有针对GCNs的非定向通用攻击相比表现如何？

主要发现

• 所提出的定向通用攻击在仅使用3个攻击节点和6个虚假节点的情况下，对任意受害节点实现了83%的平均攻击成功率。
• 随着攻击节点数量增加，攻击成功率上升，但在3个攻击节点后趋于饱和，表明收益递减。
• 增加辅助节点数量可提升攻击成功率，但超过15个辅助节点后增益逐渐减小。
• 在随机选择辅助节点的情况下，攻击性能保持稳定，多次试验中标准差较低（例如，<3.5%）。
• 该方法表现出高度鲁棒性和一致性，在最优配置下，Cora和Pubmed数据集中多个类别上的平均攻击成功率超过90%。
• 该攻击在三个真实世界数据集（Cora、Citeseer和Pubmed）上均有效，证实了其泛化能力。