[论文解读] Adversarial Attacks and Defenses on Graphs: A Review, A Tool and Empirical Studies

Wei Jin, Yaxin Li+5 more|arXiv (Cornell University)|Mar 2, 2020

Adversarial Robustness in Machine Learning参考文献 84被引用 39

一句话总结

对图对抗攻击与防御的全面综述，包含分类法、代表性方法，以及由公开仓库辅助的实证研究。

ABSTRACT

Deep neural networks (DNNs) have achieved significant performance in various tasks. However, recent studies have shown that DNNs can be easily fooled by small perturbation on the input, called adversarial attacks. As the extensions of DNNs to graphs, Graph Neural Networks (GNNs) have been demonstrated to inherit this vulnerability. Adversary can mislead GNNs to give wrong predictions by modifying the graph structure such as manipulating a few edges. This vulnerability has arisen tremendous concerns for adapting GNNs in safety-critical applications and has attracted increasing research attention in recent years. Thus, it is necessary and timely to provide a comprehensive overview of existing graph adversarial attacks and the countermeasures. In this survey, we categorize existing attacks and defenses, and review the corresponding state-of-the-art methods. Furthermore, we have developed a repository with representative algorithms (https://github.com/DSE-MSU/DeepRobust/tree/master/deeprobust/graph). The repository enables us to conduct empirical studies to deepen our understandings on attacks and defenses on graphs.

研究动机与目标

• 提供对图对抗攻击方法与防御的系统性概览。
• 按目标、资源和能力对攻击与防御进行分类。
• 突出来自相关攻击/防御仓库的实证洞见。
• 指出鲁棒图学习面临的挑战与未来方向。

提出的方法

• 给出图学习的形式化前提条件与一般对抗攻击目标（式(3)）。
• 提出攻击者能力、扰动类型、目标与知识程度（白盒/灰盒/黑盒）的分类体系。
• 评述代表性的白盒、灰盒和黑盒攻击方法（定向与非定向）。
• 综述防御策略，包括对抗性训练、扰动检测、可证实鲁棒性、图净化和基于注意力的方法。
• 提供一个使用作者的仓库的实证研究框架，以深化对攻击/防御的理解。

实验结果

研究问题

• RQ1 图对抗攻击与防御的主要类别及其特征是什么？
• RQ2 攻击者能力、扰动类型、目标和知识程度如何影响图上的攻击策略？
• RQ3 基于统一方法仓库的系统性测试可以得到哪些实证洞见？
• RQ4 在对抗扰动下鲁棒图学习存在哪些空白与开放方向？

主要发现

• 图上的对抗攻击可以针对节点级任务和图级任务，在白盒/灰盒/黑盒设置下。
• 攻击策略随扰动类型（特征、边、注入节点）及是否定向攻击而异。
• 存在广泛的防御方法，包括对抗性训练、检测、可证明鲁棒性、图净化和注意力机制。
• 相关的公开仓库实现对图上的攻击和防御的标准化实证研究。
• 实证研究强调了各种图攻击的可迁移性和实用性，以及在不同设置下防御的潜力。