[论文解读] Adversarial Attacks on Classification Models for Graphs

Daniel Zügner, Amir Akbarnejad+1 more|arXiv (Cornell University)|May 21, 2018

Advanced Graph Neural Networks被引用 12

一句话总结

本文提出了 Nettack，这是首个针对图神经网络的对抗性攻击框架，旨在同时针对节点特征和图结构。它利用增量计算生成难以察觉且可迁移的扰动，在仅造成最小改动的情况下显著降低节点分类准确率，即使在模型知识有限的情况下亦然。

ABSTRACT

Deep learning models for graphs have achieved strong performance for the task of node classification. Despite their proliferation, currently there is no study of their robustness to adversarial attacks. Yet, in domains where they are likely to be used, e.g. the web, adversaries are common. Can deep learning models for graphs be easily fooled? In this work, we introduce the first study of adversarial attacks on attributed graphs, specifically focusing on models exploiting ideas of graph convolutions. In addition to attacks at test time, we tackle the more challenging class of poisoning/causative attacks, which focus on the training phase of a machine learning model. We generate adversarial perturbations targeting the node's features and the graph structure, thus, taking the dependencies between instances in account. Moreover, we ensure that the perturbations remain unnoticeable by preserving important data characteristics. To cope with the underlying discrete domain we propose an efficient algorithm Nettack exploiting incremental computations. Our experimental study shows that accuracy of node classification significantly drops even when performing only few perturbations. Even more, our attacks are transferable: the learned attacks generalize to other state-of-the-art node classification models and unsupervised approaches, and likewise are successful even when only limited knowledge about the graph is given.

研究动机与目标

• 研究图神经网络在现实世界环境中对对抗性攻击的鲁棒性，其中攻击者普遍存在。
• 开发一种方法，用于生成同时修改节点特征和图结构的对抗性扰动，同时保持数据特性。
• 解决更具挑战性的投毒/因果性攻击，而非仅限于测试阶段的攻击。
• 确保扰动难以察觉，通过保持关键数据特性（如稀疏性和特征分布）实现。
• 实现在有限模型知识下，攻击在不同最先进模型和无监督方法之间的可迁移性。

提出的方法

• 提出 Nettack，一种高效算法，利用增量计算处理图数据的离散特性，并在攻击生成过程中降低计算成本。
• 生成针对节点特征和图结构的对抗性扰动，显式建模图中节点之间的依赖关系。
• 施加约束以保持关键数据特性（如稀疏性和特征分布），确保扰动对人类观察者难以察觉。
• 采用适用于离散领域的梯度优化策略，实现在可能图修改空间中的有效搜索。
• 通过操纵训练数据以降低模型性能，支持测试阶段和投毒/因果性攻击。
• 利用可迁移性，生成可泛化至不同模型（包括无监督基线）的攻击，即使对目标模型了解有限。

实验结果

研究问题

• RQ1 能否通过同时修改节点特征和图结构的对抗性攻击有效欺骗图神经网络？
• RQ2 通过修改训练数据实施的投毒攻击在降低图分类模型性能方面的有效性如何？
• RQ3 对抗性扰动在造成显著性能下降的同时，能在多大程度上保持难以察觉？
• RQ4 在一种模型上训练的攻击是否能成功迁移至其他最先进模型和无监督方法？
• RQ5 当仅掌握目标模型或图结构的有限信息时，攻击表现如何？

主要发现

• 针对节点特征和图结构的对抗性扰动即使仅进行少量修改，也能显著降低节点分类准确率。
• 所提出的攻击具有高度可迁移性，能成功欺骗其他最先进节点分类模型和无监督方法。
• 即使对目标模型了解有限，攻击依然有效，展现出强大的泛化能力。
• 由于保留了关键数据特性（如稀疏性和特征分布），扰动难以察觉。
• 在训练阶段实施的投毒攻击能有效降低模型性能，凸显了训练阶段的脆弱性。
• Nettack 算法通过利用增量计算高效生成对抗性样本，显著降低了离散领域中的计算开销。