[论文解读] Adversarial Attacks on Graph Classification via Bayesian Optimisation

Xingchen Wan, Henry Kenlay+4 more|arXiv (Cornell University)|Nov 4, 2021

Adversarial Robustness in Machine Learning参考文献 53被引用 7

一句话总结

本文提出 GRABNEL，一种基于贝叶斯优化的图分类黑盒对抗攻击方法，具有查询效率高、扰动最小化的特点。该方法在多种数据集上实现了高攻击成功率，同时通过揭示对抗边的拓扑模式，暴露了图神经网络的模型脆弱性。

ABSTRACT

Graph neural networks, a popular class of models effective in a wide range of graph-based learning tasks, have been shown to be vulnerable to adversarial attacks. While the majority of the literature focuses on such vulnerability in node-level classification tasks, little effort has been dedicated to analysing adversarial attacks on graph-level classification, an important problem with numerous real-life applications such as biochemistry and social network analysis. The few existing methods often require unrealistic setups, such as access to internal information of the victim models, or an impractically-large number of queries. We present a novel Bayesian optimisation-based attack method for graph classification models. Our method is black-box, query-efficient and parsimonious with respect to the perturbation applied. We empirically validate the effectiveness and flexibility of the proposed method on a wide range of graph classification tasks involving varying graph properties, constraints and modes of attack. Finally, we analyse common interpretable patterns behind the adversarial samples produced, which may shed further light on the adversarial robustness of graph classification models.

研究动机与目标

• 开发一种针对图分类模型的黑盒对抗攻击方法，兼具查询效率与最小扰动特性。
• 克服现有攻击方法对模型内部信息访问或大查询预算的依赖。
• 实现灵活的攻击模式，如边删除、重连和节点注入，且无需重新训练。
• 分析对抗样本的拓扑特性，以理解模型的鲁棒性。
• 在真实场景中验证该方法，包括在 Twitter 上的虚假新闻检测任务。

提出的方法

• 将对抗攻击建模为黑盒优化问题，利用贝叶斯优化（BO）在最小查询次数下最小化损失函数。
• 采用代理模型近似目标模型的损失曲面，实现高效的查询规划。
• 使用特征提取器将图结构编码为潜在表示，以支持有效优化。
• 应用序列扰动选择策略，通过修改边或注入节点生成候选对抗图。
• 优化采集函数以选择最具信息量的查询点，平衡探索与利用。
• 通过统一的优化框架支持多种攻击模式，包括边删除、添加和节点注入。

实验结果

研究问题

• RQ1 如何使图分类模型的对抗攻击在保持查询效率的同时实现最小扰动？
• RQ2 基于贝叶斯优化的攻击方法生成的对抗图中，其拓扑模式如何呈现？
• RQ3 图结构的变化（如社区破坏或低度数节点操作）如何影响模型的鲁棒性？
• RQ4 所提方法能否有效攻击真实世界的图分类任务，如社交网络中的虚假新闻检测？
• RQ5 对抗边在空间上是否呈现聚集特征，或是否集中于特定结构特征（如社区或低度数节点）？

主要发现

• 对抗边倾向于紧密聚集，常共享共同端点或处于空间邻近位置，表明存在非均匀的脆弱性分布模式。
• 攻击常破坏或改变图中的社区结构，如合并社区或删除簇内边，表明对结构扰动具有显著脆弱性。
• 低度数节点尤其容易被操纵，攻击通常针对外围节点而非中心节点，与谱滤波稳定性理论一致。
• 该方法在多种数据集上均实现了高攻击成功率，涵盖生物化学、社交网络及虚假新闻检测任务，展现出广泛适用性。
• 攻击具有极高的查询效率，所需查询次数显著少于现有方法，同时保持优异性能。
• 分析表明，高阶度节点的改动可能引发级联效应，但低度数节点因在 GCN 消息传递中的影响，更易被利用。