[论文解读] Adversarial Diffusion Attacks on Graph-based Traffic Prediction Models

Lyuyi Zhu, Kairui Feng+2 more|arXiv (Cornell University)|Apr 19, 2021

Traffic Prediction and Management Techniques参考文献 42被引用 6

一句话总结

本论文提出了一种新型对抗性扩散攻击，针对基于图的交通预测模型，采用通过同时扰动随机逼近（SPSA）的黑箱梯度近似方法，以及基于0-1背包问题的贪心节点选择策略。该方法在两个真实世界数据集上有效降低了多种GCN-based模型（St-GCN、T-GCN、A3t-GCN）的性能，即使在使用DropEdge正则化的情况下，攻击成功率最高可达72.37%，凸显了智能交通系统中关键的鲁棒性漏洞。

ABSTRACT

Real-time traffic prediction models play a pivotal role in smart mobility systems and have been widely used in route guidance, emerging mobility services, and advanced traffic management systems. With the availability of massive traffic data, neural network-based deep learning methods, especially the graph convolutional networks (GCN) have demonstrated outstanding performance in mining spatio-temporal information and achieving high prediction accuracy. Recent studies reveal the vulnerability of GCN under adversarial attacks, while there is a lack of studies to understand the vulnerability issues of the GCN-based traffic prediction models. Given this, this paper proposes a new task -- diffusion attack, to study the robustness of GCN-based traffic prediction models. The diffusion attack aims to select and attack a small set of nodes to degrade the performance of the entire prediction model. To conduct the diffusion attack, we propose a novel attack algorithm, which consists of two major components: 1) approximating the gradient of the black-box prediction model with Simultaneous Perturbation Stochastic Approximation (SPSA); 2) adapting the knapsack greedy algorithm to select the attack nodes. The proposed algorithm is examined with three GCN-based traffic prediction models: St-Gcn, T-Gcn, and A3t-Gcn on two cities. The proposed algorithm demonstrates high efficiency in the adversarial attack tasks under various scenarios, and it can still generate adversarial samples under the drop regularization such as DropOut, DropNode, and DropEdge. The research outcomes could help to improve the robustness of the GCN-based traffic prediction models and better protect the smart mobility systems. Our code is available at https://github.com/LYZ98/Adversarial-Diffusion-Attacks-on-Graph-based-Traffic-Prediction-Models

研究动机与目标

• 研究图卷积网络（GCN）基交通预测模型在对抗性攻击下的脆弱性。
• 开发一种新型攻击范式——扩散攻击，通过影响少量节点来降低全局模型性能。
• 评估GCN-based模型在多种防御机制（如DropEdge、DropNode和Dropout）下的鲁棒性。
• 设计一种高效、黑箱的攻击算法，无需完整模型访问即可运行。

提出的方法

• 利用同时扰动随机逼近（SPSA）近似黑箱交通预测模型的梯度，以支持基于梯度的攻击生成。
• 将0-1背包贪心算法改进用于根据其对模型性能的影响，选择最具影响力的节点作为攻击目标。
• 采用两阶段攻击框架：首先通过SPSA识别高影响力节点；其次对这些节点施加扰动，以最大化性能下降。
• 在三个GCN-based模型（St-GCN、T-GCN和A3t-GCN）上验证攻击效果，使用两个真实世界交通数据集（LA和HK）。
• 在多种正则化防御机制下评估攻击有效性，包括DropEdge、DropNode和Dropout。
• 在GitHub上开源攻击框架与评估代码，以支持可复现性及后续研究。

实验结果

研究问题

• RQ1 在黑箱设置下，所提出的扩散攻击在降低GCN-based交通预测模型性能方面的有效性如何？
• RQ2 当应用标准防御机制（如DropEdge、DropNode和Dropout）时，该攻击是否仍能保持高成功率？
• RQ3 与其它攻击策略相比，所提出的基于SPSA的梯度近似方法在攻击成功率方面表现如何？
• RQ4 节点选择策略（如背包法 vs. 中心性方法）对攻击效果有何影响？
• RQ5 尽管扰动局限于局部区域，该攻击在多大程度上能将性能下降传播至整个图？

主要发现

• 在基线条件下，所提出的Kg-Spsa攻击在LA数据集上对St-GCN的平均攻击成功率为8.32%，对T-GCN为7.76%，对A3t-GCN为22.77%。
• 在DropEdge正则化下，Kg-Spsa在LA数据集上的St-GCN攻击成功率为13.88%，在HK数据集上达到46.36%，表明对边级防御具有强鲁棒性。
• 在Dropout（LA数据集上St-GCN为11.36%）和DropNode（LA数据集上A3t-GCN为38.11%）防御下，攻击仍保持高度有效性，表明对节点级正则化具有鲁棒性。
• Kg-Spsa优于半黑箱基线方法（如PageRank和介数中心性），在HK数据集上对A3t-GCN的攻击成功率高达72.37%（在DropEdge下）。
• 即使在激进防御下，攻击依然有效：在HK数据集上对A3t-GCN的攻击成功率达到230.85%（在DropEdge下），表明存在严重漏洞。
• 开源实现支持可复现性，并为图结构交通模型的鲁棒性与防御机制研究提供支持。