[论文解读] Attack Graph Convolutional Networks by Adding Fake Nodes

Xiaoyun Wang, Cheng, Minhao+3 more|arXiv (Cornell University)|Oct 25, 2018

Advanced Graph Neural Networks参考文献 30被引用 57

一句话总结

论文引入了伪节点攻击通过插入带有优化的邻接和特征的恶意节点来降低 GCN 的性能，并提出 Greedy 和 Greedy-GAN 方法来构建此类节点。

ABSTRACT

In this paper, we study the robustness of graph convolutional networks (GCNs). Previous work have shown that GCNs are vulnerable to adversarial perturbation on adjacency or feature matrices of existing nodes; however, such attacks are usually unrealistic in real applications. For instance, in social network applications, the attacker will need to hack into either the client or server to change existing links or features. In this paper, we propose a new type of "fake node attacks" to attack GCNs by adding malicious fake nodes. This is much more realistic than previous attacks; in social network applications, the attacker only needs to register a set of fake accounts and link to existing ones. To conduct fake node attacks, a greedy algorithm is proposed to generate edges of malicious nodes and their corresponding features aiming to minimize the classification accuracy on the target nodes. In addition, we introduce a discriminator to classify malicious nodes from real nodes, and propose a Greedy-GAN attack to simultaneously update the discriminator and the attacker, to make malicious nodes indistinguishable from the real ones. Our non-targeted attack decreases the accuracy of GCN down to 0.03, and our targeted attack reaches a success rate of 78% on a group of 100 nodes, and 90% on average for attacking a single target node.

研究动机与目标

• 在现实攻击场景中激励对 GCN 鲁棒性的评估，其中攻击者通过添加伪节点而非修改现有节点来进行攻击。
• 开发算法以设计具有离散邻接矩阵和特征矩阵的伪节点，使目标节点的 GCN 准确率下降。
• 通过现实性约束确保伪节点在距离基和特征基的检测器下保持难以被发现。
• 在标准图基准数据集（Cora 和 Citeseer）上评估在非目标和目标设定下的攻击有效性。

提出的方法

• 通过用矩阵 B、C 和 X_fake 增强邻接矩阵和特征矩阵来引入伪节点，初始时 B=0，C=I。
• 提出 Greedy 攻击：基于攻击目标 J 的梯度迭代添加最具影响力的边或特征。
• 定义一个非目标攻击目标：对目标节点求和最高 logit 与正确标签之间的边距并在稀疏约束下最大化它。
• 通过加入判别器 D 将其扩展为 Greedy-GAN，以鼓励伪节点特征类似真实节点，在对抗性训练下优化 J + c L(D(X'),Y)。
• 通过将目标改为将目标节点推向所选标签来适配目标攻击，并在分组和单节点情景中进行评估。
• 在注入伪节点后重新训练 GCN 并进行数据污染实验，评估在不同归一化方式下的鲁棒性。

实验结果

研究问题

• RQ1 在不修改原始节点属性的情况下，插入伪节点是否会降低 GCN 对现有节点的性能？
• RQ2 在离散的邻接/特征约束下，Greedy 和 Greedy-GAN 等贪心策略在构建伪节点方面的有效性如何？
• RQ3 以判别器引导的（类似 GAN）方法是否在保持攻击效果的同时提高伪节点的隐蔽性？
• RQ4 在标准基准数据集（Cora、Citeseer）上，伪节点对目标与非目标节点分类的影响是什么？
• RQ5 逐行归一化和对称归一化如何影响对伪节点攻击和数据污染的鲁棒性？

主要发现

• 使用 Greedy 的非目标攻击在某些单节点目标的设置下将准确率降低到近似冠军的程度，最低可降至 0.03。
• 对 100 个节点的分组目标攻击取得显著成功，在针对常见类别和使用目标标签时效果更佳。
• Greedy-GAN 能生成更难与真实节点区分的伪节点，在保持竞争性攻击性能的同时提高对检测的抗性。
• 数据污染实验表明，在修改数据后攻击和重新训练都可以显著降低 GCN 的准确率，且对称归一化表现出相对鲁棒性。
• 攻击对图结构的扰动仅有微小幅度，保持在网络分布的近似界限内，基于度的分析显示低度节点更易受攻击。