[论文解读] Attacking Graph-based Classification via Manipulating the Graph Structure

Binghui Wang, Neil Zhenqiang Gong|arXiv (Cornell University)|Mar 1, 2019

Adversarial Robustness in Machine Learning参考文献 68被引用 13

一句话总结

本文提出了一种新颖的攻击框架，通过战略性地操纵图结构（特别是插入或删除边）来规避基于图的安全系统中的集体分类，使目标节点被错误分类为负面。该方法将攻击形式化为图优化问题，并使用近似技术高效生成对抗性边，在多个数据集上表现出高规避成功率，且在集体分类和图神经网络方面均优于现有攻击方法。

ABSTRACT

Graph-based classification methods are widely used for security and privacy analytics. Roughly speaking, graph-based classification methods include collective classification and graph neural network. Evading a graph-based classification method enables an attacker to evade detection in security analytics and can be used as a privacy defense against inference attacks. Existing adversarial machine learning studies mainly focused on machine learning for non-graph data. Only a few recent studies touched adversarial graph-based classification methods. However, they focused on graph neural network methods, leaving adversarial collective classification largely unexplored. We aim to bridge this gap in this work. We first propose a threat model to characterize the attack surface of a collective classification method. Specifically, we characterize an attacker's background knowledge along three dimensions: parameters of the method, training dataset, and the complete graph; an attacker's goal is to evade detection via manipulating the graph structure. We formulate our attack as a graph-based optimization problem, solving which produces the edges that an attacker needs to manipulate to achieve its attack goal. Moreover, we propose several approximation techniques to solve the optimization problem. We evaluate our attacks and compare them with a recent attack designed for graph neural networks. Results show that our attacks 1) can effectively evade graph-based classification methods; 2) do not require access to the true parameters, true training dataset, and/or complete graph; and 3) outperform the existing attack for evading collective classification methods and some graph neural network methods. We also apply our attacks to evade Sybil detection using a large-scale Twitter dataset and apply our attacks as a defense against attribute inference attacks using a large-scale Google+ dataset.

研究动机与目标

• 解决对抗性机器学习研究中针对集体分类的空白，尽管其在安全应用中被广泛使用，但该领域仍基本未被探索。
• 开发一种实用的攻击方法，通过添加或删除边来操纵图结构，以规避集体分类系统中的检测。
• 设计一种基于优化的攻击框架，即使在缺乏模型参数、训练数据或完整图的情况下，也具备计算可行性与有效性。
• 评估该攻击在图神经网络上的可迁移性，并评估其对检测的鲁棒性。
• 探索针对此类结构攻击的潜在防御策略，包括检测被操纵的边以及设计更具鲁棒性的分类方法。

提出的方法

• 将攻击形式化为基于图的优化问题，以确定导致目标节点被错误分类的最小边修改集合（插入/删除）。
• 使用近似技术，包括贪心搜索和基于梯度的启发式方法，高效求解计算上困难的优化问题。
• 采用 LinLBP（线性化环路信念传播）作为基础的集体分类方法，因其最先进的性能和统一的边权重，简化了优化过程。
• 基于节点声誉分数和局部图结构生成对抗性边，重点关注在操纵后可能被错误分类的节点。
• 通过在图神经网络上应用相同攻击来评估可迁移性，以测试跨方法的有效性。
• 通过避免依赖模型参数、训练数据或完整图访问，实现抗检测设计，从而增强隐蔽性。

实验结果

研究问题

• RQ1 在无模型参数或完整训练数据集访问的情况下，图结构操纵能否有效规避安全分析中的集体分类？
• RQ2 与针对图神经网络和集体分类方法的现有攻击相比，所提出的攻击表现如何？
• RQ3 该攻击在多大程度上可迁移至图神经网络模型，表明其泛化能力？
• RQ4 攻击后图的结构发生了何种变化？这些变化能否用于检测对抗性修改？
• RQ5 有哪些防御策略可缓解此类攻击？如何设计这些策略以在面对自适应攻击者时仍保持有效性？

主要发现

• 所提出的攻击在四个真实和合成图数据集上成功规避了集体分类，包括一个包含真实正样本节点的大规模 Twitter 图。
• 该攻击实现了高规避率，显著优于针对集体分类设计的现有攻击以及某些图神经网络方法。
• 该攻击表现出强大的可迁移性，能有效规避在相同数据上训练的图神经网络模型，表明其具有广泛适用性。
• 即使在无法访问 LinLBP 的真实参数、训练数据集或完整图的情况下，该攻击仍保持有效性，凸显其隐蔽性和实用性。
• 攻击后分析显示，目标节点的聚类系数略有下降，表明存在可检测的结构变化，可为未来检测机制提供依据。
• 本研究识别出潜在的防御方向，包括通过节点对特征分类器检测被操纵的边，以及设计内在鲁棒的基于图的分类模型。