[论文解读] Data Poisoning Attack against Knowledge Graph Embedding

Hengtong Zhang, Tianhang Zheng+5 more|arXiv (Cornell University)|Apr 26, 2019

Advanced Graph Neural Networks参考文献 31被引用 6

一句话总结

本文提出了针对知识图嵌入（KGE）模型的首个数据中毒攻击策略，通过直接和间接地操纵训练事实，降低目标事实的合理性。该攻击在极小扰动下有效降低链接预测性能（例如，在FB15K上直接添加攻击导致MRR下降0.04），在真实KGE应用中表现出高效率和隐蔽性。

ABSTRACT

Knowledge graph embedding (KGE) is a technique for learning continuous embeddings for entities and relations in the knowledge graph.Due to its benefit to a variety of downstream tasks such as knowledge graph completion, question answering and recommendation, KGE has gained significant attention recently. Despite its effectiveness in a benign environment, KGE' robustness to adversarial attacks is not well-studied. Existing attack methods on graph data cannot be directly applied to attack the embeddings of knowledge graph due to its heterogeneity. To fill this gap, we propose a collection of data poisoning attack strategies, which can effectively manipulate the plausibility of arbitrary targeted facts in a knowledge graph by adding or deleting facts on the graph. The effectiveness and efficiency of the proposed attack strategies are verified by extensive evaluations on two widely-used benchmarks.

研究动机与目标

• 探究知识图嵌入（KGE）模型对数据中毒攻击的脆弱性。
• 解决现有对抗性攻击方法的局限性，这些方法因依赖同质图假设而不适用于异构知识图。
• 设计有效、高效且隐蔽的攻击策略，通过增删事实来操纵KGE的合理性。
• 在真实基准（FB15K和WN18）上评估KGE模型在对抗性数据 poisoning 攻击下的鲁棒性。

提出的方法

• 提出直接攻击方案，通过增删特定事实来操纵目标事实中涉及实体的嵌入。
• 引入间接攻击方案，利用代理实体影响目标事实的合理性，从而增强隐蔽性。
• 采用基于梯度的优化框架，识别高影响力扰动，以最大化目标事实合理性的退化。
• 应用候选下采样以在扰动选择过程中提升计算效率。
• 使用链接预测指标（MRR、H@10）评估攻击在KGE模型上的有效性。
• 采用三种代表性KGE模型——TransE、TransR和RESCAL——进行综合评估。

实验结果

研究问题

• RQ1 在不依赖模型特异性假设的前提下，数据 poisoning 攻击能否有效降低知识图中特定目标事实的合理性？
• RQ2 在操纵KGE模型输出方面，直接与间接攻击策略在有效性与隐蔽性方面如何比较？
• RQ3 攻击预算大小对KGE模型中目标事实性能退化的影响如何？
• RQ4 知识图的结构稀疏性（如WN18与FB15K）如何影响KGE模型对数据 poisoning 攻击的鲁棒性？
• RQ5 在生成扰动方面，所提出的攻击策略在计算成本上的效率如何？

主要发现

• 直接添加攻击在FB15K数据集上使MRR下降0.04，H@10下降0.05，显著降低了链接预测性能。
• 间接删除攻击在FB15K上使MRR下降约0.03，H@10下降0.04，表明更隐蔽的攻击仍可高度有效。
• 随着扰动预算增加，攻击性能趋于饱和，表明在高影响力事实被攻击后，收益递减。
• 直接删除攻击最高效，平均每个目标事实仅需0.13秒，而间接攻击最多需14.04秒。
• 所提出的攻击策略在多种KGE模型（TransE、TransR、RESCAL）和数据集（FB15K、WN18）上均有效，证实其广泛适用性。
• 由于结构更稀疏，WN18数据集比FB15K更易受攻击，扰动对链接预测指标的影响被放大。