[论文解读] Data Poisoning Attack against Unsupervised Node Embedding Methods

Mingjie Sun, Jian Tang+5 more|arXiv (Cornell University)|Oct 30, 2018

Adversarial Robustness in Machine Learning参考文献 23被引用 45

一句话总结

本文提出一个数据投毒框架，针对无监督图嵌入方法（DeepWalk、LINE）进行链接预测攻击，使用投影梯度下降来添加或删除边，并评估完整性攻击和可用性攻击在方法之间的可迁移性。

ABSTRACT

Unsupervised node embedding methods (e.g., DeepWalk, LINE, and node2vec) have attracted growing interests given their simplicity and effectiveness. However, although these methods have been proved effective in a variety of applications, none of the existing work has analyzed the robustness of them. This could be very risky if these methods are attacked by an adversarial party. In this paper, we take the task of link prediction as an example, which is one of the most fundamental problems for graph analysis, and introduce a data positioning attack to node embedding methods. We give a complete characterization of attacker's utilities and present efficient solutions to adversarial attacks for two popular node embedding methods: DeepWalk and LINE. We evaluate our proposed attack model on multiple real-world graphs. Experimental results show that our proposed model can significantly affect the results of link prediction by slightly changing the graph structures (e.g., adding or removing a few edges). We also show that our proposed model is very general and can be transferable across different embedding methods. Finally, we conduct a case study on a coauthor network to better understand our attack method.

研究动机与目标

• 为用于链接预测的无监督图嵌入的鲁棒性问题提供动机。
• 开发一个统一的优化框架，通过添加或删除边来对图进行数据投毒。
• 表征攻击者在完整性和可用性攻击中的效用与约束。
• 展示在真实世界图上的有效性、可迁移性和案例研究。

提出的方法

• 将无监督图嵌入（DeepWalk、LINE）建模为隐式矩阵分解（最小化 ||R_Ω(Z-XY^T)||_F^2）。
• 将数据投毒表述为在两个目标下最大化攻击者效用的边修改优化：完整性和可用性。
• 使用两步 PGD 程序：①在加权邻接矩阵上进行梯度下降；②通过选择要添加/删除的边将其投影回二进制邻接矩阵。
• 通过反向传播和使用一阶 KKT 条件来获取 ∇_A L 以获得 DeepWalk 和 LINE 的梯度。
• 从它们各自的 Z 定义（式(1)和式(2)）和链式法则推导出 DeepWalk 和 LINE 的梯度分量。
• 在投影中，根据 A_opt 值接近 1（添加）或接近 0（删除）来选择候选边。

实验结果

研究问题

• RQ1 无监督图嵌入（DeepWalk、LINE）对数据投毒攻击的脆弱性有多大？
• RQ2 一个统一的优化框架是否能通过添加或删除少量边来有效降低链接预测性能？
• RQ3 投毒扰动是否能在不同嵌入方法之间迁移？
• RQ4 网络结构的哪些特征会影响攻击的有效性（完整性和可用性）？

主要发现

• 提出的 Opt-attack 框架可以在只添加或删除少量边的情况下显著改变链接预测分数。
• 攻击在不同嵌入方法之间具有可迁移性（例如从 DeepWalk/LINE 到其他方法）。
• 在真实世界图上的实验（Facebook、Cora、Citeseer）显示，在完整性和可用性攻击方面的性能均优于随机或启发式基线。
• 直接攻击（修改目标节点相邻的边）和间接攻击（修改其他边）都有效，其中边的增加通常比删除更具影响力。
• 在一个共作者网络上的案例研究表明，攻击如何降低目标跨领域链接的相似性分数，并且在可用性攻击下倾向于增加跨领域边。