[论文解读] GANI: Global Attacks on Graph Neural Networks via Imperceptible Node Injections

Junyuan Fang, Haixian Wen+4 more|arXiv (Cornell University)|Oct 23, 2022

Adversarial Robustness in Machine Learning被引用 9

一句话总结

GANI 通过注入在结构和特征上与真实节点无法区分的、难以察觉的虚假节点，提出了一种针对图神经网络的全局对抗攻击。利用度采样、统计特征生成以及遗传算法进行最优邻居选择，GANI 在保持隐蔽性的同时实现了强大的攻击性能，可规避如 DOMINANT 等异常检测方法的检测。

ABSTRACT

Graph neural networks (GNNs) have found successful applications in various graph-related tasks. However, recent studies have shown that many GNNs are vulnerable to adversarial attacks. In a vast majority of existing studies, adversarial attacks on GNNs are launched via direct modification of the original graph such as adding/removing links, which may not be applicable in practice. In this paper, we focus on a realistic attack operation via injecting fake nodes. The proposed Global Attack strategy via Node Injection (GANI) is designed under the comprehensive consideration of an unnoticeable perturbation setting from both structure and feature domains. Specifically, to make the node injections as imperceptible and effective as possible, we propose a sampling operation to determine the degree of the newly injected nodes, and then generate features and select neighbors for these injected nodes based on the statistical information of features and evolutionary perturbations obtained from a genetic algorithm, respectively. In particular, the proposed feature generation mechanism is suitable for both binary and continuous node features. Extensive experimental results on benchmark datasets against both general and defended GNNs show strong attack performance of GANI. Moreover, the imperceptibility analyses also demonstrate that GANI achieves a relatively unnoticeable injection on benchmark datasets.

研究动机与目标

• 为解决现有节点注入攻击（NIAs）在拓扑和特征空间中常引起可检测扰动的局限性。
• 通过同时保持原始图的结构一致性和特征一致性，提升 NIAs 的隐蔽性。
• 开发一种鲁棒的、全局的中毒攻击策略，以降低 GNN 性能而不触发检测机制。
• 在包含二值与连续节点特征的多样化数据集上评估该方法，确保其广泛适用性。
• 证明所注入的节点可逃避最先进的异常检测方法（如 DOMINANT）的检测。

提出的方法

• 采用度采样机制，注入度数在统计上与原始图度分布一致的节点。
• 基于类别内均值与标准差的统计特征生成方法，确保虚假节点特征与真实节点分布一致，支持二值与连续特征。
• 利用遗传算法优化邻居选择，通过演化链接配置以最大化对目标 GNN 的攻击性能。
• 采用两级排序机制，基于适应度优先选择解，并最小化节点同质性降低，以增强隐蔽性与有效性。
• 通过联合优化结构相似性与特征一致性，实现拓扑与特征层面的隐蔽性整合。
• 在全局中毒设置下评估攻击，目标为降低节点分类性能。

实验结果

研究问题

• RQ1 能否在同时保持高攻击有效性的同时，使节点注入攻击在拓扑与特征空间中均难以察觉？
• RQ2 与随机或基线 NIA 方法相比，所提出方法在攻击成功率与可检测性方面表现如何？
• RQ3 所注入的节点在多大程度上可逃避如 DOMINANT 等异常检测方法的检测？
• RQ4 统计特征生成与进化邻居选择的结合是否优于单一组件？
• RQ5 该方法在不同 GNN 架构及具有不同类型特征的数据集上的表现如何？

主要发现

• GANI 在 Cora 上实现了 77.25% 的攻击成功率，在 Citeseer 上为 70.27%，在 Cora-ML 上为 80.82%，在 Pubmed 上为 83.92%，显著降低了 GNN 性能。
• DOMINANT 异常检测方法在 GANI 污染图上的 AUC 分数全部低于 0.5（例如 Cora 上为 0.3231），表明未检测到注入的节点。
• DOMINANT 的 Precision@K 与 Recall@K 在所有数据集上均为 0，确认注入节点未被识别为异常。
• 消融实验表明，通过遗传算法进行邻居选择对攻击性能的贡献大于特征生成，多数情况下 GANI -links 的表现优于 GANI -features。
• 特征生成模块有效保持了特征分布，即使在部分情况下特征被随机分配，方法仍保持有效性，表明对特征扰动具有鲁棒性。
• 该方法在包含二值与连续特征的数据集上均保持了强隐蔽性，展示了良好的泛化能力。