[论文解读] GraphAttacker: A General Multi-Task GraphAttack Framework

Jinyin Chen, Dunjie Zhang+4 more|arXiv (Cornell University)|Jan 18, 2021

Advanced Graph Neural Networks参考文献 87被引用 6

一句话总结

GraphAttacker 提出了一种基于生成对抗网络（GANs）的通用、多任务图攻击框架，可为节点分类、图分类和链接预测任务生成多样化、隐蔽的对抗性样本。通过联合训练多策略攻击生成器、相似度判别器和攻击判别器，该框架在多个任务上实现了最先进（SOTA）的攻击性能，即使在对抗性训练下也表现优异，同时保持了节点相似度分布，从而更有效地规避基于相似度的防御机制。

ABSTRACT

Graph neural networks (GNNs) have been successfully exploited in graph analysis tasks in many real-world applications. The competition between attack and defense methods also enhances the robustness of GNNs. In this competition, the development of adversarial training methods put forward higher requirement for the diversity of attack examples. By contrast, most attack methods with specific attack strategies are difficult to satisfy such a requirement. To address this problem, we propose GraphAttacker, a novel generic graph attack framework that can flexibly adjust the structures and the attack strategies according to the graph analysis tasks. GraphAttacker generates adversarial examples through alternate training on three key components: the multi-strategy attack generator (MAG), the similarity discriminator (SD), and the attack discriminator (AD), based on the generative adversarial network (GAN). Furthermore, we introduce a novel similarity modification rate SMR to conduct a stealthier attack considering the change of node similarity distribution. Experiments on various benchmark datasets demonstrate that GraphAttacker can achieve state-of-the-art attack performance on graph analysis tasks of node classification, graph classification, and link prediction, no matter the adversarial training is conducted or not. Moreover, we also analyze the unique characteristics of each task and their specific response in the unified attack framework. The project code is available at https://github.com/honoluluuuu/GraphAttacker.

研究动机与目标

• 为解决现有图攻击方法缺乏多样性的问题，这些方法通常局限于单一任务和固定策略。
• 开发一种统一、可泛化的攻击框架，适用于多种图分析任务，包括节点分类、图分类和链接预测。
• 通过保持图中节点相似度分布，生成既有效又隐蔽的对抗性样本。
• 通过基于 GAN 的训练生成多样化扰动，提升对抗性训练下的攻击鲁棒性。
• 分析不同图分析任务中的特定漏洞和特征，以指导未来防御策略的设计。

提出的方法

• GraphAttacker 采用包含多策略攻击生成器（MAG）、相似度判别器（SD）和攻击判别器（AD）的三玩家 GAN 框架。
• MAG 使用多种攻击策略（包括结构、属性及混合修改）生成对抗性扰动。
• SD 确保节点表示的相似度分布与原始图保持接近，从而增强隐蔽性。
• AD 通过测量目标任务上模型预测结果的偏移来评估攻击的成功程度。
• 框架引入一种新颖的相似度修改率（SMR）来量化并约束节点相似度的变化，从而提升对基于相似度防御的规避能力。
• 通过在 MAG、SD 和 AD 之间交替训练，实现了在多个任务上生成多样化、高质量对抗性样本的能力。

实验结果

研究问题

• RQ1 如何设计一种通用攻击框架，以支持包括节点分类、图分类和链接预测在内的多种图分析任务？
• RQ2 在不同图分析任务中，攻击效果和模型脆弱性有何关键差异？
• RQ3 如何使对抗性样本更具多样性与隐蔽性，特别是通过保持节点相似度分布？
• RQ4 所提出的框架在对抗性训练（一种强防御基线）下的表现如何？
• RQ5 每种图分析任务的独特特征如何影响攻击成功率和扰动设计？

主要发现

• GraphAttacker 在多个基准数据集上的节点分类、图分类和链接预测任务中均实现了最先进（SOTA）的攻击性能。
• 该框架在对抗性训练下仍保持高攻击成功率，表现出对强防御机制的鲁棒性。
• 在节点特征稀疏的密集图中（如 Cora、Citeseer），图结构攻击优于属性攻击；而在具有连续节点特征的数据集上（如 PROTEINS-full、ENZYMES），属性攻击更有效。
• 图分类攻击需要比节点分类更大的攻击预算，因为其需聚合图中所有节点的信息。
• 链接预测攻击最具挑战性，因其需要显著改变预测的链接概率，表明存在更陡峭的分类边界。
• 相似度修改率（SMR）有效保持了节点相似度分布，增强了隐蔽性并降低了基于相似度防御的检测概率。