[论文解读] GraphSAC: Detecting anomalies in large-scale graphs

Vassilis N. Ioannidis, Dimitris Berberidis+1 more|arXiv (Cornell University)|Oct 21, 2019

Complex Network Analysis Techniques参考文献 29被引用 22

一句话总结

GraphSAC 是一种可扩展的、基于采样的异常检测框架，适用于大规模属性图，通过图感知一致性机制在应用半监督学习（SSL）估计正常类分布之前过滤受污染的节点子集。通过最小化对潜在受损全局属性和连接的依赖，GraphSAC 实现了鲁棒的异常检测，在检测基于随机游走、聚类及对抗性异常方面优于当前最先进方法，具有线性每次采样复杂度和强理论保证。

ABSTRACT

A graph-based sampling and consensus (GraphSAC) approach is introduced to effectively detect anomalous nodes in large-scale graphs. Existing approaches rely on connectivity and attributes of all nodes to assign an anomaly score per node. However, nodal attributes and network links might be compromised by adversaries, rendering these holistic approaches vulnerable. Alleviating this limitation, GraphSAC randomly draws subsets of nodes, and relies on graph-aware criteria to judiciously filter out sets contaminated by anomalous nodes, before employing a semi-supervised learning (SSL) module to estimate nominal label distributions per node. These learned nominal distributions are minimally affected by the anomalous nodes, and hence can be directly adopted for anomaly detection. Rigorous analysis provides performance guarantees for GraphSAC, by bounding the required number of draws. The per-draw complexity grows linearly with the number of edges, which implies efficient SSL, while draws can be run in parallel, thereby ensuring scalability to large graphs. GraphSAC is tested under different anomaly generation models based on random walks, clustered anomalies, as well as contemporary adversarial attacks for graph data. Experiments with real-world graphs showcase the advantage of GraphSAC relative to state-of-the-art alternatives.

研究动机与目标

• 解决现有图异常检测方法对全局节点属性和连接的依赖性问题，这些属性和连接可能被攻击者破坏。
• 开发一种可扩展、高效且鲁棒的方法，用于在对抗性条件下检测大规模属性图中的异常。
• 通过基于一致性的采样策略，估计受异常节点影响最小的节点名义类分布。
• 为可靠异常检测所需采样次数提供理论性能保证。
• 在真实世界图上，针对包括聚类异常和对抗性攻击在内的多样化异常模型，展示优越的检测性能。

提出的方法

• GraphSAC 从图中随机采样节点子集，以避免依赖可能被污染的全局信息。
• 应用图感知过滤标准，剔除包含异常节点的子集，确保仅使用‘干净’样本进行学习。
• 对每个过滤后的子集应用半监督学习（SSL）模块，以估计每个节点的名义类分布。
• 该方法利用异常节点在 SSL 任务中表现差的原理，实现其识别。
• 使用浓度不等式对所需采样次数进行理论界定，确保以高概率收敛。
• 采样计算高效（与边数呈线性关系），且可并行化，从而实现对大规模图的可扩展性。

实验结果

研究问题

• RQ1 当节点属性和连接受到对抗性破坏时，基于采样的方法是否能有效检测大规模属性图中的异常？
• RQ2 对采样子集进行图感知过滤如何提升半监督学习在异常检测中的鲁棒性？
• RQ3 在存在对抗性污染的情况下，可为可靠异常检测建立的随机采样次数的理论边界是什么？
• RQ4 在包括随机游走和聚类异常在内的多样化异常生成模型下，GraphSAC 与当前最先进方法相比表现如何？
• RQ5 当攻击目标针对图数据时，GraphSAC 在多大程度上保持性能和效率？

主要发现

• GraphSAC 在基准图上实现了最先进 AUC 性能，在检测聚类异常时，Citeseer 图上 AUC 达 0.88，Cora 图上达 0.97，显著优于基线方法如 GAE（0.50 和 0.58）和 AMEN（0.10 和 0.48）。
• 在基于随机游走的异常检测中，即使异常节点数量增加，GraphSAC 仍能保持高 AUC（如 Citeseer 上约 0.90），而竞争对手性能则持续下降。
• GraphSAC 显著快于竞争方法，在大规模图上运行时间性能高出数个数量级，得益于线性每次采样复杂度和可并行性。
• 即使污染样本中包含多达 83 个异常节点，该方法仍保持鲁棒性，因为误分类样本中异常节点的最大数量（Kₘ）远低于总数，从而保持整体 AUC 稳定。
• GraphSAC 在不同共识阈值 T 和迭代次数 I 下性能稳定，表明对超参数设置不敏感。
• 理论分析证实，GraphSAC 所需采样次数是有限的，且在弱假设下可保证收敛。