[论文解读] Jointly Attacking Graph Neural Network and its Explanations

Wenqi Fan, Wei Jin+8 more|arXiv (Cornell University)|Aug 7, 2021

Adversarial Robustness in Machine Learning参考文献 50被引用 6

一句话总结

本文提出 GEAttack，一种新颖的对抗性攻击框架，通过同时规避检测与操纵模型预测，联合破坏图神经网络（GNNs）及其解释（GnnExplainer 和 PGExplainer）。该方法采用可微分的端到端优化过程，平衡对 GNN 的攻击与对解释器的绕过，实现在 CITESEER 数据集上 99.34% 的攻击成功率和 4.65% 的精确率，同时成功规避基于解释的检测。

ABSTRACT

Graph Neural Networks (GNNs) have boosted the performance for many graph-related tasks. Despite the great success, recent studies have shown that GNNs are highly vulnerable to adversarial attacks, where adversaries can mislead the GNNs' prediction by modifying graphs. On the other hand, the explanation of GNNs (GNNExplainer) provides a better understanding of a trained GNN model by generating a small subgraph and features that are most influential for its prediction. In this paper, we first perform empirical studies to validate that GNNExplainer can act as an inspection tool and have the potential to detect the adversarial perturbations for graphs. This finding motivates us to further initiate a new problem investigation: Whether a graph neural network and its explanations can be jointly attacked by modifying graphs with malicious desires? It is challenging to answer this question since the goals of adversarial attacks and bypassing the GNNExplainer essentially contradict each other. In this work, we give a confirmative answer to this question by proposing a novel attack framework (GEAttack), which can attack both a GNN model and its explanations by simultaneously exploiting their vulnerabilities. Extensive experiments on two explainers (GNNExplainer and PGExplainer) under various real-world datasets demonstrate the effectiveness of the proposed method.

研究动机与目标

• 探究是否可通过具有恶意意图的图扰动，联合攻击 GNN 及其解释。
• 解决最大化 GNN 攻击成功率与最小化被 GnnExplainer 检测到之间的固有冲突。
• 开发一个统一框架，同时破坏 GNN 模型及其解释模块。
• 通过攻击成功率、精确率、召回率、F1 和 NDCG 等多个指标，评估所提方法的有效性。
• 通过超参数 λ 分析攻击 GNN 与规避基于解释的检测之间的权衡。

提出的方法

• GEAttack 提出一种联合优化目标，通过可微分的子图选择过程松弛，将 GNN 攻击损失与 GnnExplainer 绕过损失相结合。
• 该方法采用基于梯度的优化，生成能最大化 GNN 误分类率同时最小化在解释子图中被选中的可能性的对抗性边。
• 引入超参数 λ 以平衡攻击 GNN（ASR）与规避解释器（精确率/召回率/F1/NDCG）之间的权衡。
• 该框架端到端应用于真实世界图数据集，将对抗性边添加至目标节点以操纵预测结果。
• 该方法在 GnnExplainer 和 PGExplainer 上均进行了评估，证明了其在不同解释方法下的鲁棒性。
• 通过可微分的解释子图选择松弛进行模型训练，使反向传播能够穿过解释模块。

实验结果

研究问题

• RQ1 是否可以设计出对抗性扰动，以同时欺骗 GNN 模型并规避 GnnExplainer 的检测？
• RQ2 最大化 GNN 攻击成功率与最小化被解释方法检测到之间存在何种权衡？
• RQ3 GEAttack 在联合破坏 GNN 及其解释方面相较于现有基线方法的效率如何？
• RQ4 超参数 λ 如何影响攻击 GNN 与规避解释器之间的平衡？
• RQ5 所提方法是否能成功规避基于解释的检测工具，同时保持对 GNN 的高攻击成功率？

主要发现

• 在 CITESEER 数据集上，GEAttack 实现了 99.34% 的攻击成功率（ASR）和 99.34% 的目标攻击成功率（ASR-T），优于所有基线方法。
• 在 CITESEER 上，当攻击 PGExplainer 时，GEAttack 的精确率为 4.65%，F1 为 7.47%，表明其对解释检测具有有效规避能力。
• 当 λ = 20 时，ASR-T 保持 100%，但在 λ = 50 时下降至 95%，清晰展示了攻击强度与规避能力之间的权衡。
• 当 λ > 50 时，解释检测的 F1 和 NDCG 分数保持稳定，表明更高的 λ 值可增强规避能力。
• GEAttack 在攻击成功率与规避指标上显著优于 FGA、Nettack 和 IG-Attack，尤其在 F1 和 NDCG 指标上表现突出。
• 实证研究证实，当对抗性边具有显著影响力时，GnnExplainer 能够检测到它们，验证了其作为检测工具的有效性，也凸显了联合攻击的必要性。