[论文解读] Scalable Attack on Graph Data by Injecting Vicious Nodes

Jihong Wang, Minnan Luo+4 more|arXiv (Cornell University)|Apr 22, 2020

Advanced Graph Neural Networks参考文献 27被引用 4

一句话总结

本文提出 AFGSM，一种可扩展的攻击方法，通过向图数据中注入恶意节点来误导图卷积网络（GCNs），显著降低其分类准确率。通过近似模型梯度以实现快速、闭式更新，AFGSM 在现有方法基础上实现数量级的速度提升，即使在仅允许边扰动或间接扰动等现实约束条件下，仍保持极高的攻击有效性。

ABSTRACT

Recent studies have shown that graph convolution networks (GCNs) are vulnerable to carefully designed attacks, which aim to cause misclassification of a specific node on the graph with unnoticeable perturbations. However, a vast majority of existing works cannot handle large-scale graphs because of their high time complexity. Additionally, existing works mainly focus on manipulating existing nodes on the graph, while in practice, attackers usually do not have the privilege to modify information of existing nodes. In this paper, we develop a more scalable framework named Approximate Fast Gradient Sign Method (AFGSM) which considers a more practical attack scenario where adversaries can only inject new vicious nodes to the graph while having no control over the original graph. Methodologically, we provide an approximation strategy to linearize the model we attack and then derive an approximate closed-from solution with a lower time cost. To have a fair comparison with existing attack methods that manipulate the original graph, we adapt them to the new attack scenario by injecting vicious nodes. Empirical experimental results show that our proposed attack method can significantly reduce the classification accuracy of GCNs and is much faster than existing methods without jeopardizing the attack performance.

研究动机与目标

• 解决现有 GCN 攻击方法在大规模图上存在的可扩展性限制，这些方法在计算上对大规模图不可行。
• 建模一种更现实的攻击场景，即攻击者只能注入新节点，而无法修改现有节点。
• 开发一种快速、近似的攻击方法，即使在对原始图结构控制有限的情况下，仍能保持高攻击有效性。
• 在实际约束（如仅边扰动或对目标节点的间接连接）下评估攻击的鲁棒性。

提出的方法

• 提出近似快速梯度符号法（AFGSM），通过梯度近似线性化 GCN 模型，以实现对注入恶意节点的闭式更新。
• 引入一种低复杂度的近似策略，避免迭代优化，极大降低时间成本，同时保持攻击质量。
• 通过注入具有对抗性特征和边的节点，将现有攻击方法（如 Nettack、FGSM）适配到仅注入的新场景。
• 采用双层优化框架，确保在图经扰动后重新训练模型的情况下，攻击仍能成功。
• 支持受限设置，如仅边扰动和对目标节点的间接连接，以模拟现实世界中的访问限制。
• 使用基于约束的优化（公式 7）确保扰动不易被察觉，同时最大化目标节点的误分类。

实验结果

研究问题

• RQ1 当攻击者被限制只能注入新节点而非修改现有节点时，GCN 的对抗性攻击是否仍具有效性？
• RQ2 在大规模图设置下，所提出的 AFGSM 方法在攻击有效性和效率方面与现有方法相比如何？
• RQ3 在仅边扰动或间接扰动等实际约束下，攻击性能会下降到何种程度？
• RQ4 在攻击场景中，能否通过自由设计注入节点的特征来弥补对原始节点控制不足的问题？

主要发现

• AFGSM 在 Cora 上将 GCN 分类准确率降低至 0.216 ± 0.013，在 Reddit 上降低至 0.572 ± 0.027，显著优于 FGSM 和 Nettack 等基线方法。
• 在大规模图上，AFGSM 相较于现有方法实现 10 倍至 100 倍的速度提升，运行时间呈次线性增长，而以往方法的复杂度为二次方或更差。
• 即使在仅边扰动条件下，AFGSM 仍保持强大攻击性能（如 Cora 上为 0.604 ± 0.034），表明对特征操纵的约束具有高度鲁棒性。
• 间接攻击（无直接连接至目标节点）效果较差，但仍具成效，Cora 上准确率降至 0.648 ± 0.030，凸显直接连接的重要性。
• AFGSM-ada（自适应变体）在所有数据集上均取得最佳攻击性能，Cora 上错误率为 0.216 ± 0.013，优于所有基线方法。
• 即使注入节点的特征为随机采样，攻击仍具有效性，表明在新攻击场景中，边结构起主导作用。