[论文解读] Understanding and Improving Graph Injection Attack by Promoting Unnoticeability

Yongqiang Chen, Han Yang+5 more|arXiv (Cornell University)|Feb 16, 2022

Adversarial Robustness in Machine Learning被引用 26

一句话总结

本论文分析 Graph Injection Attack (GIA)，在缺少防御的情况下显示其对 Graph Modification Attacks (GMA) 的更大危害，并提出 Harmonious Adversarial Objective (HAO) 以实现同质性不可察觉，从而在对同质性防御下也能进行更强的 GIA 攻击。

ABSTRACT

Recently Graph Injection Attack (GIA) emerges as a practical attack scenario on Graph Neural Networks (GNNs), where the adversary can merely inject few malicious nodes instead of modifying existing nodes or edges, i.e., Graph Modification Attack (GMA). Although GIA has achieved promising results, little is known about why it is successful and whether there is any pitfall behind the success. To understand the power of GIA, we compare it with GMA and find that GIA can be provably more harmful than GMA due to its relatively high flexibility. However, the high flexibility will also lead to great damage to the homophily distribution of the original graph, i.e., similarity among neighbors. Consequently, the threats of GIA can be easily alleviated or even prevented by homophily-based defenses designed to recover the original homophily. To mitigate the issue, we introduce a novel constraint -- homophily unnoticeability that enforces GIA to preserve the homophily, and propose Harmonious Adversarial Objective (HAO) to instantiate it. Extensive experiments verify that GIA with HAO can break homophily-based defenses and outperform previous GIA attacks by a significant margin. We believe our methods can serve for a more reliable evaluation of the robustness of GNNs.

研究动机与目标

• 在统一设定下比较 GIA 和 GMA 以评估相对危害。
• 识别 GIA 的灵活性如何破坏图同质性并使攻击成为可能。
• 引入约束与目标（HAO）以在 GIA 过程中保持同质性。
• 证明带有 HAO 的 GIA 能击败基于同质性的防御并超越先前的攻击。
• 提供在同质性约束下优化 GIA 的自适应注入策略。

提出的方法

• 在统一的逃避-诱导-黑箱设定中形式化图对抗攻击。
• 表征 GIA 和 GMA 的扰动并证明比较其有效性的理论结果。
• 引入同质性不可察觉性与 Harmonious Adversarial Objective (HAO) 以约束扰动。
• 开发自适应注入策略（梯度驱动、启发式驱动、序贯式）以在实践中实现 HAO。
• 通过多重映射将 GMA 扰动映射到 GIA 以分析攻击力（Theorem 1）。
• 在多个数据集和防御模型上提供实证验证。

实验结果

研究问题

• RQ1 在无防御的情况下，在哪些条件下 GIA 公认地比 GMA 更具危害？
• RQ2 对同质性的损害如何影响 GIA 对抗同质性防御者的鲁棒性？
• RQ3 软性同质性约束（HAO）是否能让 GIA 绕过防御并保持攻击效果？
• RQ4 在使用 HAO 时，自适应注入策略是否提升 GIA 的性能？

主要发现

• 在没有防御的情况下，GIA 在等效预算下比 GMA 更具危害性（Theorem 1）。
• GIA 往往对同质性造成严重破坏，使其能被基于同质性的防御所防御（Theorem 2）。
• 通过 HAO 引入同质性不可察觉性，使攻击在保持同质性的同时仍具有效性（Theorem 3）。
• 在多数据集与防御下，HAO 启用的 GIA 显著提升非目标攻击的性能（在某些情况下提高约 30%）。
• 带有 HAO 的目标攻击在大规模图和多数据集上也显示出显著提升。
• 自适应注入策略（梯度驱动、启发式驱动、序贯式）在 HAO 下增强攻击效果。