论文笔记| Adversarial Attack on Graph Structured Data

文章信息

Published in：Proceedings of the 35th International Conference on Machine Learning, PMLR, 2018.

作者：Hanjun Dai, Hui Li, Tian Tian, Xin Huang, Lin Wang, Jun Zhu, Le Song

链接：Adversarial Attack on Graph Structured Data (mlr.press)

核心思想

本文提出了四种核心的图结构攻击方式，还量化了攻击者的攻击手段，包括以下三类:

• 白盒攻击（WBA）：在这种情况下，攻击者可以访问目标分类器的任何信息，包括预测、梯度信息等。
• 实际黑盒攻击（PBA）：在这种情况下，只能获得目标分类器的预测。当可以访问预测置信度时，我们将此设置表示为PBA-C；如果只能获得离散的预测标签，我们将此设置表示为PBA-D。
• 限制黑盒攻击（RBA）：这种设置比PBA更进一步。在这种情况下，我们只能对一些样本进行黑盒查询，并要求攻击者对其他样本进行对抗性修改。

根据攻击者可以从目标分类器获得的信息量，我们可以将上述设置排序为WBA > PBA-C > PBA-D > RBA。

攻击方式主要包括使用强化攻击（Qlearning）、随机攻击、梯度攻击和遗传算法，分别应用于不同的攻击能力场景。其使用场景及计算复杂度如下:

本文还是之后Zugner团队发表论文“Adversarial Attacks on Graph Neural Networks: A Comprehensive Review”的参考文献之一，Zugner团队所提出的Metattack方法来做全局攻击的思路就来自于本文所提出的梯度攻击。攻击方式非常类似，只不过本文攻击对象为原模型，Zugner所攻击对象为代理模型，攻击模型的损失函数亦有所改进。

问题描述

给定一个学习的分类器 f 和数据集中的一个实例 (G,c,y)∈D，图对抗性攻击者要求将图 G= (V,E) 修改为 G˜ = (V˜, E˜)，使得分类器f在修改后的图上预测的准确率尽可能低。

当然图的修改亦有所限制，要求扰动边的数量不超过某个阈值

其中I是一个指