ICLR2022《Understanding and Improving Graph Injection Attack by Promoting Unnoticeability》

关注

VIP免费原创 2022-05-02 13:50:22 2k 阅读 AI 写同款· GEO 优化 ›

图对抗攻击及防御算法种类一、图对抗攻击按照攻击算法在图中添加扰动的不同阶段，可以将图对抗攻击分为两类，分别为逃逸攻击和投毒攻击。其中逃逸攻击是攻击者构造对抗样本在模型测试简短欺骗目标模型，而投毒攻击是攻击者在模型训练阶段向训练集中注入对抗样本，使得训练后的模型具有误导性。经典的图对抗攻击主要有如下几种： Nettack：利用图卷积网络的梯度信息修改图数据，使得目标节点被错误分类为指定类别。这种攻击方法是对属性图进行攻击的算法。 Metattack：利用元学习将图作为优化目标产生用于攻击的图数据。 RL-S2V：将强化学习引入阅读详情

原文链接：https://arxiv.org/pdf/2202.08057.pdf

evasion attack

1 Abstract and Introduction

现有的图对抗攻击主要有两种，图注入攻击（Graph Injection Attack，GIA）和图修改攻击（Graph Modification Attack，GMA）；前者是一种更实际的攻击场景，它通过往图中注入恶意节点来实现攻击，后者通过修改原图中的节点或边来实现攻击。虽然 GIA 取得了比较令人满意的结果，但是我们并不知道这种方法为什么会成功以及这种成功背后存在着什么缺点。为了理解 GIA 的能力，将 GIA 和 GMA 进行比较发现 GIA 成功的原因是由于它具有较高的灵活性，但这种灵活性是以对原图同质性分布（homophily distribution）的损害为代价的，如邻域间的相似性。因此，为了恢复原来的同质性而设计的基于同质性的防御可以很容易地减轻甚至防止 GIA 带来的的威胁。为了缓解这一问题，我们引入了一种新的约束——同质不可见性（homophily unnoticeability），以强制 GIA 保持同质性，并提出了和谐对抗目标（Harmonious Adversarial Objective，HAO）作为实例。大量的实验证明，使用 HAO 的 GIA 能够突破基于同质性的防御，并且明显优于以往的 GIA 攻击。本文的方法可以更可靠地评估 GNNs 的鲁棒性。

GIA 的灵活性使 GIA 能够将 GMA 的扰动映射到特定的 GIA 扰动中，并进一步优化映射的扰动以放大损伤（图1a）。然而，根据没有免费午餐的原则，进一步发现 GIA 的能力是建立在对原图同质性的严重破坏之上的。同质性是指节点连接到具有相似特征或标签的节点的趋势，这对现有的大多数 GNNs 的成功都至关重要。由于非鲁棒模型仅通过利用同质性损伤的性质就可以很容易地减轻甚至阻止 GIA 的鲁棒性，因此严重的同质性损伤会使 GIA 评估鲁棒性的有效性失效。

在观察到同质性的破坏之后，可以直接设计一种旨在恢复同质性的防御机制，称之为同质性防御者（homophily defenders）。同质性防御者对 GIA 攻击具有较强的鲁棒性。理论上，它们可以有效减少 GIA 造成的危害，使其低于 GMA。根据经验，使用边修剪的同质防御者的简单实现甚至可以恶化最先进的 GIA 攻击（图1b）。忽略对同质性的损害将使 GIA 变得无能为力，进一步限制了其在评估 GNNs 鲁棒性方面的应用。

为了使 GIA 能够有效地评估各种健壮的 GNNs，在开发 GIA 时必须注意保持同质性。为此，引入了一种新的约束——同质不可见性，该约束强制 GIA 保持原始图的同质性，可以作为图对抗学习中不可见约束的补充。为了实例化同质不可见性，我们提出了 GIA 的和谐对抗目标（HAO）（图1c）。具体来说，HAO 通过对攻击过程中的同质性分布偏移进行正则化，引入了一种新颖的同质约束可微实现。这样，对手（adversaries）就不容易被同质防御者识别，同时仍在进行有效的攻击（图1b）。在6个基准上的38个防御模型的广泛实验表明，基于 HAO 的 GIA 可以突破同质性防御者，在所有设置下（包括非目标攻击和目标攻击）均显著优于此前的所有工作。

本文贡献：

在一个统一的环境对 GIA 和 GMA 进行了正式的比较，发现 GIA 比 GMA 更有害是由于其具有较高的灵活性（定理1）。

但 GIA 的这种灵活性也会给同质性分布带来巨大的损害，使得 GIA 可以容易地被同质性防御者进行防御（定理2）。

为了缓解这一问题，引入了同质不可见性的概念和一个新颖的目标 HAO 来进行同质不可见攻击（定理3）。