ICLR2022《Understanding and Improving Graph Injection Attack by Promoting Unnoticeability》

原文链接：https://arxiv.org/pdf/2202.08057.pdf

evasion attack

1 Abstract and Introduction

现有的图对抗攻击主要有两种，图注入攻击（Graph Injection Attack，GIA）和图修改攻击（Graph Modification Attack，GMA）；前者是一种更实际的攻击场景，它通过往图中注入恶意节点来实现攻击，后者通过修改原图中的节点或边来实现攻击。虽然 GIA 取得了比较令人满意的结果，但是我们并不知道这种方法为什么会成功以及这种成功背后存在着什么缺点。为了理解 GIA 的能力，将 GIA 和 GMA 进行比较发现 GIA 成功的原因是由于它具有较高的灵活性，但这种灵活性是以对原图同质性分布（homophily distribution）的损害为代价的，如邻域间的相似性。因此，为了恢复原来的同质性而设计的基于同质性的防御可以很容易地减轻甚至防止 GIA 带来的的威胁。为了缓解这一问题，我们引入了一种新的约束——同质不可见性（homophily unnoticeability），以强制 GIA 保持同质性，并提出了和谐对抗目标（Harmonious Adversarial Objective，HAO）作为实例。大量的实验证明，使用 HAO 的 GIA 能够突破基于同质性的防御，并且明显优于以往的 GIA 攻击。本文的方法可以更可靠地评估 GNNs 的鲁棒性。

GIA 的灵活性使 GIA 能够将 GMA 的扰动映射到特定的 GIA 扰动中，并进一步优化映射的扰动以放大损伤（图1a）。然而，根据没有免费午餐的原则，进一步发现 GIA 的能力是建立在对原图同质性的严重破坏之上的。同质性是指节点连接到具有相似特征或标签的节点的趋势，这对现有的大多数 GNNs 的成功都至关重要。由于非鲁棒模型仅通过利用同质性损伤的性质就可以很容易地减轻甚至阻止 GIA 的鲁棒性，因此严重的同质性损伤会使 GIA 评估鲁棒性的有效性失效。

在观察到同质性的破坏之后，可以直接设计一种旨在恢复同质性的防御机制，称之为同质性防御者（homophily defenders）。同质性防御者对 GIA 攻击具有较强的鲁棒性。理论上，它们可以有效减少 GIA 造成的危害，使其低于 GMA。根据经验，使用边修剪的同质防御者的简单实现甚至可以恶化最先进的 GIA 攻击（图1b）。忽略对同质性的损害将使 GIA 变得无能为力，进一步限制了其在评估 GNNs 鲁棒性方面的应用。

为了使 GIA 能够有效地评估各种健壮的 GNNs，在开发 GIA 时必须注意保持同质性。为此，引入了一种新的约束——同质不可见性，该约束强制 GIA 保持原始图的同质性，可以作为图对抗学习中不可见约束的补充。为了实例化同质不可见性，我们提出了 GIA 的和谐对抗目标（HAO）（图1c）。具体来说，HAO 通过对攻击过程中的同质性分布偏移进行正则化，引入了一种新颖的同质约束可微实现。这样，对手（adversaries）就不容易被同质防御者识别，同时仍在进行有效的攻击（图1b）。在6个基准上的38个防御模型的广泛实验表明，基于 HAO 的 GIA 可以突破同质性防御者，在所有设置下（包括非目标攻击和目标攻击）均显著优于此前的所有工作。

本文贡献：

在一个统一的环境对 GIA 和 GMA 进行了正式的比较，发现 GIA 比 GMA 更有害是由于其具有较高的灵活性（定理1）。

但 GIA 的这种灵活性也会给同质性分布带来巨大的损害，使得 GIA 可以容易地被同质性防御者进行防御（定理2）。

为了缓解这一问题，引入了同质不可见性的概念和一个新颖的目标 HAO 来进行同质不可见攻击（定理3）。

2 Preliminaries

2.1 Graph Neural Networks

考虑一个有节点集和边集的图，是邻接矩阵，是节点特征向量。对半监督节点分类任务感兴趣。给定 C 个类别的标签集，通过最小化分类损失（如交叉熵），可以在训练（子）图上训练经 θ 参数化的图神经网络。训练后的可以对测试图中节点的标签进行预测。GNN 通常遵循邻域聚合方案来递归地更新节点表示：

其中是节点 u 邻域的节点集，，是节点 u 经过 k 次聚合后的隐层表示，是如 ReLU 的激活函数，是如 MEAN 或 SUM 的聚合函数。

2.2 Graph Adversarial Attack

图对抗攻击的目标是在有限预算（budget）内通过构建图来欺骗在图上训练的 GNN 模型。给定受害节点集，图的对抗攻击一般可以表示为：

 

其中，通常取为。

Graph Modification Attack (GMA). GMA 通过修改原图的图结构和节点特征来生成扰动后的图。GMA 中的约束用来限制和的数量，用