KDD2021《TDGIA: Effective Injection Attacks on Graph Neural Networks》论文详解

原文链接：https://arxiv.org/pdf/2106.06663.pdf

evasion attack

1&2 Abstract & Introduction

本文作者分析了图注入攻击（Graph Injection Attack，GIA）设置下的 GNN 网络的拓扑脆弱性（topological vulnerability），在此基础上提出了拓扑缺陷图注入攻击（Topological Defective Graph Injection Attack, TDGIA）以进行有效注入攻击。TDGIA 首先引入了拓扑缺陷边选择策略（topological edge selection strategy）来选择原始节点与注入节点进行连接。 然后设计了平滑特征优化目标（smooth feature optimization objective）来为注入的节点生成特征。

Contributions：研究了 GIA 下 GNNs 的脆弱性，表明 GNNs 作为 non-structural-ignorant models 具有很强的脆弱性，即 GIA-attackable。在此基础上提出了 TDGIA。TDGIA 对应于 GIA 的问题设置由两个模块组成——拓扑缺陷边选择（topological defective edge selection）和注入节点属性生成的平滑对抗优化。具体来说，利用原始图的拓扑漏洞（topological vulnerability）来检测现有的最能帮助攻击的节点，然后以顺序的方式在它们周围注入新的节点。在此基础上，设计了一个平滑损失函数（smooth loss function）来优化节点的特征，以最小化目标 GNN 模型的性能。

3 Problem Definition

本文对 GMA 和 GIA 的问题定义分别如下：

定义属性图，是 N 个节点的邻接矩阵，是节点特征。是预测标签的模型。

GMA 的目标是通过修改原始图 G，最小化在一组目标节点上的正确预测次数：

其中是修改后的图，是节点 i 的真实标签。和是用来衡量修改规模的预定义函数。限制确保了图被对手稍微地修改。

GIA 在保持原图的边和 N 个节点的属性不被修改的同时，直接向图 G 中注入个节点。GIA 用下式构造：

其中是注入节点的邻接矩阵，是表示 G 中节点与注入节点之间边的矩阵，是注入节点的特征矩阵。

GIA 的目标可以形式化为：

其中是注入节点集，受到预算 b 的限制，每个注入节点的度数受到 d 的限制，注入的特征被限制为。这些限制是为了确保 GIA 尽可能不被防御者注意到。

The GIA Process. 首先，训练代理模型；其次，在该模型上进行注入攻击；最后，攻击被转移到一个或多个目标模型。

为处理大规模的数据，GIA 可以按定义分为两步。首先，生成现有节点和注入节点之