AAAI 2020 开源论文 | 一种针对图嵌入模型的受限黑盒对抗攻击框架

AAAI（人工智能促进协会年会）是人工智能领域的顶级国际会议之一。今年的 AAAI 2020 是第 34 届，于 2 月 7 日至 12 日在美国纽约举行。今年，第 3 次参会的腾讯 AI Lab 共有 31 篇论文入选，涵盖自然语言处理、计算机视觉、机器学习、机器人等领域。

今天我们要解读的入选论文是：A Restricted Black-box Adversarial Framework Towards Attacking Graph Embedding Models。这篇论文由腾讯 AI Lab 与清华大学合作完成。文章提出了一种在受限黑盒攻击情形下，针对多种图嵌入模型进行统一对抗攻击的框架。该方法从图信号处理的角度出发，建立了不同图嵌入模型之间的理论联系，进而可以更有效地对图嵌入模型进行攻击。

论文链接：https://arxiv.org/abs/1908.01297

源码链接：https://github.com/SwiftieH/GFAttack

近年来，不管是在学术圈还是工业界，图嵌入模型都取得了很大的成功，但与此同时图嵌入模型对于对抗扰动的鲁棒性也随之引起了人们的关注。在图模型上进行对抗扰动从去年开始成为了一个热点方向。具体而言，对于一个节点，攻击者有策略地将其连接到图中的其他节点，目标是降低这个节点被图模型正确分类的概率。

现有的对于图嵌入模型的对抗攻击方法大部分都局限于白盒攻击的情形下，即假设攻击者可以基于目标的模型参数、模型预测结果或者数据标签等额外数据对模型进行攻击。这些信息往往在现实条件下难以获得，就是说白盒攻击对真实模型的威胁其实是非常有限的。 

本文研究了更有威胁而且挑战性的攻击设置：黑盒攻击，即如何在不知道模型信息和数据标签的情况下对图表示学习模型进行攻击。为此，作者从原理上研究了图信号处理和图表示学习模型之间的理论联系，然后将图嵌入模型建模成不同图滤波器的图信号处理过程并且构造了一个通用黑盒攻击框架：GF-Attack。

GF-Attack 由图邻接矩阵和特征矩阵作为输入，其不会访问图表示学习模型中的目标分类器的任何知识，而仅以黑盒攻击方式对图滤波这一过程进行攻击。以下是 GF-Attack 的具体攻击流程。

论文方法

我们定义在图嵌入模型上进行对抗攻击的核心任务是破坏模型输出的图嵌入向量的质量，从而降低利用图嵌入进行的下游任务的性能。在给定攻击者可以修改的边数限制 β 的情况下，对于图嵌入模型的对抗扰动可以被看做如下的优化问题：