一种针对图神经网络对抗攻击的通用框架

《Pattern Recognition》：A generic framework for Graph Neural Networks against adversarial attacks

　　

• 为普通GNN提出一种针对图对抗攻击的通用框架。• 设计一种优先恢复高影响力边的对比学习方法。• 通过数据增强生成衰减扰动信号以增强鲁棒性。• 实验验证我们的方法优于最先进的防御方法。

## 引言

图作为现实世界中普遍存在的数据结构，能够建模真实系统并表示各领域中对象间的复杂关系[1]。近年来，图神经网络（GNNs）凭借其通过消息传递机制有效处理图结构数据的独特能力而备受关注[2]。它们在推荐系统[3]、金融交易[4]和社会网络[5]等广泛应用中展现了卓越的性能。然而，消息传递机制的成功依赖于准确的图结构[6]，这在安全关键领域应用GNNs时，面对对抗攻击带来了风险和挑战。

近期研究表明，GNNs容易受到对抗攻击[7]，这些攻击利用精心设计的扰动来破坏图数据。例如，在金融欺诈检测中，欺诈者可以通过故意与高信用用户建立联系来逃避基于GNNs的监控，导致巨大的经济损失和系统性风险[4]。类似地，在AI辅助药物发现中，对分子图结构的不易察觉的扰动可能导致模型将有毒化合物误分类为安全化合物，从而危及公众健康[8]。GNNs的众多变体也面临相应的风险，如基于Graphormer的模型[9]和超图神经网络[10]、[11]。此外，超图神经网络的理论洞察揭示了高通滤波在建模复杂拓扑结构中的关键作用，强调传统低通GNNs可能不足以捕捉异构对抗扰动[12]。在各种攻击中，对图结构的扰动特别有效且破坏性强，因为引入到边中的干扰可以显著削弱GNNs的性能。近期的理论分析进一步证实了这一点，证明深层GCNs对拓扑完整性具有固有的敏感性，结构扰动对模型稳定性和泛化能力的破坏性远大于特征扰动[13]。因此，确保GNNs模型对抗攻击的鲁棒性已成为基于图的机器学习中的紧迫问题。

为了实现对对抗攻击更加鲁棒和可信的GNNs，当前工作主要集中在图结构学习上。一些研究利用原始节点特征导出的相似度分数来修复图结构，如GNN-Guard[14]和Jaccard[15]。然而，这些方法主要依赖于原始节点特征，在细化过程中可能会错误地表示图的拓扑。其他方法通过利用结构约束来优化图结构。例如，ProGNN[16]直接优化被扰动图的邻接矩阵，而GLNNs[17]利用谱图理论和稀疏性约束来优化图结构。尽管如此，这些优化方法往往缺乏来自可靠节点表示的约束，可能导致图结构学习出现次优方向。

最近，几种方法利用无监督学习来提取表示并重建图结构。例如，STABLE[18]和DualRGNN[19]引入了用于图细化的对比方法。然而，这些方法通过对边进行预处理然后随机恢复其中一部分来生成对比视图。这些方法的一个关键局限是对所有边进行均匀处理，忽视了边影响力在图对抗攻击中的关键作用。为了深入研究这一问题，我们进行了探索性实验来评估不同影响力水平的对抗边造成的性能下降，如图1所示。这些实验的详细信息以及额外数据集的结果在附录A中呈现。

如图1(a)所示，注入更多高影响力的扰动边会导致GNNs性能更明显的下降。此外，如图1(b)所示，随着扰动率增加，这一现象变得更加显著。这种脆弱性源于强大的对抗攻击会战略性地瞄准不同类别中高中心性的节点，以最小的扰动最大化同质性破坏。因此，高影响力边在攻击中至关重要，在防御中需要特别关注。然而，当前的对比学习方法忽视了这一特性，因为其增强视图依赖于随机恢复策略[18]、[19]。这些现有方法在采样过程中对所有边进行均匀处理，可能会错过最具破坏性的对抗边。相比之下，我们的影响力感知非均匀采样对高风险边赋予更高的恢复概率，以构建具有挑战性的对比视图，迫使编码器抵抗严重的拓扑破坏。因此，开发一种利用我们展示的属性的全面方法来防御对抗攻击仍然是一个重大挑战。

此外，当前方法将图结构学习获得的细化图作为最优图结构[16]，直接应用于后续下游任务[20]。然而，这些方法往往忽视了细化图中残留的对抗边，这些边可能对消息传递产生负面影响并降低鲁棒性。

为了解决上述问题，我们提出了一种名为Resistant（鲁棒脱敏机制可信图神经网络）的新型框架，可以轻松适配任何普通GNN，使其能够抵抗图对抗攻击。Resistant采用了一种基于脱敏机制的新型策略。该机制主动让模型接触受控的对抗扰动，逐步增强其对结构噪声的适应性和容忍度。具体而言，Resistant由两个关键模块组成：脱敏表示图结构学习（DRGSL）和脱敏数据增强（DDA）。DRGSL测量边影响力并对图进行预处理，然后对高影响力的处理边赋予更高的恢复概率以生成对比视图，获得用于图细化的脱敏表示。由于细化图可能仍包含残留的对抗边，DDA采用图自编码器生成逐步衰减的扰动信号，这些信号在训练过程中被注入到细化图中。

我们将主要贡献总结如下：
- 我们提出了一种名为Resistant的模型无关即插即用框架，可适配任何普通GNN。在技术上，它引入了一种新颖的脱敏机制，注入精心设计的扰动信号，从而增强普通GNN防御图对抗攻击的鲁棒性。
- 通过多个数据集上的探索性实验，我们证明了具有更高影响力的对抗边会导致更严重的对抗攻击。受此属性启发，我们提出了一种新的对比学习方法，采用优先高影响力边的特定恢复方案，旨在获得用于图结构学习的脱敏表示。
- 我们设计了一个脱敏数据增强模块，利用图自编码器生成衰减的扰动信号，这些信号在训练过程中被注入到细化图中，使普通GNN能够抵抗扰动。
- 在多个真实世界图数据集上，我们进行了大量实验，证明Resistant与普通消息传递GNNs兼容，表现出广泛的架构适应性，并且在防御图对抗攻击方面优于最先进的防御模型。

## 片段

### 鲁棒和可信的GNNs

图神经网络（GNNs）已被广泛用于建模图结构数据，但其对对抗攻击的脆弱性促使了对鲁棒GNNs的广泛研究。一条常见的研究路线集中在图结构学习或细化上。Jaccard[15]和GNN-Guard[14]通过利用节点特征相似性来缓解对抗效应，而EFGAE[21]和ARB[22]通过自监督表示学习或基于传播的设计来提高鲁棒性。然而，这些方法……

### 符号说明

设??={??, ?, ??}表示具有??个节点的扰动图，其中??（节点集合）、?（边集合）和??∈?^??×??（节点特征矩阵，??为特征维度）。??_??表示节点??的特征向量（??的第??行）。设??∈{0,1}^??×??为??的邻接矩阵，其中如果边??_????∈?（连接??_??和??_??）存在，则??_????=1，否则为0。??为对角度矩阵，??_????=∑_????_????（节点??_??的度）。

### 图神经网络

我们采用GCN[30]来演示GNNs的消息传递和更新机制。单层GNN……

### 提出方法

如图2所示，所提出的Resistant框架被设计为一种模型无关的即插即用范式，可以与普通GNNs集成以增强其对抗攻击的鲁棒性。我们正式引入脱敏机制作为防御策略，该策略将模型暴露于模拟对抗模式的受控结构扰动，从而在表示和模型两个层面上提高其对未知攻击的容忍度。

Resistant由两部分组成……

### 数据集

我们在表2的四个真实世界数据集上验证了我们的框架。Polblogs没有节点特征，因此我们使用??×??单位矩阵作为节点特征。Polblogs上的Jaccard结果不可用，因为对单位特征进行余弦相似度计算没有意义。

### 实现细节

为确保公平比较，所有方法均在相同的硬件环境、相同的扰动输入图和统一的准确率指标下进行评估。我们没有强制所有方法使用统一的骨干网络，而是为每个基线方法进行了优化……

### 结论

在本文中，我们提出了Resistant，一种新颖的模型无关的鲁棒图神经网络框架，用于增强普通GNNs对结构对抗攻击的韧性。Resistant的核心是一种专用的脱敏机制，主动向图中注入动态衰减的扰动噪声，以提高模型对恶意边的容忍度。通过表示级脱敏（DRGSL）和模型级脱敏（DDA）的协同作用，Resistant……

## CRediT作者贡献声明

Qian Tao：写作——审阅与编辑、监督、项目管理、资金获取、概念化。Da Xiang：可视化、形式分析、调查、软件、验证、写作——审阅与编辑。Yanchao Zhang：写作——初稿、软件、方法论、调查、形式分析、概念化。Jianqiao Hu：调查。Weiyu Lin：验证、数据管理。

## 利益冲突声明

作者声明以下财务利益/个人关系，可被视为潜在的利益冲突：Qian Tao报告获得了中国国家自然科学基金的资金支持。如果有其他作者，他们声明没有已知的竞争性财务利益或个人关系可能影响本文报告的工作。

## 致谢

本工作得到了中国国家自然科学基金的资助（项目编号：62276101）。

Qian Tao于2011年获得中山大学计算机科学博士学位。2012年至2015年，他在中国科学院担任计算机科学博士后研究员。2017年至2018年，他是美国罗德岛大学电气、计算机与生物医学工程系的研究学者。2023年，他是英国剑桥大学 Girton 学院的研究学者。他目前是……

Qian Tao | Da Xiang | Yanchao Zhang | Jianqiao Hu | Weiyu Lin