图神经网络的标签翻转对抗攻击

吴翼腾，刘伟，于洪涛

（信息工程大学，河南 郑州 450002）

1 引言

对抗攻击指有目的地对输入数据施加微小扰动，以使学习模型输出错误的预测结果[1]。本文认为与对抗攻击直接关联的研究可上溯至20 世纪70 年代的统计诊断[2]。统计诊断最早研究了学习模型的微小扰动对统计推断带来的影响。近年来，随着深度学习的发展，其应用安全受到广泛关注。Szegedy等[3]研究图像数据的卷积神经网络（CNN,convolutional neural network）安全问题时提出了“对抗样本”概念[4]。Zügner 等[5]提出处理图数据的深度学习模型图神经网络（GNN,graph neural network）的对抗攻击。

图神经网络对抗攻击研究正处于快速发展阶段，相关研究成果活跃于国际学术会议[6-8]。分析最新研究成果发现，当前研究存在扰动类型不足、前提假设单一等问题。现有研究的扰动类型通常仅考虑增删节点和连边；攻击假设通常仅基于矛盾数据假设，具体说明如下。

1) 扰动类型不足。现有图神经网络对抗攻击的扰动类型[9-10]主要是特征扰动、增删连边和节点注入[5,11-13]，没有考虑将训练数据中的特定样本标签翻转为其他类别导致模型预测错误的标签翻转攻击。标签翻转攻击已被其他数据类型的对抗攻击场景广泛研究。例如，统计诊断[2,14]的经典模型均值漂移模型和局部影响分析模型[15-17]都详细研究了因变量扰动对模型统计推断的影响，是标签翻转攻击的最初形式。张宏坡等[18]提出了一种基于熵值法的标签翻转攻击方法，来评估朴素贝叶斯分类器对标签噪声的稳健性。……