李鹏辉，翟正利，冯 舒

青岛理工大学 信息与控制工程学院，山东 青岛 266525

在现实系统中，从基因序列到社交网络、从化学分子到通信网络都可以被抽象为图数据，因此对于图数据的研究一直受到广泛的关注。图神经网络（graph neural networks，GNN）[1-3]由于同时考虑了图中节点的属性信息和节点间的拓扑信息，对于描述图数据中节点间的关联性存在天然的优势，在节点分类[4]、链路预测[5]、社团探测[6]等领域表现出优于其他方法的效果，在实践中也得到了大规模的部署应用[7]。

尽管GNN 在图建模任务中表现出色，但与其他深度学习一样，易受到微小扰动的误导而致使模型的性能严重下降[8-9]，仅通过添加或删除少量的节点或边就能够使模型产生完全错误的结果。具体而言，图对抗攻击是指通过在图中添加微小扰动（通常扰动量限制在一定的预算范围内）来降低模型性能。按照攻击算法在图中添加扰动的不同阶段，攻击算法可以分为“逃逸攻击”和“投毒攻击”两类，其中逃逸攻击指攻击者构造对抗样本在模型测试阶段欺骗目标模型，而投毒攻击指攻击者在模型训练阶段向训练集中注入对抗样本使得训练后的模型具有误导性；也可以根据攻击目标的不同将攻击算法分为“定向攻击”和“非定向攻击”，定向攻击的攻击目标是预先设定的，而非定向攻击只需要令攻击后的模型产生错误的预测结果。

经典图对抗攻击算法主要包括：Nettack[10]是对属性图进行攻击的算法，其利用图卷积网络（graph convolutional network，GCN）的梯度信息修改图数据，使得目标节点被错误分类为指定类别；……