现实中的许多场景都可抽象为图或网络,即节点和边的集合,例如社交网络、引文网络、交通网络等。节点分类是图上最常见的任务之一。近年来,随着神经网络和深度学习技术的快速发展,图神经网络模型被广泛关注并在节点分类任务中有出色表现。但研究发现神经网络容易受到对抗攻击,即向神经网络中注入少量精心设计的扰动样本便可使其产生错误的输出结果。当前的对抗攻击方法大多是针对图像、语音、文本等连续数据提出的,仅有少量的对抗攻击模型是基于离散的图数据。考虑到基于图数据的神经网络模型在恶意软件检测、诈骗用户检测等安全领域的广泛应用,图对抗攻击的研究还具有较大空间。本文选择在节点分类任务中有出色表现的网络嵌入模型Deepwalk和图卷积网络模型GCN（Graph convolution network）展开对抗攻击的研究:首先针对基于简单神经网络的Deepwalk模型提出拓扑攻击方法,Deepwalk利用随机游走和Word2vec中skip-gram模型来学习节点的低维向量表示。随机游走过程的随机性和图数据的离散性使得难以利用基于梯度的方法来生成对抗样本。为了克服这一困难,研究发现基于随机游走的网络嵌入模型可近似等价于矩阵分解。因此提出利用其等价的矩阵分解形式作为替代模型进行拓扑攻击,并结合矩阵特征值扰动理论寻找最优的对抗样本,将扰动后的图应用于Deepwalk模型中重新训练。结果表明少量的扰动样本就可降低Deepwalk的分类效果。然后针对图卷积网络模型GCN提出拓扑攻击方法,图卷积网络模型参数复杂,训练时间长,这些问题给对抗样本的生成带来了挑战。因此提出利用简化的图卷积网络模型SGC（Simplified Graph Convolution Network）作为替代模型进行拓扑攻击。SGC利用线性方程替代GCN中的非线性激活方程,使得对抗样本的生成可并行计算。在攻击方式上选择网络重连的操作,即针对特定目标节点删除一条边的同时再插入一条边,使得目标节点的度值不发生变化,且整个网络的边数也不发生改变。在替代模型SGC上找出最优的扰动样本,将扰动后的图作为GCN的输入重新进行训练,进而评价攻击算法对节点分类任务的影响。实验结果表明少量的对抗样本就可使得GCN对目标节点产生错误的预测类别。本文分别针对网络嵌入模型Deepwalk和图卷积网络模型GCN进行拓扑攻击研究,并在节点分类任务上进行实验。实验结果表明少量的对抗样本就可使模型的分类效果下降,且对抗样本具有一定的迁移性。