[论文解读] Graph Backdoor.

Zhaohan Xi, Ren Pang+2 more|arXiv (Cornell University)|Jun 21, 2020

Adversarial Robustness in Machine Learning参考文献 71被引用 9

一句话总结

本文提出了GTA，首个针对图神经网络（GNNs）的后门攻击框架，采用针对单个图量身定制的自适应子图触发器。该框架在直推式和归纳式任务中均实现了高攻击成功率，且无需依赖模型特定知识，揭示了在安全关键应用中使用的GNN存在严重漏洞。

ABSTRACT

One intriguing property of deep neural networks (DNNs) is their inherent vulnerability to backdoor attacks -- a trojan model responds to trigger-embedded inputs in a highly predictable manner while functioning normally otherwise. Despite the plethora of prior work on DNNs for continuous data (e.g., images), the vulnerability of graph neural networks (GNNs) for discrete-structured data (e.g., graphs) is largely unexplored, which is highly concerning given their increasing use in security-sensitive domains. To bridge this gap, we present GTA, the first backdoor attack on GNNs. Compared with prior work, GTA departs in significant ways: graph-oriented -- it defines triggers as specific subgraphs, including both topological structures and descriptive features, entailing a large design spectrum for the adversary; input-tailored -- it dynamically adapts triggers to individual graphs, thereby optimizing both attack effectiveness and evasiveness; downstream model-agnostic -- it can be readily launched without knowledge regarding downstream models or fine-tuning strategies; and attack-extensible -- it can be instantiated for both transductive (e.g., node classification) and inductive (e.g., graph classification) tasks, constituting severe threats for a range of security-critical applications. Through extensive evaluation using benchmark datasets and state-of-the-art models, we demonstrate the effectiveness of GTA. We further provide analytical justification for its effectiveness and discuss potential countermeasures, pointing to several promising research directions.

研究动机与目标

• 探究图神经网络（GNNs）在安全敏感领域日益广泛应用的背景下，其对后门攻击的脆弱性。
• 弥补现有研究的空白，尽管在连续数据的深度神经网络（DNNs）上已有大量工作，但后门威胁在GNNs中却长期被忽视。
• 设计一种面向图的、输入定制的、模型无关的且可扩展的后门攻击框架，适用于直推式和归纳式GNN任务。
• 利用基准数据集和最先进GNN模型，在真实条件下评估所提攻击的有效性。
• 提供对攻击成功原因的分析洞察，并为未来防御机制提供方向。

提出的方法

• 攻击将触发器定义为由拓扑结构以及节点/边特征组成的特定子图，从而实现多样化且隐蔽的触发器设计。
• 它动态生成针对每个输入图的触发器，通过适应局部图结构，同时优化攻击成功率和规避检测。
• 该方法以模型无关的方式运行，无需事先了解下游GNN的架构或训练策略。
• 它同时支持直推式任务（如节点分类）和归纳式任务（如图分类），具备广泛适用性。
• 攻击在训练阶段通过修改部分训练样本注入触发器，确保后门模型在干净输入上表现正常。
• 该框架利用图级别的扰动，在保持原始图的结构和特征完整性的同时避免被检测。

实验结果

研究问题

• RQ1 鉴于图神经网络具有离散、结构化数据的特性，能否有效实施后门攻击？
• RQ2 基于拓扑结构和特征的图专用触发器设计，如何影响攻击的成功率和隐蔽性？
• RQ3 与固定触发器相比，输入定制触发器在多大程度上能提升攻击效果和规避能力？
• RQ4 模型无关的后门攻击能否成功应用于直推式和归纳式GNN学习设置？
• RQ5 此类攻击成功的关键因素是什么，又该如何缓解？

主要发现

• GTA在多个基准数据集和最先进GNN模型上均实现了高攻击成功率，证明了对GNN实施后门攻击的可行性。
• 输入定制触发器设计显著提升了攻击效果并降低了可检测性，相较于静态或随机放置的触发器更具优势。
• GTA的模型无关特性使其无需访问目标GNN的架构或训练细节即可成功实施攻击。
• 该攻击在直推式和归纳式学习场景中均保持有效，表明其威胁具有广泛适用性。
• 分析评估证实，该攻击利用了GNN消息传递机制中固有的结构和特征级脆弱性。
• 结果凸显了针对图结构化数据设计鲁棒防御机制的紧迫需求。