[论文解读] Motif-Backdoor: Rethinking the Backdoor Attack on Graph Neural Networks via Motifs

Haibin Zheng, Haiyang Xiong+3 more|arXiv (Cornell University)|Oct 25, 2022

Advanced Graph Neural Networks被引用 4

一句话总结

Motif-Backdoor 通过利用统计上显著且反复出现的子图模式（即基序）作为触发器，提出了一种新颖的图神经网络后门攻击方法，通过基序分布分析和图重要性评分，在保持隐蔽性和效率的同时，实现了最先进的攻击成功率（相比基线最高提升14.73%），即使在防御机制下也表现稳健。

ABSTRACT

Graph neural network (GNN) with a powerful representation capability has been widely applied to various areas, such as biological gene prediction, social recommendation, etc. Recent works have exposed that GNN is vulnerable to the backdoor attack, i.e., models trained with maliciously crafted training samples are easily fooled by patched samples. Most of the proposed studies launch the backdoor attack using a trigger that either is the randomly generated subgraph (e.g., erdős-rényi backdoor) for less computational burden, or the gradient-based generative subgraph (e.g., graph trojaning attack) to enable a more effective attack. However, the interpretation of how is the trigger structure and the effect of the backdoor attack related has been overlooked in the current literature. Motifs, recurrent and statistically significant sub-graphs in graphs, contain rich structure information. In this paper, we are rethinking the trigger from the perspective of motifs, and propose a motif-based backdoor attack, denoted as Motif-Backdoor. It contributes from three aspects. (i) Interpretation: it provides an in-depth explanation for backdoor effectiveness by the validity of the trigger structure from motifs, leading to some novel insights, e.g., using subgraphs that appear less frequently in the graph as the trigger can achieve better attack performance. (ii) Effectiveness: Motif-Backdoor reaches the state-of-the-art (SOTA) attack performance in both black-box and defensive scenarios. (iii) Efficiency: based on the graph motif distribution, Motif-Backdoor can quickly obtain an effective trigger structure without target model feedback or subgraph model generation. Extensive experimental results show that Motif-Backdoor realizes the SOTA performance on three popular models and four public datasets compared with five baselines.

研究动机与目标

• 为解决现有 GNN 后门攻击中可解释性不足的问题，通过分析触发器的结构角色来改进攻击机制。
• 通过选择稀有但具有意义的基序模式作为触发器，提升攻击的有效性。
• 通过利用基序分布而无需模型反馈或子图生成，提升攻击效率。
• 在防御机制下仍保持高攻击成功率，凸显开发鲁棒防御的必要性。
• 为更好地理解后门漏洞，提供关于触发器结构与注入位置的深入见解。

提出的方法

• 该方法在训练数据中识别出重复出现且具有统计显著性的子图（即基序），作为潜在触发器。
• 利用图重要性指数筛选出不相关节点，聚焦于结构上重要的区域以实现触发器注入。
• 定义子图评分，基于模型反馈评估候选子图作为有效触发器的潜力。
• 将触发器注入由子图评分识别出的最具影响力位置，确保高攻击成功率的同时保持图结构完整性。
• 该方法避免迭代优化或基于梯度的生成方式，转而依赖基序频率与分布分析，从而实现高效性。
• 通过使用目标模型的置信度分数构建影子模型，以指导触发器选择，但会增加被检测的风险。

实验结果

研究问题

• RQ1 基序结构在多大程度上影响 GNN 后门攻击的有效性？
• RQ2 由于结构上的独特性，稀有基序是否能更有效地作为触发器？
• RQ3 触发器注入位置的选择如何影响攻击的隐蔽性与成功率？
• RQ4 在标准与防御设置下，Motif-Backdoor 相较于现有后门攻击的性能提升程度如何？
• RQ5 当防御机制针对链接移除或结构修改时，基于基序的触发器是否仍能保持高性能？

主要发现

• Motif-Backdoor 在三种 GNN 模型和四个公开数据集上均实现了最先进的攻击成功率，相较于五种基线方法，平均攻击成功率提升了 14.73%。
• 即使在防御机制移除链接的情况下，攻击依然有效，因为触发器结构在部分修改后仍能保持功能。
• 在不同过滤节点数（k）下，攻击性能保持稳定，使用 GCN 在 NCI1 数据集上的攻击成功率始终高于 97%。
• 随着中毒率（p）的提高，攻击成功率上升，在 p = 0.1 时达到峰值，实现了有效性与隐蔽性的最佳平衡。
• 可视化结果显示，良性图的结构仅发生微小变化，仅有少数链接被修改，表明攻击具有高度隐蔽性。
• 该方法表明，基于较少出现的基序构建的触发器能带来更优的攻击性能，为后门机制提供了新的可解释性洞见。