TS-SNIA：针对图神经网络的拓扑敏感性感知稀疏节点注入攻击

《Neurocomputing》：TS-SNIA: Topology-sensitivity-aware sparse node injection attack against graph neural networks

　　

摘要

图神经网络容易受到节点注入攻击，攻击者引入恶意节点和连接以破坏消息传递。在有限的注入预算下，攻击效果取决于注入节点连接的位置以及连接的构建和细化方式。本文提出了拓扑敏感性感知稀疏节点注入攻击（TS-SNIA），一种在黑名单盒受害者访问模型下的替代模型引导的投毒方法，将基于探针的锚点定位与受约束的结构细化相结合。首先，TS-SNIA 通过测量在临时局部边删除探针下最大预测置信度的下降来识别拓扑敏感锚点。这些探针仅用于敏感性估计，最终投毒图保留原始节点、特征以及原始节点之间的边。其次，围绕选定的锚点，使用伪标签一致性、度偏好和特征相似性来构建注入邻域。第三，稀疏细化调整注入节点的特征，并在明确的动作和度约束下，通过锚点伪标签概率的下降对候选的注入-原始边添加和内部注入边删除进行排名。在五个基准数据集和多个受害者模型上的实验证明了TS-SNIA在有限注入预算下的有效性。在Cora-ML数据集上使用SGC模型时，TS-SNIA的投毒测试准确率为41.87%，而评估中最强的竞争基线为61.42%，相差19.55个百分点。组件消融和锚点评分分析进一步支持了所提出机制的作用。源代码可在 https://github.com/WeiDaii/TS-SNIA 获取。

引言

图神经网络在图学习任务中表现强劲[1]，包括节点分类[2]、[3]、链接预测[4]、[5]以及图表示学习[6]、[7]。代表性模型如GCN和GraphSAGE通过聚合图拓扑和节点属性信息来学习节点表示[8]、[9]、[10]。这种消息传递机制使GNN能够捕获图结构数据中的结构依赖关系，但也使其预测对对抗性扰动敏感[11]、[12]、[13]。由于信息通过图边反复传播，微小的拓扑或特征变化可能会影响节点表示并改变预测结果。

基于这种脆弱性，图对抗攻击通常在两种扰动范式下研究：图修改攻击（GMAs）和节点注入攻击（NIAs）。GMAs通过扰动现有边、节点特征或两者来直接修改原始图[14]、[15]、[16]、[17]。尽管这些攻击有效，但它们通常假设攻击者可以操纵现有图组件，当需要保留原始图时，这种假设是有限制的。

在这种限制下，NIAs提供了一种实用的替代方案。NIAs不修改原始图，而是注入恶意节点并将其连接到选定的原始节点，从而在保留原始节点、其特征以及它们之间边的同时引入额外的消息传递路径。现有研究从多个方向推进了NIA研究，包括策略学习和基于优化的注入[18]、[19]、[20]、[21]、[22]，拓扑感知构建[23]、[24]，不可察觉性和度分布约束[25]、[26]、[27]、[28]，以及预算感知或谱注入设计[29]、[30]、[31]。

动机与研究空白。现有的NIAs探索了拓扑感知构建、学习注入策略和预算约束优化。然而，稀疏投毒仍然涉及两个密切相关的决策：如何识别对局部结构扰动特别敏感的附着区域，以及如何仅使用少量高影响力动作来细化生成的注入结构。TS-SNIA通过基于预测响应的锚点定位和受约束的稀疏细化来解决这些决策。

为了解决这两个决策，本文提出了拓扑敏感性感知稀疏节点注入攻击（TS-SNIA），一种在黑名单盒受害者访问模型下的替代模型引导的NIA方法。TS-SNIA设计用于稀疏攻击场景，其中注入节点和注入边的预算有限。TS-SNIA不根据启发式结构规则或全局图统计来选择注入区域，而是使用来自替代模型的预测概率反馈来识别对拓扑扰动敏感的局部区域。该方法由三个关键组件组成：拓扑敏感锚点定位、锚点引导的注入结构构建和稀疏细化。首先，通过临时局部拓扑探针定位拓扑敏感锚点，估计节点预测对局部结构变化的响应。其次，在局部区域内通过整合伪标签、结构和特征级别线索构建锚点引导的注入连接。第三，稀疏细化使用伪标签概率下降分数评估候选结构动作，并在稀疏动作预算和注入节点度约束下仅应用高影响力动作。

本文的主要贡献总结如下：

• •
  我们提出了基于探针的锚点定位机制，用于稀疏节点注入投毒。该机制测量在临时局部拓扑探针下最大预测置信度的下降，并使用选定的锚点引导局部注入构建。
• •
  我们开发了一个稀疏细化组件，结合了注入特征细化和结构动作选择。候选的注入-原始边添加和内部注入边删除在明确的动作数量和注入节点度约束下通过锚点伪标签概率下降进行排名。
• •
  我们在五个基准数据集和多个受害者模型上评估了TS-SNIA。组件消融、锚点评分比较和结构动作分析检验了所提出机制的贡献及其在不同设计选择下的行为。

图扰动范式对比及本文提出的TS-SNIA的示例比较见图1。

章节摘要

图上的对抗攻击

图对抗攻击旨在通过引入对图结构或节点特征的有界扰动来误导图神经网络。早期研究主要集中在GMAs上。RL-S2V[14]是早期的基于强化学习的图修改攻击，它将边扰动表述为序贯决策问题，并学习一个可推广的策略来识别有害的拓扑修改。Nettack[15]通过贪心方式生成针对目标的结构和特征扰动

节点注入攻击设置

NIAs通过向受害者模型使用的图添加恶意节点及其关联边来扰动图神经网络。与直接修改现有节点、原始边或原始节点特征的GMAs不同，NIAs保留原始图，仅操纵注入节点特征和与注入节点关联的边。

设$$为干净图，其中$$和$$分别表示原始节点集和边集，$$，而$$是原始节点特征矩阵。设$$表示$$的邻接矩阵。

概述

TS-SNIA包括拓扑敏感锚点定位、锚点引导的注入结构构建和稀疏细化。第一个组件根据原始节点对临时局部边删除探针的置信度响应进行排名。每个选定的锚点随后引导注入邻域的构建，使用伪标签一致性、度分布偏好和特征相似性。稀疏细化随后优化注入节点特征并对候选边进行排名

实验设置

数据集。我们在实验中使用五个代表性的真实世界图数据集：Cora[42]、Citeseer[42]、Cora ML[43]、Pubmed[42]和Amazon Computers[44]。这些数据集涵盖不同的图规模、特征维度和连接密度，包括四个引用网络和一个共同购买网络，从而为评估TS-SNIA的攻击性能提供了多样化的设置。为减少不连通组件的影响，我们使用最大连通分量

讨论

尽管TS-SNIA在评估的数据集、受害者架构和防御模型中均展现出强大的攻击性能，但仍存在若干局限性。拓扑敏感性估计和结构动作评分需要反复评估替代模型，且逐节点的拓扑探针可能会随着图规模的增大而变得越来越昂贵。此外，当前的稀疏细化根据候选结构动作各自的边际效应进行排名，因此

结论

本文提出了TS-SNIA，一种拓扑敏感性感知稀疏节点注入攻击，通过临时拓扑探针定位脆弱的附着区域，构建锚点引导的注入邻域，并在明确的稀疏约束下细化注入特征和结构动作；在五个基准数据集和多种GNN架构上的大量实验表明，TS-SNIA在有限注入预算下始终能达到强大的投毒效果，

CRediT作者贡献声明

崔建群：软件，方法学，概念化。戴伟：可视化，验证，软件，方法学。常亚楠：监督，项目管理。王敏：监督，资金支持获取。高梦南：验证，调查。

利益冲突声明

作者声明他们没有已知的竞争财务利益或个人关系可能影响本文中报告的工作。

致谢

本研究得到国家自然科学基金（资助编号62272189、62372206和62402193）；湖北省自然科学基金（资助编号2024AFB421）；以及中央高校基本科研业务费专项资金，华中师范大学（资助编号XJ2026001501）的支持。

崔建群于2008年获得中国武汉大学博士学位。2017年至2018年，她曾作为访问学者在纽约州立大学布法罗分校（美国纽约州布法罗市）工作。她目前是华中师范大学计算机学院教授。她的研究兴趣包括移动互联网、物联网、无线网络和车联网。

崔建群|戴伟|常亚楠|王敏|高梦南