基于锚点引导的特征流形畸变方法：用于攻击动态超图神经网络

《Knowledge-Based Systems》：Anchor-guided feature manifold distortion for attacking dynamic hypergraph neural networks

　　### 摘要

动态超图神经网络（DHGNNs）通过从网络各层的更新节点表示中重建超边来提高高阶表示学习能力。然而，由于DHGNNs依赖于节点特征来驱动超图重建，并采用分层传播进行特征平滑，因此当传统欧几里得特征扰动保持在结构稳定区域内时，这些扰动可能会在重复重建和聚合过程中被减弱。在本文中，我们提出了一种针对动态超图神经网络的Anchor-Guided Feature Manifold Distortion（Hyper-AFD）攻击方法。具体来说，我们设计了一个用于决策边界感知的锚点选择器，该选择器同时考虑了超边的中心性和对分类边界的敏感性，以定位对后续超边重建具有关键影响的节点。随后，我们开发了一种场景自适应的特征流形扭曲机制，该机制使用非欧几里得几何来生成具有曲率意识的特征偏差，并根据不同的攻击场景调整优化目标。在规避场景中，Hyper-AFD会破坏固定受害DHGNN的预测一致性；在投毒场景中，它引入了持久的关系感知约束，以在模型重新训练后保持误导效果。在多个基准数据集和代表性DHGNN上的广泛实验表明，Hyper-AFD能够在保持攻击隐蔽性的同时降低预测性能。

### 引言

现实世界系统涉及超越简单成对链接的高阶关系，例如合著者群体、通信接收者集合和生物复合体[1]、[2]、[3]。超图通过允许每个超边连接一组相关实体，为这些结构提供了自然的表示方法[4]、[5]。此外，超图神经网络（HGNNs）在模拟高阶依赖关系方面表现出强大的能力[6]、[7]、[8]。最近，动态超图神经网络（DHGNNs）通过从网络层间更新的节点表示中重建超边，扩展了HGNNs的功能，使得在高阶结构的消息传播过程中能够进行细化[9]。这里的“动态”指的是模型内部这种逐层的、由特征驱动的重建过程，而不是指随时间演变的超图交互。这种特征驱动的重建已被应用于包括地铁乘客流量预测[10]和城市时间序列预测[11]等任务。然而，这也引入了一个独特的安全风险：对手对节点特征的修改可能会改变后续层中构建的超边，从而影响预测的可靠性。

现有的对抗攻击已经充分揭示了图学习模型的脆弱性。对于图神经网络（GNNs），攻击者可以在不同的威胁场景下操纵节点特征或图连接，例如规避攻击[12]、[13]、[14]。随着高阶图学习的日益应用，对抗攻击已经从成对图扩展到超图。对于HGNNs，HyperAttack在梯度引导下扰动了节点-超边关联关系[15]，而MGHGA在超图建模之前修改了节点特征以进行无目标攻击[16]。后续研究进一步探讨了通过选择有影响力的超边、保持超图同质性或提高模型间迁移能力来进行节点注入攻击[17]、[18]、[19]、[20]。然而，现有的超图攻击都是针对具有给定或预构造超图的HGNNs设计的，并没有明确考虑DHGNNs中的特征驱动超边重建机制。在DHGNNs中，节点表示不断重塑超边结构，这反过来又调节了后续的高阶消息传播。这种逐层的特征-结构反馈创建了一个尚未系统研究的独特攻击面。

如图1所示，攻击DHGNN与攻击在单一固定图或超图上演变的模型有本质不同。在DHGNN中，扰动首先改变节点表示，然后影响后续网络层中从这些表示重建的超边，最后改变后续的高阶消息传递。这种逐层的重建循环并不一定会放大任意扰动。相反，重复的超图聚合可能会平滑局部特征偏差，导致微弱的欧几里得扰动或应用于结构边缘节点的扰动逐渐失去影响力。因此，如图1(b)所示，受害模型仍可能做出正确的类别预测。现有的对抗攻击忽略了这种特征驱动的重建机制，存在两个显著限制：（1）现有方法通常扰动成对边、节点特征或预构造的节点-超边关联，未能识别出能够有效影响后续层中构建的超边的关键节点；（2）当传统欧几里得扰动保持在结构稳定区域内时，它们可能会通过分层超图聚合被减弱，限制了它们影响后续重建关系的能力。为了解决这些挑战，我们提出了Hyper-AFD，一种针对DHGNN的Anchor-Guided Feature Manifold Distortion攻击方法。Hyper-AFD扰动节点特征，而不直接修改输入的超图结构。首先，我们引入了一个用于决策边界感知的锚点选择器，该选择器同时考虑了超边的中心性和对分类边界的敏感性，以识别具有广泛结构影响的重建关键节点。其次，我们开发了一种场景自适应的特征流形扭曲机制。该机制使用非欧几里得几何来生成具有曲率意识的特征偏差，并将特定于场景的目标嵌入特征优化过程中。在规避场景中，Hyper-AFD通过破坏预测一致性来攻击固定的受害DHGNN；在投毒场景中，它引入了持久的关系感知约束，以在模型重新训练后保持扭曲的锚点特征的误导效果。在多个基准数据集上的广泛实验表明，Hyper-AFD在保持攻击隐蔽性的同时降低了代表性DHGNN模型的性能。

### 总结

本文的主要贡献如下：
- 我们首次尝试从逐层、特征驱动的超图重建的角度研究DHGNNs的对抗脆弱性，揭示了在传播过程中重建高阶结构的模型中的特征攻击面。
- 我们提出了Hyper-AFD，这是一种仅基于特征的攻击方法，它结合了用于决策边界感知的锚点选择器和场景自适应的特征流形扭曲机制，而不对输入的超图结构进行直接修改。
- 通过在多个基准数据集和DHGNN模型上的广泛实验，我们验证了Hyper-AFD的有效性和隐蔽性。

### 本文余下部分组织结构

第2节回顾相关工作。第3节介绍背景和问题表述，第4节介绍理论分析。第5节详细阐述Hyper-AFD。第6节报告实验结果，第7节总结本文。

### 关键术语

- 动态超图神经网络（DHGNNs）：通过超边扩展了传统图神经网络（GNNs）到高阶交互建模。然而，其有效性往往取决于预定义的超图结构，这些结构可能存在噪声或无法捕捉潜在关系。
- 超图：允许每个超边连接一组相关实体，为这类结构提供了自然的表示方法。
- 图神经网络（HGNNs）：在模拟高阶依赖关系方面表现出强大能力。
- 动态超图神经网络（DHGNNs）：旨在通过重构表示过程中的超图结构来捕捉复杂的高阶相关性。

### 理论洞察和发现

首先，我们提供了在DHGNNs中传统特征扰动可能被减弱的条件理论分析。由于DHGNNs是从中间节点表示中重建超边并逐层进行高阶聚合的，当扰动保持在结构稳定区域内时，尤其是当它们不影响有影响力的节点或重建的超边时，局部欧几里得扰动可以通过重复重建和分层平滑被减弱。

### 方法论

在本文中，我们提出了Hyper-AFD，一种针对DHGNN的Anchor-Guided Feature Manifold Distortion攻击方法，如图2所示。Hyper-AFD包含两个组成部分：Anchor选择器首先通过结合高阶结构影响和决策边界敏感性来识别重建关键节点；场景自适应的特征流形扭曲模块然后生成具有几何意识的特征扰动，并根据规避或投毒需求对其进行优化。

### 实验

我们进行了广泛的实验来评估Hyper-AFD。还提供了关于基于能量的攻击可检测性、参数敏感性、非欧几里得空间和消融变体的额外分析。

### 结论

本文研究了由于逐层、特征驱动的超图重建而导致的DHGNNs的安全漏洞，并提出了Hyper-AFD，这是一种不直接修改输入超图结构的特征攻击框架。Hyper-AFD通过同时考虑高阶结构影响和决策边界敏感性来识别重建关键节点，从而将有限的扰动预算分配给具有更强传播潜力的节点。

### 作者贡献声明

- Meixia He：撰写 – 审阅与编辑、撰写 – 原稿、方法论、数据整理。
- Keke Tang：验证、方法论。
- Junhong He：验证、形式分析。
- Jun Hu：验证。
- Peican Zhu：资金获取、概念构思。

### 利益冲突声明

作者声明他们没有已知的竞争财务利益或个人关系可能影响本文报道的工作。

### 致谢

本工作部分得到了中国国家自然科学基金（项目编号62572400）的支持。