TGPA：基于层次子图增强的可迁移图提示攻击

《Neural Networks》：TGPA: Transferable Graph Prompt Attack with Hierarchical Subgraph Augmentation

　　摘要：图提示学习有效解决了复杂调优过程中的诸多难题，有助于解决下游任务与预训练目标之间的固有不一致性问题。由于图提示在图预训练模型的推理过程中起着关键作用，因此对图提示的恶意攻击会严重降低模型的预测精度。不幸的是，现有的图对抗攻击大多依赖于单一尺度的拓扑扰动，忽略了图提示用于知识迁移的多粒度结构依赖关系，从而导致其在不同下游任务间的迁移性不足。为解决这一问题，我们提出了一种新型的可迁移图提示攻击方法——TGPA，该方法通过引入分层结构解耦机制来改变攻击范式。具体而言，首先利用分层子图信息提取技术获取全局信息和局部信息，随后基于这些局部和全局知识选择目标节点，最后通过对特征和结构施加扰动，借助选定的目标节点生成恶意样本，以此干扰图提示学习过程。在多个主流图数据集上的大规模实验表明，TGPA能够将使用图提示的预训练图模型的性能降低多达28.9%，同时仍保持攻击的稳健性、隐蔽性和可迁移性。

引言：图神经网络作为一种强大且多功能的工具，已被广泛用于处理和分析图结构数据（Liang等人，2025）。通过递归接收并聚合来自相邻节点的信息（Pi, Huang, Shi, Chen, Wang, 2026；Tao, Cao, Chen, Sun, Shi, Zhu, 2024；Wu, Pan, Chen, Long, Zhang, Philip, 2020），图神经网络能够构建出全面的图表示。这类模型采用端到端学习框架，其性能在很大程度上取决于数据集的特征。当拥有大规模、针对特定任务的标注数据集时，图神经网络能展现出极高的准确性。然而，数据集的标注过程既复杂又耗费资源。面对新任务时，即使任务涉及相同的图结构，图神经网络模型往往也需要从头开始重新训练。为应对这些挑战，随着自然语言处理和计算机视觉领域中预训练方法的巨大成功，预训练图模型也得到了广泛应用（Hu, Liu, Gomes, Zitnik, Liang, Pande, Leskovec, 2020b；Hu, Dong, Wang, Chang, Sun, 2020c）。这类预训练模型利用那些没有任务特定标签但具备内在图属性的未标注图，这些属性包括节点和边特征（Hu, Dong, Wang, Chang, Sun, 2020c；Yu, Jia, Qin, Jia, Ma, Huang, Yuan, Cheng, 2026）、拓扑关联（Jia, Ma, Liu, Wang, Deng, 2023；Lu, Jiang, Fang, Shi, 2021）以及局部或全局图模式（Qiu, Chen, Dong, Zhang, Yang, Ding, Wang, Tang, 2020；Zeng, Liu, Chen, Zhou, Zhang, Qu, 2023）。通过预训练，模型可以学习与任务无关的先验知识，之后只需少量标注数据即可对模型进行微调以适应特定的下游任务。在这一过程中，微调虽然至关重要，但也存在诸多限制。一方面，对于大型模型而言，调整模型参数的过程可能极为复杂；另一方面，预训练与后续微调的流程常常会出现预训练任务与下游任务之间的不一致问题，从而导致性能不佳（Liu等人，2023a）。为进一步弥补微调的缺陷，受自然语言领域中基于提示的学习方法的启发，提示学习在图处理领域也日益受到关注。具体而言，图提示学习无需更新预训练模型的参数，就能有效弥合预训练模型与下游任务之间的差距（Chen, Wang, Zheng, Song, 2025；Sun, Zhou, He, Wang, Wang, 2022）。在图处理领域的提示调优，就是在不改变预训练模型参数的前提下寻找合适的提示，从而有针对性地使预训练任务与下游任务相匹配。提示学习的有效性在很大程度上取决于提示的设计策略。现有的提示学习方法可系统地分为三类：向量级提示（Brown等人，2020）、节点级提示（Tan等人，2023）以及图级提示（Sun等人，2023）。虽然图提示提升了预训练图模型的实用性，但同时也带来了新的安全风险。通常情况下，直接破坏那些由提供方严格保护的预训练模型成本高昂且容易被检测出来。相比之下，提示学习往往依赖于模型使用者，而他们的防御机制通常较为薄弱，更容易遭受对抗性攻击（Jia等人，2026b）。Krait（Song等人，2024）是一种图提示后门机制，它通过定制化的触发器生成方法，将后门有效地嵌入到图提示之中。此外，攻击者还可以利用提示所依赖的下游数据集来进行攻击。如图1所示，模型使用者负责提供下游数据集，并从预训练模型中提取提示。如果攻击者获得了下游数据集的访问权限并在提示学习过程中对其加以污染，那么生成的提示不仅无法正常发挥作用，还会影响预训练模型的性能。通过对当前图提示学习研究情况的分析，我们发现了一个值得注意的现象：无论是对向量形式的提示、节点形式的提示还是图形式的提示，几乎所有图提示的生成都需要依赖下游的图结构数据。在实际应用中，这些下游图结构数据通常由预训练图模型的使用者提供。相比直接攻击模型，攻击下游图结构数据对攻击者来说面临的挑战要小得多。这一观察结果为我们开展图提示攻击研究提供了理论依据。成功实施图提示攻击是一项极具挑战性的任务。传统的图神经网络攻击方法，如投影梯度下降，仅作用于单一拓扑层级，而图提示则作为一种元学习得到的结构过滤器，本身就具有很强的抗通用噪声能力。要想有效降低提示的可用性，攻击必须具备高度的可迁移性，并且能够在提示作用的精确粒度层面理解结构特征。总体而言，我们的研究面临以下三个主要挑战：第一，由于下游任务种类繁多，图提示攻击必须能够适配不同的数据集，而每个数据集都有其独特的内部结构和属性，因此通用的攻击策略往往效果不佳；第二，由于图提示会间接影响预训练模型的性能，要实现有效的攻击就需要足够的扰动，而这又与攻击的隐蔽性要求相互矛盾，带来极大挑战；第三，鉴于图提示学习本质上涉及优化过程，攻击中的扰动生成模块实际上就变成了一个嵌套在内部层的优化问题，而内部层与外部层优化目标的冲突使得设计合理的优化流程变得十分困难。为解决这些问题，我们提出了一种新型的可迁移图提示攻击方法——TGPA，该方法能够生成具有欺骗性的恶意提示，从而降低模型的可用性。受利用子图强化图学习的概念启发，我们成功运用分层子图信息来实现可迁移的图提示攻击。具体而言，通过不同层级的子图，我们可以获取更全面的图表示信息。这些隐藏的图表示信息反映了图结构数据中与任务无关的模式和特征，可被用来让攻击方法适应不同的数据集。在基于受限攻击预算的图攻击方法基础上，我们引入了节点重要性的概念。在我们的方案中，对节点和边的扰动程度都高度依赖于节点的重要性。具体来说，攻击会根据节点的重要性来执行，同时将攻击预算控制在最低水平。我们采用了局部和全局的脆弱节点选择策略来确定攻击目标节点，最后设计了高效且隐蔽的双视角混合扰动方式来实施攻击。大量的实验结果表明，所提出的TGPA在攻击的稳健性、隐蔽性和可迁移性方面均表现出优异的性能。综上所述，我们的工作主要贡献如下：首先，为确保所提方案能在不同数据集上具备适应性，我们提出了图提示攻击的分层结构解耦范式，与传统的启发式攻击不同，该方案通过不同的子图提取策略来获取自我层子图和割层子图，进而编码得到与任务无关的表示信息；其次，我们设计了一种双视角脆弱节点选择策略，该策略以分层信息为核心，从而确保攻击在不同下游任务间具备高可迁移性和隐蔽性，它同时结合了局部和全局的节点选择方式，利用局部和全局子图信息对节点的重要性进行排序，最终确定一系列攻击目标节点；最后，为合理解决双重优化过程中的内部与外部优化冲突，我们设计了基于交替迭代优化的扰动生成模块，该模块将整个提示优化过程分为两个阶段，第一阶段固定扰动参数并对提示本身进行优化，这一过程采用标准的提示调优技术实现；第二阶段则固定提示参数，再通过投影梯度下降法优化修改后的边和节点特征扰动。据我们所知，这是首项提出利用分层子图信息成功对图提示实施攻击的方案，此类攻击能够影响预训练图模型，进而显著降低下游任务的准确率。大量的实验结果都证明，我们所提出的TGPA能够有效生成被污染的图提示，并在对预训练图模型的攻击性能方面展现出优异的效果。本文的其余部分结构如下：第二节回顾相关研究，第三节介绍威胁模型，第四节详细阐述我们的方案，第五节描述实验设置与实现过程，随后通过分析实验结果来验证方案的有效性，最后第六节总结研究成果并指出未来的研究方向。从本文的研究中可以得出以下有趣结论：1）利用层次子图信息，能够在图数据中获得丰富且有效的表示形式，这有助于从有限的图结构数据中获取更多样本，从而为CRediT作者贡献度评估提供支持。贾菊：写作——审稿与编辑、监督、项目管理、资金申请、形式分析、概念构建。王浩楠：写作——初稿撰写、可视化、软件应用、方法论、研究实施、形式分析。吴天：写作——审稿与编辑、形式分析。吴聪：写作——审稿与编辑、形式分析。王丽娜：写作——审稿与编辑、形式分析。利益冲突声明作者声明不存在任何可能影响本文研究结果的已知财务利益或个人关系。致谢本研究部分得到了中国国家自然科学基金项目（编号62402106）、江苏省自然科学基金项目（编号BK20241272）、东南大学“紫山”学者计划、中央高校基本科研业务费项目（编号2242025K30025）以及东南大学启动研究基金项目（编号RF1028623129）的支持。贾菊|王浩楠|吴天|吴聪|王丽娜