《Knowledge-Based Systems》：Semantic-consistent trigger generation for backdoor attacks on graph neural networks
编辑推荐：
摘要图神经网络（GNNs）凭借其固有的处理非欧几里得数据的能力，在多种任务中展现出了卓越的性能。然而，近期的研究表明，GNNs在训练过程中易受结构扰动和节点属性操纵的影响，从而导致有偏差或错误的决策。当前的基于特征的后门攻击方法通常依赖于固定形式的触发器，或者需要进行结构修改
摘要
图神经网络（GNNs）凭借其固有的处理非欧几里得数据的能力，在多种任务中展现出了卓越的性能。然而，近期的研究表明，GNNs在训练过程中易受结构扰动和节点属性操纵的影响，从而导致有偏差或错误的决策。当前的基于特征的后门攻击方法通常依赖于固定形式的触发器，或者需要进行结构修改才能有效激活，这可能会对原始图结构造成严重破坏。为应对这一挑战，我们提出了SCGBA，一种高性能的自适应策略，用于生成和嵌入特征触发器。SCGBA首次利用语义一致性来实现有效的后门攻击，同时不改变原始图结构。此外，在触发器嵌入过程中，它引入了全局结构保持约束，增强了其规避高级后门防御机制的能力。在多个真实图数据集上的大量实验表明，SCGBA在触发器激活率方面显著优于现有的后门攻击方法，同时对各种主流防御策略保持了强大的规避能力。
引言
图作为一种表示实体间关系的数学结构，由于其能够高效地建模复杂交互，已被广泛应用于社交网络[1]、生物信息学[2]和推荐系统[3]等领域。然而，图结构数据的非欧几里得特性和结构复杂性为高效处理带来了重大挑战[4]。自从图神经网络（GNNs）被引入以来，其独特的消息传递机制使得对这类复杂数据的高效和高精度建模成为可能[5]。因此，GNNs已被广泛应用于节点分类[6]、图分类[7]和链接预测[8]等下游任务，并推动了跨学科应用的广泛探索。GNNs在处理图结构数据方面的卓越性能引起了学界对其内部机制的极大关注，激发了人们对其计算效率进一步提升策略的兴趣[9]。然而，现有研究表明，GNNs在面对数据扰动或模型缺陷时往往表现出有限的鲁棒性[10]，导致性能下降和预测结果不可靠[11]。因此，当前研究的焦点之一是识别图结构或GNN架构中的潜在缺陷和漏洞，并基于这些发现开发有效的防御机制，旨在提高GNNs的可靠性和稳定性[12]。
现有的针对图神经网络的对抗攻击主要集中于修改图结构以降低GNN的决策准确性[13]。然而，这类方法通常需要对原始图进行大规模修改，并显著降低GNN的计算精度，使其容易被图净化或异常检测等防御手段检测并修复，从而导致攻击失效[14]。为探索更为隐蔽的攻击策略，研究者将关注点从降低GNN准确性转向操纵其决策结果。受后门攻击在计算机视觉领域成功应用的启发，针对图神经网络的 后门攻击研究也取得了进展。后门攻击旨在使模型将特定的目标节点分类为攻击者选定的标签，同时不明显影响GNN的整体性能或准确性[16]。现有的大多数GNN后门攻击依赖于精心设计的子图触发器来干扰训练[17]。这些触发器通常基于原始图结构构建[18]，被设计为固定的通用模式子图[19]，或者利用真实世界图中常见的模因结构生成[20]。此外，近期研究开始关注基于子图触发器的隐蔽性[21]。然而，这些后门方案仍然通常需要向原始图中注入大量节点来操纵目标节点的分类。大规模节点注入往往会严重扭曲图结构，不仅降低目标GNN在干净数据上的预测准确性，还会产生可被防御手段检测到的异常模式，使得此类基于子图的触发器在实际中难以有效激活。
相比之下，由于修改节点特征不会显著改变图结构，开发基于特征的触发器可以增强后门攻击的隐蔽性。这些方法生成一组特征并将其嵌入到目标节点的特征中，从而干扰GNN训练过程中的消息传递，操纵模型的预测结果[22]。通常，此类攻击策略生成一组固定的触发特征，并根据目标节点特征在消息传递过程中的贡献确定嵌入位置，从而精确操纵目标节点的分类结果[23]。此外，一些研究在嵌入特征触发器后，进一步修改图结构[24]或应用结构剪枝[25]，以提高攻击成功率。近期研究开始关注基于特征触发器的隐蔽性，尝试在触发器生成过程中引入基于邻域节点信息的约束，以提高其规避现有后门检测机制的能力[26]。尽管这些方法在攻击有效性方面取得了显著进展，但仍面临一定的局限性，包括使用固定触发器、依赖结构修改来提升性能以及仅关注局部约束来提高隐蔽性。这些局限性限制了攻击策略的适应性和隐蔽性。
为应对上述挑战，本研究提出了一种高效且隐蔽的特征触发器生成与嵌入策略，称为SCGBA，旨在精确操纵目标节点的分类结果。SCGBA利用目标类节点之间的语义一致性来生成有效触发器，并在保持全局图结构的约束下确定其最优嵌入位置。大量实验结果表明，SCGBA在多个基准数据集上均实现了卓越的攻击性能，同时对各种先进的防御机制保持了强大的规避能力。本研究的主要贡献总结如下：
- (1)
我们提出了一种自适应特征触发器生成与动态嵌入策略，通过引入目标类节点的共同语义信息，实现触发器与目标类之间的高度一致映射，从而显著提升攻击的隐蔽性和有效性。
- (2)
我们设计了一种目标节点选择方案，利用GNNs消息传递机制的特性并结合节点语义的不确定性，增强了触发器与目标类之间的潜在关联性。
- (3)
为提高触发器对各种后门缓解机制的规避能力，我们引入了全局结构保持约束，为确定触发器嵌入位置提供了全局结构视角。
本文其余部分组织如下：第2节介绍图的相关定义、后门攻击的背景知识和问题建模；第3节全面阐述所提出的后门攻击策略，包括目标节点选择、语义一致触发器生成设计以及在全局约束下触发器位置的确定；第4节描述验证我们方法有效性的实验设置，并对观察到的结果进行深入分析；最后，第5节总结本研究的关键发现，并概述后门攻击防御方面未来潜在的研究方向。
章节摘要
预备知识
本节简要概述图后门攻击的两种主要形式，并突出指出现有攻击方法引起的同质性受损问题。表1列出了标准符号表示。
方法论
本节详细介绍我们所提出的后门攻击策略。该策略通过优化公式(2)来实现一种高效且具备强规避能力的图后门攻击策略。为实现这一目标，我们解决了三个关键挑战：(1)如何在最小化对未嵌入触发器节点分类性能影响的同时确保高攻击成功率；(2)如何生成有效触发器以促进强映射关系的形成
实验
本节详细描述用于验证我们算法有效性的数据集、基线模型、评估指标和参数设置。此外，我们进行了一系列实验分析，包括规避实验、泛化实验、消融研究、分布分析和迁移性实验，以全面展示所提出的SCGBA方法的有效性。
结论
本研究系统地探讨了触发器生成方案对操纵GNNs分类性能的影响。与主流基于子图的方法不同，我们提出了一种新颖的后门触发器生成策略，该策略利用目标节点的语义信息。该策略既不需要向原始图结构注入新节点，也不需要改变图的拓扑结构，同时仍能增强触发器的激活效率。为防止目标
CRediT作者贡献声明
唐延龙：撰写—初稿撰写、可视化、验证、软件、方法论。李源生：验证、软件、资源、方法论、数据整理。Witold Pedrycz：撰写—审阅与编辑、形式化分析、概念化。Hirotaka Hirota：撰写—审阅与编辑、形式化分析、概念化。颜飞：撰写—审阅与编辑、监督、方法论、调查研究、概念化。
资助
本研究由加拿大自然科学和工程研究理事会资助（项目编号：RGPIN-2022-03045）。
参与同意
所有作者均已阅读并同意参与最终稿件的撰写。
利益冲突声明
作者声明他们不存在已知的竞争性经济利益或个人关系，这些利益或关系可能会影响本论文所报告的工作。
唐延龙是中国长春理工大学计算机科学与技术学院的博士研究生和研究助理。他毕业于中国青海师范大学计算机科学学院，获得硕士学位。其研究方向包括自然语言处理、表示学习和图神经网络。
唐延龙|李源生|Witold Pedrycz|Hirotaka Hirota|颜飞
