BGNAS：带有后门的图神经架构搜索

《Neural Networks》：BGNAS: Backdoored Graph Neural Architecture Search

　　•将后门植入图神经网络架构中。•使用GraphNAS设计带有触发生成器的后门。•代码托管在https://anonymous.4open.science/r/Bgns-Main-7C38。

引言
图神经网络（GNNs）在分析图数据（如社交网络和知识图谱）方面取得了显著的成功（Jiang等人，2019年）。此外，图神经网络架构搜索（GraphNAS）（Gao等人，2019年）的出现可以自动为给定的图数据集设计最佳的GNN神经网络架构。然而，最近的研究表明，GNNs面临着各种安全风险（Sun等人，2022年），例如对抗性攻击（Zügner等人，2018年）、后门攻击（Yang等人，2024年）和隐私泄露（He等人，2021年）。这些漏洞对GNNs在现实世界中的可靠性提出了严重担忧。在这些威胁中，图后门攻击尤其具有隐蔽性和危险性（Gu等人，2017年）。图后门是指嵌入在GNN模型中的恶意输入-输出映射，可以通过图触发器激活。在图中，触发器通常定义为附加到目标图节点上的一个小子图，它会修改该节点的局部结构（Zhang等人，2021年），从而使得被后门入侵的模型在触发器激活时产生攻击者指定的预测结果。现有的图触发器可以分为固定型和输入适应型两种。固定型触发器（Zhang等人，2021年）是手工制作的模式，而输入适应型触发器（Xi等人，2021年）则由可训练模型（即触发生成器（Nguyen和Tran，2020年）生成）生成。现有的关于图后门攻击的研究主要集中在将后门植入GNN的模型权重中。如图1所示，攻击者将一个触发器T附加到目标节点A上，并将其类别标签改为恶意目标标签。然后，训练在含有该触发器的图上的GNN会在其模型权重中编码后门，通过学习节点A与目标标签之间的映射来实现。在推理过程中，后门在正常节点上保持不活跃状态，但会在触发器T的激活下被激活，迫使GNN模型输出目标标签（Dai等人，2023年）。例如，在金融欺诈检测中，敌对者常常会将一个隐蔽的子图附加到异常账户节点上，导致该账户被错误分类为正常账户。图后门攻击的关键挑战在于设计有效且隐蔽的图触发器。例如，GTA（Xi等人，2021年）使用MLP生成输入适应型图触发器，而UBGA（Dai等人，2023年）限制触发器与整个图的兼容性。CGBA（Xu和Picek，2022年）研究的是针对已经属于目标类的样本的攻击。DPGBA（Zhang等人，2024年）通过优化触发器的分布来提高其隐蔽性。除了将后门植入模型权重外，最近的研究（Bober-Irizar、Shumailov、Zhao、Mullins、Papernot，2023年；Pang、Li、Xi、Ji、Wang，2023年）还探讨了将后门植入神经网络架构中的方法，这种方法被称为“架构后门”。与容易被模型重新训练消除的模型权重后门相比（Childress等人，2025年），架构后门隐藏在神经网络架构中，即使在重新初始化和重新训练模型参数后攻击仍能持续存在。图1（b和c）展示了两种典型的架构后门攻击。图1(b)展示了MAB模型（Bober-Irizar等人，2023年），其中攻击者将一个固定触发器附加到输入图像上，并在CNN神经网络架构中插入一个不依赖于参数的分支以检测该固定触发器。相比之下，图1(c)展示了EVAS模型（Pang等人，2023年），它利用神经架构搜索（NAS）算法增强了架构后门的功能。EVAS的思想是使用NAS设计看似无害的CNN架构，这些架构可以被输入适应型触发器激活。特别是，EVAS通过NAS搜索能够对输入适应型触发器高度敏感的“拓扑捷径”（Childress等人，2025年）。实验结果表明，EVAS可以设计出包含隐式拓扑捷径的后门神经网络架构，其触发器难以检测。

本文研究了将后门植入图神经网络架构这一具有挑战性的问题。目标是利用图NAS算法（Gao等人，2019年）设计看似无害的GNN架构，这些架构可以通过输入适应型图触发器激活。直观上，可以通过用图NAS算法替换NAS来修改现有的架构后门攻击模型（如EVAS）。然而，存在几个技术挑战。首先，如何将图NAS问题（Gao等人，2019年）构建为一个双层优化问题，以同时优化对目标节点的攻击效果、对清洁节点的预测性能以及触发器的隐蔽性？EVAS仅优化攻击效果和预测性能，而忽略了触发器的隐蔽性。其次，如何设计图神经网络架构空间和图触发器生成器？EVAS设计时使用了预定义的触发器生成器（例如卷积编码器-解码器网络），但这通常会限制攻击效果和预测性能。更好的解决方案是使用图NAS自动设计触发器生成器的神经网络架构，以提高其攻击效果。第三，如何在理论和实证上分析模型重新初始化和重新训练后我们方法的性能和持久性？现有的研究（如EVAS）主要关注后门攻击的持久性，很少考虑模型重新训练后后门是否仍然存在。为了解决上述挑战，我们在本文提出了一种新颖的后门图神经网络架构搜索模型（简称BGNAS）。BGNAS的思想是使用图NAS生成被后门入侵的GNN神经网络架构及其相关的触发器生成器。为了解决第一个挑战，我们将BGNAS构建为一个双层优化问题，其中 lower layer 从清洁训练数据中学习GNN模型的权重，而 upper layer 则在考虑攻击效果、预测性能和触发器隐蔽性的前提下学习被后门入侵的GNN神经网络架构和触发器生成器。这种构建方式使BGNAS能够设计出保持正常性能并支持隐蔽攻击的被后门入侵的GNN神经网络架构。为了解决第二个挑战，我们使用了Pham等人（2018年）提出的DAG超网作为GNN神经网络架构空间，从而共同优化被后门入侵的GNN模型和触发器生成器的神经网络架构，允许触发器生成器迭代生成更好的输入适应型触发器。为了解决第三个挑战，我们将BGNAS发现的架构与数据投毒攻击、清洁NAS方法和手工制作的GNN进行了实证比较。结果表明，即使模型在未投毒的清洁数据上重新初始化和重新训练，我们的方法仍然非常有效。此外，我们还推导出了权重重新初始化和清洁重新训练后攻击成功率的理论界限。本工作的贡献总结如下：
•据我们所知，这项工作是首次研究GNN的神经架构后门，这与以往将后门植入GNN模型权重中的工作不同。
•本文提出了后门图神经网络架构搜索模型（BGNAS），该模型使用图NAS生成被后门入侵的GNN神经网络架构及其相关的触发器生成器，并构建了一个双层优化问题，以实现攻击效果、预测性能和触发器隐蔽性的联合学习。
•实证研究表明，我们的方法实现了高攻击成功率（ASR）和清洁准确率（ACC），并且在清洁数据上重新训练后仍然有效。理论分析为重新训练后的攻击成功率提供了下限，支持了架构后门的持久性。代码托管在https://anonymous.4open.science/r/Bgns-Main-7C38。

#### 图后门攻击
图后门攻击旨在通过将图触发器与预定义的目标标签关联起来来操纵GNN的行为。早期研究主要集中在攻击效果上（Yang等人，2024年）。例如，SBA（Zhang等人，2021年）展示了使用固定子图触发器的GNN后门攻击的可行性，而GTA（Xi等人，2021年）引入了触发生成器来生成输入适应型触发器。相比之下，最近的研究更强调隐蔽性触发器，因为显眼的触发器容易被发现。

#### 方法论
在本节中，我们讨论了BGNAS模型。首先，我们介绍了攻击场景、假设和框架（威胁模型）。然后，我们讨论了GNN触发器生成器。最后，我们介绍了学习函数和算法。主要符号和缩写在表1中进行了总结。

#### 后门持久性的理论分析
在算法1中，生成的GNN架构在离散化后从清洁训练数据重新开始训练。这引发了一个问题：在模型权重重新训练后，后门是否能够持久存在？
在这部分，我们提供了关于敌人植入的后门在受害者清洁数据上的模型权重重新初始化和重新训练后是否能够持续存在的理论分析。后门持久性指的是被后门入侵的GNN模型在重新训练后的行为仍然保持不变。

#### 实验
在本节中，我们在六个代表性的图数据集上评估了BGNAS。我们的实验旨在解决以下三个研究问题：
•RQ1：有效性。BGNAS在攻击成功率（ASR）方面是否能优于基于数据投毒的攻击、清洁NAS方法和手工设计的GNN？
•RQ2：持久性。搜索到的架构在权重重新初始化和清洁重新训练后是否能够保留其后门行为？
•RQ3：架构...

#### 讨论
BGNAS关注攻击效果和良性预测性能，没有明确考虑部署限制。在考虑硬件限制的场景中，可以将延迟、峰值内存、能耗或FLOPs作为新的正则化项纳入上层学习目标中。这将使搜索过程能够在资源预算受限的情况下共同优化GNN架构和触发器生成器。一个重要的问题是...

#### 结论
在本文中，我们提出了BGNAS，这是一种新的图神经网络架构搜索模型，它共同设计了被后门入侵的GNN神经网络架构及其相关的触发器生成器。理论研究表明，模型权重重新初始化和清洁重新训练后的攻击成功率存在可控的下限，这为架构级后门的持久性提供了解释。实验结果还表明，即使在模型重新初始化并从清洁数据重新训练后，BGNAS也能实现高攻击成功率。

#### 伦理影响和负责任披露
提出的BGNAS框架仅用于安全研究。通过揭示恶意行为可以嵌入到GNN神经网络架构而不是模型权重中，这项工作旨在拓宽对图学习系统中潜在攻击面的理解，并推动有效对策的开发。所有实验都在受控的实验室环境中使用公开可用的数据集进行，没有针对任何实际系统。

#### 作者贡献声明
Tian Gusheng：撰写——原始草稿、软件、方法论
Yang Hong：撰写——原始草稿、方法论
Zhang Peng：撰写——审阅与编辑、监督

#### 竞争利益声明
作者声明他们没有已知的竞争财务利益或个人关系可能影响本文报告的工作。