BadImplant: Injection-based Multi-Targeted Graph Backdoor Attack

إليك ملخص تقني مفصل لورقة البحث بعنوان "BadImplant: هجوم الباب الخلفي متعدد الأهداف القائم على الحقن للرسوم البيانية (Graph)."

1. بيان المشكلة

تُستخدم الشبكات العصبية الرسومية (GNNs) على نطاق واسل في مهام حرجة مثل اكتشاف الأدوية، وكشف الاحتيال، وتحليل الشبكات الاجتماعية. ومع ذلك، لا تزال أمنيتها غير مستكشفة بشكل كافٍ، لا سيما فيما يتعلق بـ هجمات الباب الخلفي (Backdoor Attacks).

• قصور الأعمال السابقة: اقتصرت الأبحاث السابقة حول هجمات البواب الخلفية للرسوم البيانية على الهجمات أحادية الهدف. تستخدم هذه الهجمات عادةً آلية استبدال المخطط الفرعي (Subgraph Replacement)، حيث يتم استبدال جزء صغير من الرسم البيئي الأصلي بمخطط فرعي محفز (Trigger Subgraph) لإجبار النموذج على التنبؤ بتسمية هدف واحدة محددة.
• الفجوة: تواجه الطرق الحالية صعوبة في دعم الهجمات متعددة الأهداف (حيث ترتبط المحفزات المختلفة بتسميات أهداف مختلفة) ضمن نموذج واحد. وتتسبب استراتيجية الاستبدال في تشويه هيكلي وتداخل بين المحفزات المتعددة، مما يؤدي إلى انخفاض معدل نجاح الهجوم (ASR) وتدهور كبير في الدقة النظيفة (Clean Accuracy).
• الهدف: تهدف الورقة إلى تقديم أول هجوم باب خلفي متعدد الأهداف لتصنيف الرسوم البيانية يمكنه زرع محفزات متعددة ومتميزة في آن واحد، بحيث يرتبط كل منها بتسمية هدف فريدة، مع الحفاظ على هيكل الرسم البيئي الأصلي والحفاظ على دقة نظيفة عالية.

2. المنهجية: BadImplant

يقترح المؤلفون BadImplant، وهو إطار عمل مبتكر يعتمد على حقن المخطط الفرعي (Subgraph Injection) بدلاً من الاستبدال.

الآلية الجوهرية: حقن المخطط الفرعي

بدلاً من حذف واستبدال أجزاء من الرسم البياني (مما يغير الطوبولوجيا)، يقوم BadImplant بـ حقن مخططات فرعية محفزة داخل الرسوم البيانية النظيفة.

• توليد المحفز (Trigger Generation): يتم توليد $m$ من المخططات الفرعية المحفزة المتميزة ($T_1, T_2, ..., T_m$) باستخدام نموذج إيردوس-ريني (Erdős-Rényi - ER). لكل محفز معايير محددة: الحجم ($n_{trigger}$) وكثافة الحواف ($\rho_{trigger}$).
• استراتيجية الحقن:
  • بالنسبة لفئة هدف محددة $\tau_j$، يختار المهاجم جزءاً من الرسوم البيانية النظيفة من جميع الفئات الأخرى (باستثناء $\tau_j$).
  • يتم حقن المحفز $T_j$ في هذه الرسوم البيانية المختارة.
  • حقن العقد (Node Injection): يتم ربط المحفز بالرسم البيئي المضيف عبر عدد محدد من الحواف ($k$). تقترح الورقة الحقن العشوائي للعقد (Random Node Injection)، والذي يتفوق تجريبياً على الاستراتيجيات الحتمية (مثل الاتصال بالعقد ذات الدرجة الأعلى/الأدنى) من خلال توزيع المحفزات عبر عقد مختلفة لتجنب التداخل.
  • قلب التسمية (Label Flipping): يتم تغيير تسمية الرسم البيئي المحقون إلى تسمية الهدف $\tau_j$.
• التدريب: يتم تدريب النموذج على مجموعة بيانات مختلطة تحتوي على كل من الرسوم البيانية النظيفة والرسوم البيانية المسمومة (المحقونة بالمحفزات). تعمل عملية التحسين على تقليل الخسارة (Loss) عبر مجموعة البيانات المطعومة بالكامل.

معايير التصميم الرئيسية

• حجم المحفز (Trigger Size): نسبة عقد المحفز إلى متوسط عقد الرسم البياني.
• كثافة الحواف (Edge Density): الاتصال داخل المخطط الفرعي للمحفز.
• نسبة التسميم (Poisoning Ratio): نسبة الرسوم البيانية النظيفة التي تم تعديلها لكل هدف.
• الاتصالات ($k$): عدد الحواف التي تربط المحفز بالرسم البيئي المضيف.

3. المساهمات الرئيسية

1. أول باب خلفي متعدد الأهداف للرسوم البيانية: يقدم أول إطار عمل قادر على تنفيذ هجمات الباب الخلفي متعددة الأهداف على شبكات GNN لتصنيف الرسوم البيانية، مما يسم يسمح لنموذج واحد بأن يكون مخترقاً للتنبؤ بتسميات أهداف مختلفة بناءً على محفزات مختلفة.
2. الحقن بدلاً من الاستبدال: يقترح آلية حقن المخطط الفرعي التي تحافظ على هيكل الرسم البياني الأصلي. وهذا يحل مشكلات التداخل المتأصلة في طرق الاستبدال، مما يسمح بوجود محفزات متعددة دون تدهور أداء النموذج.
3. تقييم شامل: تجارب واسعة النطاق عبر خمس مجموعات بيانات متنوعة (بما في ذلك المجموعات التي تحتوي على سمات عقد مثل CIFAR-10/MNIST والمجموعات التي تعتمد على الطوبولوجيا فقط مثل Reddit) وأربعة بنيات لشبكات GNN (GCN, GAT, GraphSAGE, GIN).
4. تحليل المتانة: يثبت أن BadImplaint يظل فعالاً ضد الدفاعات المعتمدة المتطورة، وتحديداً التنعيم العشوائي (Randomized Smoothing) و التقليم الدقيق (Fine Pruning).

4. النتائج التجريبية

قام المؤلفون بتقييم BadImplant مقابل هجمات استبدال المخطط الفرعي التقليدية ومختلف آليات الدفاع.

مقارنة الأداء (سيناريو تعدد الأهداف)

• معدل نجاح الهجوم (ASR): حقق BadImplant معدل نجاح شبه مثالي (>99%) لجميع فئات الأهداف عبر معظم مجموعات البيانات.
  • مثال (MNIST): حقق هجوم الاستبدال معدلات ASR بلغت 2.5%، 21.9%، و78.1% لثلاثة أهداف. بينما حقق BadImplant نسب 99.82%، 99.94%، و99.85%.
  • مثال (Reddit-Multi-12k): فشل هجوم الاستبدال (ASR ~58-87%)، بينما حقق BadImplant نسبة >98.7%.
• الدقة النظيفة (CA) والانخفاض (CAD): حافظ BadImplant على دقة نظيفة عالية مع حد أدنى من الانخفاض.
  • في MNIST، تسبب هجوم الاستبدال في انخفاض هائل في CA (من 90.6% إلى 18.06%)، بينما خفضها BadImplant إلى 90.50% فقط (انخفاض بنسبة 0.10%).
  • في مجموعات البيانات التي تعتمد على الطوبولوجيا فقط (Reddit)، حافظ BadImment على CA مع انخفاضات أقل من 0.5%.

دراسات الاستئصال (Ablation Studies)

• الاستقلال عن النموذج (Model Agnostic): عمل الهجوم باستمرار عبر GCN و GAT و GraphSAGE و GIN دون معرفة بنية النموذج.
• القابلية للتوسع (Scalability): ظل الهجوم فعالاً حتى مع زيادة عدد الأهداف من 3 إلى 10 (العدد الكامل للفئات في CIFAR-10)، مع بقاء ASR فوق 99%.
• حساسية المعلمات:
  • طريقة الحقن: حقق الحقن العشوائي أفضل توازن بين ASR العالي و CAD المنخفض مقارنة بالطرق الحتمية.
  • بيانات الطوبولوجيا: بالنسبة لمجموعات البيانات التي لا تحتوي على سمات عقد، وُجدت علاقة عكسية بين حجم المحفز وكثافة الحواف (المحفزات الأكبر تطلبت كثافة حواف أقل للأداء الأمثل).

متانة الدفاع

• التنعيم العشوائي (Randomized Smoothing): حتى مع وجود انحرافات معيارية عالية للضوضاء أدت إلى تقليل الدقة النظيفة بنسبة 50%، حافظ BadImplant على معدلات ASR فوق 80-90%.
• التقليم الدقيق (Fine Pruning): مع زيادة نسبة التقليم، انخفضت الدقة النظيفة بشكل كبير، لكن ASR للباب الخلفي ظل مرتفعاً (غالباً >80%)، مما يشير إلى أن عصبونات الباب الخلفي مقاومة للتقليم.

5. الأهمية

• الآثار الأمنية: يسلط هذا العمل الضوء على ثغرة حرجة في شبكات GNN: فهي عرضة لهجمات أبواب خلفية معقدة ومتعددة الأهداف يمكن تفعيلها في وقت واحد. وهذا يشكل خطراً جسيماً في سيناريوهات التصنيف متعدد الفئات حيث يمكن للمهاجم التلاعب بالتنبؤات لعدة فئات.
• تحول في النموذج الفكري: يتحدى هذا العمل الافتراض بأن استبدال المخطط الفرعي هو الاستراتيجية المثلى لأبواب الخلفية للرسوم البيانية. أثبتت استراتيجية الحقن تفوقها في الحفاظ على سلامة الرسم البياني وتمكين نواقل هجوم أكثر تعقيداً.
• فجوة الدفاع: يشير فشل الدفاعات المعتمدة الحالية (التنعيم والتقليم) ضد BadImplant إلى أن التدابير الأمنية الحالية لشبكات GNN غير كافية ضد هجمات حقن الأهداف المتعددة، مما يستدد ضرورة إجراء أبحاث دفاعية جديدة.

في الختام، يضع BadImplant معياراً جديداً لشدة هجمات الباب الخلفي في تعلم الرسوم البيانية، موضحاً أن الاختراقات متعددة الأهداف هي أمر ممكن، وخفي، وقوي في مواجهة الدفاعات الحالية.