Resumen Técnico: Defensa Universal de Backdoor en Grafos: Una Perspectiva de Homofilia Basada en Características

1. Declaración del Problema

Las Redes Neuronales de Grafos (GNN) se implementan cada vez más en dominios de alto riesgo, pero siguen siendo vulnerables a los Ataques de Backdoor en Grafos (GBA). Los mecanismos de defensa existentes abordan principalmente los ataques basados en subgrafos, donde los adversarios inyectan desencadenantes estructurales maliciosos (subgrafos) en la topología del grafo. Estos métodos suelen basarse en la suposición de que los nodos envenenados exhiben irregularidades estructurales o que eliminar las aristas asociadas a los desencadenantes induce una variación significativa en las predicciones.

Sin embargo, los recientes ataques basados en características (por ejemplo, SPEAR) plantean un nuevo desafío al inyectar desencadenantes directamente en los atributos de los nodos, preservando la topología original del grafo. El artículo demuestra que las defensas más avanzadas, como RIGBD, fallan ante estos ataques basados en características porque no alteran la estructura del grafo, invalidando así las suposiciones de detección centradas en la estructura. Esta brecha motiva el estudio de la Defensa Universal de Backdoor en Grafos, que busca crear un único marco efectivo contra tanto los GBA basados en subgrafos como los basados en características, sin conocimiento previo del tipo de ataque.

2. Metodología: CoGBD

Los autores proponen CoGBD (Defensa de Backdoor en Grafos Guiada por Consistencia), un marco de dos etapas fundamentado en una nueva perspectiva de homofilia basada en características. Esta perspectiva caracteriza la consistencia entre las características de un nodo y las características agregadas de su vecindario local.

Perspectiva Teórica

El artículo establece teórica y empíricamente que los GBA efectivos, independientemente de si manipulan la estructura o las características, inducen una brecha distribucional en la homofilia basada en características.

• Los nodos limpios exhiben una alta homofilia basada en características (consistencia entre las características del nodo y las características del vecindario).
• Los nodos envenenados (tanto los nodos desencadenante como los nodos objetivo) exhiben una homofilia basada en características significativamente menor.
• Esta discrepancia surge porque los ataques deben alinear las representaciones de los nodos con una dirección de clase objetivo, lo cual a menudo entra en conflicto con la consistencia semántica natural del vecindario local.

Etapa 1: Detección de Backdoor mediante Desviación de Consistencia

CoGBD emplea un Modelo de Reconstrucción de Consistencia (CRM) auto-supervisado para identificar anomalías.

• Arquitectura: Un codificador GCN de dos capas mapea los nodos a un espacio latente, seguido de dos decodificadores MLP ligeros.
• Reconstrucción Tri-direccional: El modelo se entrena para minimizar una pérdida compuesta ($L_{rec}$) que consta de:
  1. Reconstrucción a nivel de nodo ($L_{node}$): Reconstruir los atributos originales del nodo.
  2. Reconstrucción a nivel de vecindario ($L_{neigh}$): Reconstruir las características agregadas del vecindario.
  3. Alineación inter-nivel ($L_{homo}$): Imponer consistencia entre los atributos del nodo y sus representaciones de vecindario (modelando la homofilia basada en características).
• Detección: Los nodos con altos errores de reconstrucción se marcan como sospechosos. El top $\rho\%$ de nodos se divide en nodos desencadenante sospechosos (sin etiqueta) y nodos objetivo sospechosos (con etiqueta). Las aristas incidentes a los nodos desencadenante sospechosos se podan.

Etapa 2: Entrenamiento Robusto Consciente del Ruido

Para eliminar los efectos del desencadenante mientras se mitiga el ruido derivado de una detección imperfecta, los autores introducen una estrategia de entrenamiento robusto consciente del ruido.

• Reponderación Suave: En lugar de particionar los nodos en conjuntos limpios o envenenados de forma rígida, el método asigna pesos adaptativos basados en los errores de reconstrucción.
• Puntuación de Sospecha: Una función sigmoide convierte los errores de reconstrucción en una puntuación de sospecha ($s_i$).
• Función Objetivo: La pérdida de entrenamiento ($L_{noise}$) reduce el peso de la supervisión de los nodos limpios ($w^L_i = (1-s_i)^a$) y suprime la confianza de los nodos objetivo sospechosos hacia la clase objetivo ($w^S_i = s_i^b$). Esto permite que el modelo contrarreste las influencias del desencadenante sin penalizar agresivamente a los nodos limpios potencialmente mal identificados.

3. Contribuciones Clave

1. Formulación del Problema: El artículo identifica y aborda la limitación de las defensas existentes frente a los GBA basados en características, definiendo el problema de la defensa universal de backdoor en grafos.
2. Perspectiva Unificada: Unifica los efectos de los ataques basados en subgrafos y los basados en características a través de la lente de la homofilia basada en características, demostrando que ambos tipos de ataques reducen la consistencia local de características entre los nodos envenenados y sus vecindarios.
3. Propuesta de Marco (CoGBD): Introduce el primer marco de defensa universal capaz de defenderse contra ambos paradigmas de ataque. CoGBD combina una etapa de detección impulsada por reconstrucción con una etapa de entrenamiento robusto consciente del ruido.
4. Validación Empírica: Experimentos extensivos demuestran que CoGBD reduce significativamente la Tasa de Éxito del Ataque (ASR) a casi cero en diversos conjuntos de datos y tipos de ataques, manteniendo al mismo tiempo una precisión en datos limpios competitiva.

4. Resultados Experimentales

El marco se evaluó en cuatro conjuntos de datos (Cora, Pubmed, Flickr, OGB-arxiv) frente a cuatro ataques de última generación:

• Basados en subgrafos: GTA, UGBA, DPGBA.
• Basados en características: SPEAR.

Hallazgos Clave:

• Rendimiento de Defensa: CoGBD logra consistentemente una ASR cercana a cero (a menudo 0.00%) en todos los conjuntos de datos y tipos de ataques. Por el contrario, RIGBD, aunque efectivo contra ataques basados en subgrafos, falla contra SPEAR (por ejemplo, ASR > 60% en la mayoría de los conjuntos de datos).
• Precisión en Datos Limpios: CoGBD mantiene una precisión en datos limpios comparable a, y en algunos casos ligeramente superior a, los GCN estándar. Esto se atribuye a la estrategia de entrenamiento consciente del ruido, que previene la degradación de las señales limpias.
• Capacidad de Detección: El método logra una alta recuperación (>80%) tanto para nodos objetivo envenenados como para nodos desencadenante. Cabe destacar que detecta eficazmente los nodos objetivo sigilosos en ataques basados en características, donde los métodos estructurales fallan.
• Estudios de Ablación: Eliminar cualquiera de las tres señales de reconstrucción ($L_{node}$, $L_{neigh}$, $L_{homo}$) compromete la universalidad de la defensa, confirmando la necesidad de modelar conjuntamente la consistencia a nivel de nodo, vecindario e inter-nivel.

5. Significado y Afirmaciones

El artículo afirma que CoGBD representa un avance significativo al desacoplar los mecanismos de defensa de diseños específicos de desencadenantes. Al centrarse en la brecha de consistencia de características intrínseca inducida por los backdoors, el método proporciona una solución robusta e independiente del ataque. Los autores enfatizan que su enfoque es el primero en cerrar eficazmente la brecha entre la defensa contra manipulaciones estructurales y perturbaciones basadas en atributos, garantizando el despliegue seguro de GNN en escenarios de alto riesgo donde son posibles ambos vectores de ataque. El trabajo destaca que la robustez puede lograrse aprovechando la discrepancia fundamental en la homofilia local de características, en lugar de depender de anomalías estructurales explícitas.