Rethinking Molecular Graph Backdoors under Chemistry-aware Admission

Resumen Técnico: Replanteando las Puertas Traseras en Grafos Moleculares bajo una Admisión con Conciencia Química

Declaración del Problema
La investigación existente sobre ataques de puerta trasera (backdoor attacks) contra Redes Neuronales de Grafos (GNN) moleculares evalúa típicamente la inserción de disparadores (triggers) como ediciones de grafos abstractos. Estas evaluaciones asumen que, una vez que se añade un patrón de disparador a un grafo, el "molécula envenenada" resultante está inmediatamente disponible para el entrenamiento o la inferencia. Sin embargo, esta suposición ignora los rigurosos procesos de preprocesamiento inherentes a los flujos de trabajo de la quimioinformática realista. Antes de que un registro molecular entre en un pipeline de aprendizaje, debe someterse a procesos de análisis (parsing), sanitización, canonicalización y verificaciones de consistencia entre el grafo y su representación de cadena (string) para asegurar la validez química (por ejemplo, valencia correcta, aromaticidad y tipos de enlace).

El artículo argumenta que ignorar este "estadio de admisión" conduce a una sobreestimación significativa del éxito del ataque. Muchos disparadores de grafos abstractos generan moléculas que fallan la sanitización química o resultan en inconsistencias entre la cadena molecular y el grafo enviado. En consecuencia, estos venenos son rechazados antes de que puedan influir en el modelo, lo que hace que las evaluaciones de ataques a nivel de grafo abstracto sean engañosas respecto al riesgo operativo.

Metodología

1. ChemGuard: Un Protocolo de Admisión
Los autores formalizan el estadio de admisión pasado por alto como ChemGuard, un protocolo operativo que prueba si un registro molecular enviado puede entrar en un pipeline de aprendizaje realista. Un registro $(\tilde{s}, \tilde{G}, y)$, que consiste en una cadena molecular $\tilde{s}$, un grafo enviado $\tilde{G}$ y una etiqueta $y$, es admitido si y solo si:

1. La cadena molecular es sanitizable por un kit de herramientas químicas (por ejemplo, RDKit), devolviendo un grafo válido $\phi_T(\tilde{s}) \neq \emptyset$.
2. La topología del grafo reconstruido desde la cadena coincide con el grafo enviado $\tilde{G}$ (es decir, $Topo(\phi_T(\tilde{s})) = Topo(\tilde{G})$).

ChemGuard no es una defensa completa, sino un chequeo mínimo a nivel de pipeline que complementa las defensas post-hoc existentes. Redefine la Tasa de Envenenamiento Efectiva (EPR) como la fracción de venenos intentados que sobreviven a este chequeo de admisión.

2. ChemBack: Un Ataque con Conciencia de la Admisión
Para demostrar que las puertas traseras efectivas aún pueden existir bajo estas restricciones, los autores proponen ChemBack, un ataque de puerta trasera sin modelo y consciente de la admisión. A diferencia de métodos previos que dependen de modelos subrogados o acceso a gradientes, ChemBack opera sin acceso al modelo víctima, al código de entrenamiento o a los embeddings aprendidos.

El ataque procede de la siguiente manera:

• Construcción de Motivo-Ancla: El atacante mina una biblioteca de motivos con significado químico e intenta adjuntarlos a moléculas "anfitrionas" en anclajes atómicos válidos (átomos con valencia disponible).
• Filtrado de ChemGuard: Cada intento de adjunción es sanitizado y verificado para la consistencia entre grafo y cadena. Solo los candidatos que pasan ChemGuard son considerados.
• Alineación con el Objetivo: Entre los candidatos admitidos, los disparadores se seleccionan basándose en la similitud de Tanimoto (usando huellas dactilares de Morgan) con moléculas limpias de la clase objetivo. Esto asegura que las moléculas envenenadas estén estructuralmente cerca de la región objetivo, aumentando la probabilidad de inducir la etiqueta objetivo mientras permanecen menos aisladas bajo diagnósticos estándar.
• Envenenamiento: El disparador seleccionado se aplica a una fracción $\alpha$ de las moléculas de entrenamiento que no son del objetivo, las cuales son entonces etiquetadas con la clase objetivo.

Contribuciones Clave

1. Identificación de una Brecha de Admisión: El artículo demuestra que el éxito de los disparadores a nivel de grafo a menudo sobreestima el riesgo operativo porque ignora las verificaciones de sanitización y de consistencia entre grafo y cadena.
2. Formalización de ChemGuard: Los autores introducen un protocolo de admisión mínimo para probar la viabilidad del registro antes del entrenamiento o la inferencia, estableciendo una línea base para la evaluación realista de puertas traseras.
3. Propuesta de ChemBack: Un ataque novedoso que construye adjunciones de motivo-ancla químicamente factibles y selecciona disparadores mediante la similitud de Tanimoto con la clase objetivo, sin requerir acceso al modelo víctima.
4. Validación Empírica: El estudio muestra que, si bien la admisión con conciencia química suprime muchas puertas traseras de solo grafos, las puertas traseras químicamente válidas y alineadas con el objetivo (como ChemBack) siguen siendo altamente efectivas.

Resultados Experimentales
Los autores evaluaron sus hallazgos a través de cuatro benchmarks de MoleculeNet (BBBP, BACE, SIDER, Tox21), diversas arquitecturas de GNN (GCN, GIN, GraphSAGE, etc.) y diferentes mecanismos de defensa.

• Impacto en Ataques de Solo Grafos: Cuando se impone ChemGuard, la Tasa de Envenenamiento Efectiva (EPR) de ataques representativos de solo grafos (GTA, Motif-Backdoor, UGBA, DPGBA) cae significativamente (a menudo a dígitos únicos o doble dígito bajo). En consecuencia, su Tasa de Éxito de Ataque (ASR) operativa disminuye sustancialmente, ya que muchos disparadores intentados son rechazados.
• Desempeño de ChemBack: ChemBack mantiene una EPR del 100% en todos los conjuntos de datos porque construye venenos que son químicamente válidos por diseño. Logra una alta ASR (por ejemplo, ~69% en BBBP, ~99% en SIDER) preservando una Precisión Limpia (CA) comparable a la línea base sin ataque.
• Robustez: ChemBack sigue siendo efectivo en conjuntos de datos a mayor escala (PCBA, MUV), configuraciones de preentrenamiento-ajuste fino (usando GROVER) y contra diversas defensas post-hoc (Spectral Signatures, DShield, RIGBD, etc.).
• Sigilo: Los diagnósticos post-hoc indican que los venenos de ChemBack no son valores atípicos extremos en los espacios de representación aprendidos (baja distancia de Mahalanobis a la clase objetivo) y se alinean bien con las moléculas de la clase objetivo limpia en términos de descriptores químicos estándar (logP, HBD, HBA, etc.).

Significancia y Reivindicaciones
El artículo reivindica una "lección de dos caras" respecto a la seguridad de las puertas traseras moleculares:

1. La admisión con conciencia química suprime muchas puertas traseras de solo grafos. Las evaluaciones que tratan las moléculas como grafos arbitrarios inflan el éxito del ataque al contar venenos inválidos que nunca llegarían al aprendiz en un pipeline real.
2. Las puertas traseras químicamente válidas y alineadas con el objetivo siguen siendo una amenaza práctica. Los ataques que respetan las restricciones químicas y se alinean estructuralmente con la clase objetivo (como ChemBack) pueden evadir los chequeos de admisión y comprometer con éxito los modelos.

Los autores enfatizan que ChemGuard es un chequeo de admisión de primera capa, no una defensa completa o un certificado de robustez. No cubre todos los filtros prácticos (por ejemplo, accesibilidad sintética, reglas de química medicinal o revisión de expertos). Sin embargo, los resultados sugieren que las futuras evaluaciones de seguridad para GNN moleculares deben tener en cuenta la etapa de admisión para evaluar con precisión el riesgo operativo, y que las defensas deben ser por capas, combinando los chequeos de admisión con la detección post-hoc.