Résumé Technique : Défense Universelle contre les Backdoors de Graphes : Une Perspective d'Homophilie Basée sur les Caractéristiques

1. Énoncé du Problème

Les Réseaux de Neurones sur Graphes (GNN) sont de plus en plus déployés dans des domaines à haut risque, mais restent vulnérables aux Attaques par Backdoor de Graphes (GBA). Les mécanismes de défense existants traitent principalement les attaques basées sur les sous-graphes, où des adversaires injectent des déclencheurs structurels malveillants (sous-graphes) dans la topologie du graphe. Ces méthodes reposent souvent sur l'hypothèse que les nœuds empoisonnés présentent des irrégularités structurelles ou que la suppression des arêtes associées aux déclencheurs induit une variance de prédiction significative.

Cependant, les récentes attaques basées sur les caractéristiques (par exemple, SPEAR) posent un nouveau défi en injectant des déclencheurs directement dans les attributs des nœuds tout en préservant la topologie originale du graphe. L'article démontre que les défenses les plus avancées, telles que RIGBD, échouent face à ces attaques basées sur les caractéristiques car elles n'altèrent pas la structure du graphe, invalidant ainsi les hypothèses de détection centrées sur la structure. Cette lacune motive l'étude d'une Défense Universelle contre les Backdoors de Graphes, visant à créer un cadre unique efficace contre les GBA basées sur les sous-graphes et sur les caractéristiques, sans connaissance préalable du type d'attaque.

2. Méthodologie : CoGBD

Les auteurs proposent CoGBD (Défense contre les Backdoors de Graphes guidée par la Cohérence), un cadre en deux étapes fondé sur une nouvelle perspective d'homophilie basée sur les caractéristiques. Cette perspective caractérise la cohérence entre les caractéristiques d'un nœud et les caractéristiques agrégées de son voisinage local.

Insight Théorique

L'article établit théoriquement et empiriquement que les GBA efficaces, qu'elles manipulent la structure ou les caractéristiques, induisent un écart distributionnel dans l'homophilie basée sur les caractéristiques.

• Les nœuds propres présentent une forte homophilie basée sur les caractéristiques (cohérence entre les caractéristiques du nœud et les caractéristiques du voisinage).
• Les nœuds empoisonnés (à la fois les nœuds déclencheurs et les nœuds cibles) présentent une homophilie basée sur les caractéristiques nettement plus faible.
• Cette divergence découle du fait que les attaques doivent aligner les représentations des nœuds avec une direction de classe cible, ce qui entre souvent en conflit avec la cohérence sémantique naturelle du voisinage local.

Étape 1 : Détection des Backdoors par Dérivation de Cohérence

CoGBD utilise un Modèle de Reconstruction de Cohérence (CRM) auto-supervisé pour identifier les anomalies.

• Architecture : Un encodeur GCN à deux couches mappe les nœuds vers un espace latent, suivi de deux décodeurs MLP légers.
• Reconstruction Tri-directionnelle : Le modèle est entraîné pour minimiser une perte composite ($L_{rec}$) composée de :
  1. Reconstruction au niveau du nœud ($L_{node}$) : Reconstruction des attributs originaux du nœud.
  2. Reconstruction au niveau du voisinage ($L_{neigh}$) : Reconstruction des caractéristiques agrégées du voisinage.
  3. Alignement inter-niveaux ($L_{homo}$) : Imposition d'une cohérence entre les attributs du nœud et leurs représentations de voisinage (modélisation de l'homophilie basée sur les caractéristiques).
• Détection : Les nœuds présentant des erreurs de reconstruction élevées sont signalés comme suspects. Les $\rho\%$ supérieurs des nœuds sont partitionnés en nœuds déclencheurs suspects (non étiquetés) et nœuds cibles suspects (étiquetés). Les arêtes incidentes aux nœuds déclencheurs suspects sont élaguées.

Étape 2 : Entraînement Robuste Sensible au Bruit

Pour éliminer les effets des déclencheurs tout en atténuant le bruit provenant d'une détection imparfaite, les auteurs introduisent une stratégie d'entraînement robuste sensible au bruit.

• Repondération Douce : Au lieu de partitionner rigidement les nœuds en ensembles propres ou empoisonnés, la méthode attribue des poids adaptatifs basés sur les erreurs de reconstruction.
• Score de Suspicion : Une fonction sigmoïde convertit les erreurs de reconstruction en un score de suspicion ($s_i$).
• Fonction Objectif : La perte d'entraînement ($L_{noise}$) réduit le poids de la supervision des nœuds propres ($w^L_i = (1-s_i)^a$) et supprime la confiance des nœuds cibles suspects envers la classe cible ($w^S_i = s_i^b$). Cela permet au modèle de contrer les influences des déclencheurs sans pénaliser agressivement les nœuds propres potentiellement mal identifiés.

3. Contributions Clés

1. Formulation du Problème : L'article identifie et traite la limitation des défenses existantes face aux GBA basées sur les caractéristiques, définissant le problème de la défense universelle contre les backdoors de graphes.
2. Perspective Unifiée : Il unifie les effets des attaques basées sur les sous-graphes et sur les caractéristiques à travers le prisme de l'homophilie basée sur les caractéristiques, prouvant que les deux types d'attaques réduisent la cohérence des caractéristiques locales entre les nœuds empoisonnés et leurs voisinages.
3. Proposition de Cadre (CoGBD) : Il introduit le premier cadre de défense universelle capable de se défendre contre les deux paradigmes d'attaque. CoGBD combine une étape de détection pilotée par la reconstruction avec une étape d'entraînement robuste sensible au bruit.
4. Validation Empirique : Des expériences extensives démontrent que CoGBD réduit considérablement le Taux de Succès de l'Attaque (ASR) à près de zéro sur divers jeux de données et types d'attaques, tout en maintenant une précision sur données propres compétitive.

4. Résultats Expérimentaux

Le cadre a été évalué sur quatre jeux de données (Cora, Pubmed, Flickr, OGB-arxiv) contre quatre attaques de l'état de l'art :

• Basées sur les sous-graphes : GTA, UGBA, DPGBA.
• Basées sur les caractéristiques : SPEAR.

Constats Clés :

• Performance de Défense : CoGBD atteint systématiquement un ASR proche de zéro (souvent 0,00 %) sur tous les jeux de données et types d'attaques. À l'inverse, RIGBD, bien qu'efficace contre les attaques par sous-graphes, échoue face à SPEAR (par exemple, ASR > 60 % sur la plupart des jeux de données).
• Précision sur Données Propres : CoGBD maintient une précision sur données propres comparable, et dans certains cas légèrement supérieure, à celle des GCN standards. Cela est attribué à la stratégie d'entraînement sensible au bruit qui empêche la dégradation des signaux propres.
• Capacité de Détection : La méthode atteint un rappel élevé (>80 %) pour les nœuds cibles empoisonnés et les nœuds déclencheurs. Notamment, elle détecte efficacement les nœuds cibles discrets dans les attaques basées sur les caractéristiques où les méthodes structurelles échouent.
• Études d'Ablation : La suppression de l'un quelconque des trois signaux de reconstruction ($L_{node}$, $L_{neigh}$, $L_{homo}$) compromet l'universalité de la défense, confirmant la nécessité de modéliser conjointement la cohérence au niveau du nœud, du voisinage et inter-niveaux.

5. Signification et Revendications

L'article revendique que CoGBD représente une avancée significative en découplant les mécanismes de défense des conceptions spécifiques de déclencheurs. En se concentrant sur l'écart de cohérence des caractéristiques intrinsèque induit par les backdoors, la méthode fournit une solution robuste et agnostique à l'attaque. Les auteurs soulignent que leur approche est la première à combler efficacement le fossé entre la défense contre les manipulations structurelles et les perturbations basées sur les attributs, assurant ainsi un déploiement sûr des GNN dans des scénarios à haut risque où les deux vecteurs d'attaque sont possibles. Le travail met en évidence que la robustesse peut être obtenue en exploitant la divergence fondamentale dans l'homophilie locale des caractéristiques plutôt qu'en s'appuyant sur des anomalies structurelles explicites.