Rethinking Molecular Graph Backdoors under Chemistry-aware Admission

Résumé Technique : Repenser les portes dérobées des graphes moléculaires sous une admission sensible à la chimie

Énoncé du problème
Les recherches actuelles sur les attaques par porte dérobée (backdoor) contre les réseaux de neurones sur graphes moléculaires (GNN) évaluent généralement l'insertion de déclencheurs (triggers) comme des éditions de graphes abstraits. Ces évaluations supposent qu'une fois qu'un motif de déclencheur est ajouté à un graphe, le « molécule empoisonnée » résultante est immédiatement disponible pour l'entraînement ou l'inférence. Cependant, cette hypothèse ignore les pipelines de prétraitement rigoureux inhérents aux flux de travail de la chimio-informatique réalistes. Avant qu'un enregistrement moléculaire n'entre dans un pipeline d'apprentissage, il doit subir une analyse syntaxique (parsing), une sanitisation, une canonicalisation et des vérifications de cohérence entre le graphe et sa chaîne (string) pour garantir la validité chimique (par exemple, la valence correcte, l'aromaticité et les types de liaisons).

L'article soutient que l'omission de cette « étape d'admission » conduit à une surestimation significative du succès de l'attaque. De nombreux déclencheurs de graphes abstraits génèrent des molécules qui échouent à la sanitisation chimique ou qui entraînent des incohérences entre la chaîne moléculaire et le graphe soumis. Par conséquent, ces poisons sont rejetés avant de pouvoir influencer le modèle, rendant les évaluations d'attaques au niveau du graphe abstrait trompeuses quant au risque opérationnel.

Méthodologie

1. ChemGuard : Un protocole d'admission
Les auteurs formalisent l'étape d'admission négligée sous le nom de ChemGuard, un protocole opérationnel qui teste si un enregistrement moléculaire soumis peut entrer dans un pipeline d'apprentissage réaliste. Un enregistrement $(\tilde{s}, \tilde{G}, y)$, composé d'une chaîne moléculaire $\tilde{s}$, d'un graphe soumis $\tilde{G}$ et d'une étiquette $y$, est admis si et seulement si :

1. La chaîne moléculaire est sanitisable par un outil de chimie (par exemple, RDKit), retournant un graphe valide $\phi_T(\tilde{s}) \neq \emptyset$.
2. La topologie du graphe reconstruit à partir de la chaîne correspond au graphe soumis $\tilde{G}$ (c'est-à-dire $Topo(\phi_T(\tilde{s})) = Topo(\tilde{G})$).

ChemGuard n'est pas une défense complète mais un contrôle minimal au niveau du pipeline qui complète les défenses post-hoc existantes. Il redéfinit le Taux d'Empoisonnement Effectif (EPR) comme la fraction des poisons tentés qui survivent à ce contrôle d'admission.

2. ChemBack : Une attaque sensible à l'admission
Pour démontrer que des portes dérobées effectives peuvent encore exister sous ces contraintes, les auteurs proposent ChemBack, une attaque par porte dérobée sans modèle et sensible à l'admission. Contrairement aux méthodes précédentes qui reposent sur des modèles de substitution ou l'accès aux gradients, ChemBack opère sans accès au modèle victime, au code d'entraînement ou aux plongements (embeddings) appris.

L'attaque procède comme suit :

• Construction de Motif-Ancre : L'attaquant mine une bibliothèque de motifs chimiquement significatifs et tente de les attacher à des molécules « hôtes » sur des ancres atomiques valides (atomes ayant une valence disponible).
• Filtrage par ChemGuard : Chaque tentative d'attachement est sanitisée et vérifiée pour la cohérence graphe-chaîne. Seuls les candidats passant par ChemGuard sont considérés.
• Alignement de Cible : Parmi les candidats admis, les déclencheurs sont sélectionnés sur la base de la similitude de Tanimoto (utilisant les empreintes digitales de Morgan) avec les molécules propres de la classe cible. Cela garantit que les molécules empoisonnées sont structurellement proches de la région cible, augmentant la probabilité d'induire l'étiquette cible tout en restant moins aberrantes selon les diagnostics standards.
• Empoisonnement : Le déclencheur sélectionné est appliqué à une fraction $\alpha$ des molécules d'entraînement non cibles, qui sont ensuite étiquetées avec la classe cible.

Principales Contributions

1. Identification d'un écart d'admission : L'article démontre que le succès des déclencheurs au niveau du graphe surestime souvent le risque opérationnel car il ignore les vérifications de sanitisation et de cohérence graphe-chaîne.
2. Formalisation de ChemGuard : Les auteurs introduisent un protocole d'admission minimal pour tester la viabilité des enregistrements avant l'entraînement ou l'inférence, établissant une base pour une évaluation réaliste des portes dérobées.
3. Proposition de ChemBack : Une attaque novatrice qui construit des attachements motif-ancre chimiquement viables et sélectionne les déclencheurs via la similitude de Tanimoto avec la classe cible, ne nécessant aucun accès au modèle victime.
4. Validation Empirique : L'étude montre que si l'admission sensible à la chimie supprime de nombreuses portes dérobées basées uniquement sur le graphe, les portes dérobées chimiquement valides et alignées sur la cible (comme ChemBack) restent hautement efficaces.

Résultats Expérimentaux
Les auteurs ont évalué leurs conclusions à travers quatre benchmarks MoleculeNet (BBBP, BACE, SIDER, Tox21), diverses architectures de GNN (GCN, GIN, GraphSAGE, etc.) et différents mécanismes de défense.

• Impact sur les attaques basées uniquement sur le graphe : Lorsque ChemGuard est appliqué, l'EPR des attaques représentatives basées uniquement sur le graphe (GTA, Motif-Backdoor, UGBA, DPGBA) chute considérablement (souvent à un chiffre simple ou à un faible double chiffre). Par conséquent, leur taux de succès d'attaque (ASR) opérationnel diminue substantiellement, car de nombreuses tentatives de déclencheurs sont rejetées.
• Performance de ChemBack : ChemBack maintient un EPR de 100 % sur tous les jeux de données car il construit des poisons qui sont chimiquement valides par conception. Il atteint un ASR élevé (ex: ~69 % sur BBBP, ~99 % sur SIDER) tout en préservant une précision sur les données propres (CA) comparable à la ligne de base sans attaque.
• Robustesse : ChemBack reste efficace sur des jeux de données à plus grande échelle (PCBA, MUV), dans des configurations de pré-entraînement/finetuning (utilisant GROVER), et contre diverses défenses post-hoc (Spectral Signatures, DShield, RIGBD, etc.).
• Discrétion : Les diagnostics post-hoc indiquent que les poisons de ChemBack ne sont pas des valeurs aberrantes extrêmes dans les espaces de représentation appris (faible distance de Mahalanobis par rapport à la classe cible) et s'alignent bien avec les molécules de la classe cible propre en termes de descripteurs chimiques standards (logP, HBD, HBA, etc.).

Signification et Revendications
L'article revendique une « leçon à deux volets » concernant la sécurité des portes dérobées moléculaires :

1. L'admission sensible à la chimie supprime de nombreuses portes dérobées basées uniquement sur le graphe. Les évaluations qui traitent les molécules comme des graphes arbitraires gonflent le succès de l'attaque en comptant des poisons invalides qui n'atteindraient jamais l'apprenant dans un pipeline réel.
2. Les portes dérobées chimiquement valides et alignées sur la cible restent une menace pratique. Les attaques qui respectent les contraintes chimiques et s'alignent structurellement avec la classe cible (comme ChemBack) peuvent contourner les contrôles d'admission et compromettre avec succès les modèles.

Les auteurs soulignent que ChemGuard est un premier niveau de contrôle d'admission, et non une défense complète ou un certificat de robustesse. Il ne couvre pas tous les filtres pratiques (par exemple, l'accessibilité synthétique, les règles de chimie médicinale ou l'examen d'experts). Cependant, les résultats suggèrent que les futures évaluations de sécurité pour les GNN moléculaires doivent tenir compte de l'étape d'admission pour évaluer précisément le risque opérationnel, et que les défenses doivent être stratifiées, combinant les contrôles d'admission avec la détection post-hoc.