BadImplant: Injection-based Multi-Targeted Graph Backdoor Attack

1. Il Problema

Le Reti Neurali su Grafi (GNN) sono diventate fondamentali per l'analisi di dati strutturati a grafo in settori critici come la scoperta di farmaci, la sicurezza informatica e le reti sociali. Tuttavia, la loro sicurezza è minacciata dagli attacchi backdoor.
Mentre la ricerca esistente si è concentrata sugli attacchi backdoor a singolo obiettivo (dove un unico trigger induce il modello a classificare erroneamente i dati in una singola classe target), questi approcci presentano limiti significativi:

• Limitazione al singolo target: Non permettono di manipolare il modello verso diverse classi target contemporaneamente.
• Meccanismo di sostituzione: Gli stati dell'arte attuali utilizzano la sostituzione di sottografi, che altera la struttura originale del grafo pulito. Questo metodo causa interferenze tra trigger multipli e degrada drasticamente l'accuratezza sui dati puliti (clean accuracy), rendendo difficile l'implementazione di attacchi multi-target.

Il paper si pone l'obiettivo di colmare questo vuoto di ricerca introducendo il primo attacco backdoor multi-target per la classificazione di grafi, capace di gestire più trigger simultaneamente senza compromettere la struttura originale dei grafi o l'accuratezza del modello.

2. Metodologia: BadImplant

Gli autori propongono BadImplant, un framework di attacco che utilizza una strategia di iniezione di sottografi invece della sostituzione.

Concetti Chiave:

• Iniezione vs. Sostituzione: A differenza degli attacchi precedenti che rimuovono parti del grafo originale per inserirvi un trigger, BadImplant inietta nodi e archi aggiuntivi nel grafo pulito. Questo preserva la struttura originale del grafo ospite, riducendo l'impatto sull'accuratezza dei dati puliti e facilitando la coesistenza di più trigger.
• Generazione dei Trigger: Vengono generati $m$ trigger distinti (sottografi) utilizzando il metodo di Erdős-Rényi. Ogni trigger è associato a una specifica classe target. Le dimensioni del trigger e la densità degli archi sono parametri configurabili adattati al dataset (con o senza feature dei nodi).
• Strategia di Iniezione:
  • Vengono selezionati grafi puliti da tutte le classi tranne quella target.
  • Viene applicato un tasso di avvelenamento (poisoning ratio) per determinare quanti grafi modificare.
  • L'iniezione avviene tramite un operatore che aggiunge il trigger al grafo pulito, collegandolo tramite un numero specifico di archi ($k$).
  • Viene utilizzata un'iniezione randomizzata dei nodi, che ha dimostrato essere superiore alle strategie deterministiche (es. grado massimo/minimo) sia per l'efficacia dell'attacco che per la sua stealthiness (difficoltà di rilevamento).
• Addestramento: Il modello viene addestrato sul dataset misto (pulito + avvelenato) con l'obiettivo di minimizzare la loss complessiva, imparando a riconoscere i trigger e mapparli alle rispettive classi target, mantenendo al contempo la capacità di classificare correttamente i grafi puliti.

3. Contributi Principali

1. Primo Attacco Multi-Target: È il primo lavoro che introduce attacchi backdoor multi-target per la classificazione di grafi, permettendo a un singolo modello compromesso di essere manipolato verso diverse classi target in base al trigger inserito.
2. Meccanismo di Iniezione: Propone una strategia di iniezione di sottografi che supera i limiti della sostituzione, permettendo la coesistenza di più trigger senza interferenze distruttive e con un impatto minimo sull'accuratezza pulita.
3. Analisi Estensiva: Fornisce un'analisi approfondita dei parametri di design dell'attacco (dimensione del trigger, densità degli archi, numero di connessioni, rapporto di avvelenamento) e della loro influenza sulle prestazioni.
4. Robustezza contro le Difese: Dimostra che BadImplant resiste efficacemente a due difese certificate all'avanguardia: Randomized Smoothing (aggiunta di rumore gaussiano) e Fine Pruning (potatura dei neuroni a bassa attivazione).

4. Risultati Sperimentali

Gli esperimenti sono stati condotti su 5 dataset reali (CIFAR-10, MNIST, Enzymes, Reddit-Multi-12k, Reddit-Multi-5k) e su 4 architetture GNN (GCN, GAT, GraphSAGE, GIN).

• Confronto con lo Stato dell'Arte:
  • L'attacco basato sulla sostituzione (metodo convenzionale) fallisce nel gestire più trigger simultaneamente, mostrando tassi di successo dell'attacco (ASR) molto bassi (es. 2.5% - 78%) e un crollo dell'accuratezza pulita (fino al 72% di drop).
  • BadImplant raggiunge tassi di successo (ASR) superiori al 99% per tutti i target su tutti i dataset, mantenendo un calo dell'accuratezza pulita (CAD) inferiore all'1% nella maggior parte dei casi.
• Generalizzazione: L'attacco funziona indipendentemente dall'architettura del modello GNN e dai parametri di addestramento, confermando la sua natura "model-agnostic".
• Scalabilità: L'attacco mantiene un'alta efficacia anche quando il numero di target aumenta (fino a 10 classi), dimostrando che i trigger possono coesistere senza interferire tra loro.
• Parametri: È stato identificato che per dataset privi di feature dei nodi (basati solo sulla topologia), esiste una relazione inversa tra dimensione del trigger e densità degli archi per ottenere prestazioni ottimali.
• Resistenza alle Difese:
  • Contro il Randomized Smoothing, BadImplant mantiene un ASR alto (spesso >80-90%) anche quando il rumore distrugge l'accuratezza pulita del modello.
  • Contro il Fine Pruning, l'attacco rimane efficace (ASR >80%) anche quando la potatura riduce drasticamente l'accuratezza pulita.

5. Significato e Implicazioni

Questo lavoro evidenzia una vulnerabilità critica e finora inesplorata delle GNN: la possibilità di compromettere un modello per manipolare le previsioni verso multiple classi target in modo simultaneo e controllato.

• Sicurezza: Dimostra che le difese attuali (come lo smoothing e il pruning) sono insufficienti contro attacchi backdoor multi-target sofisticati basati sull'iniezione.
• Impatto Pratico: Poiché le GNN sono utilizzate in applicazioni sensibili (finanza, medicina, sicurezza), la capacità di un attaccante di reindirizzare le previsioni verso diverse classi malevole senza degradare le prestazioni generali del modello rappresenta una minaccia reale e difficile da rilevare.
• Futuro della Ricerca: Il paper stabilisce un nuovo benchmark per la valutazione della sicurezza delle GNN, spingendo la comunità a sviluppare nuove difese specifiche per gli attacchi multi-target e basati sull'iniezione.

In sintesi, BadImplant rappresenta un passo avanti significativo nella comprensione delle vulnerabilità delle GNN, dimostrando che la sicurezza attuale è inadeguata contro attacchi multi-obiettivo sofisticati e che le strategie di iniezione sono superiori a quelle di sostituzione per mantenere l'efficacia e la stealthiness.