Rethinking Molecular Graph Backdoors under Chemistry-aware Admission

Sintesi Tecnica: Riconsiderare i Backdoor nei Grafi Molecolari sotto l'Ammissione Consapevole della Chimica

Definizione del Problema
La ricerca esistente sugli attacchi backdoor contro le Reti Neurali su Grafi (GNN) molecolari valuta tipicamente l'inserimento di trigger come modifiche astratte ai grafi. Queste valutazioni assumono che, una volta aggiunto un pattern di trigger a un grafo, il "molecola avvelenata" risultante sia immediatamente disponibile per l'addestramento o l'inferenza. Tuttavia, questa ipotesi ignora le rigorose pipeline di pre-elaborazione inerenti ai flussi di lavoro realistici della chemioinformatica. Prima che un record molecolare entri in una pipeline di apprendimento, deve subire parsing, sanitizzazione, canonicalizzazione e controlli di coerenza tra stringa e grafo per garantire la validità chimica (ad esempio, corretto valore di valenza, aromaticità e tipi di legame).

L'articolo sostiene che ignorare questo "stadio di ammissione" porti a una significativa sovrastima del successo dell'attacco. Molti trigger astratti a livello di grafo generano molecole che falliscono la sanitizzazione chimica o risultano incoerenti tra la stringa molecolare e il grafo presentato. Di conseguenza, questi veleni vengono rifiutati prima di poter influenzare il modello, rendendo le valutazioni degli attacchi astratti a livello di grafo fuorvianti rispetto al rischio operativo.

Metodologia

1. ChemGuard: Un Protocollo di Ammissione
Gli autori formalizzano lo stadio di ammissione trascurato come ChemGuard, un protocollo operativo che testa se un record molecolare presentato può entrare in una pipeline di apprendimento realistica. Un record $(\tilde{s}, \tilde{G}, y)$, composto da una stringa molecolare $\tilde{s}$, un grafo presentato $\tilde{G}$ e un'etichetta $y$, è ammesso se e solo se:

1. La stringa molecolare è sanitizzabile da un toolkit chimico (ad esempio, RDKit), restituendo un grafo valido $\phi_T(\tilde{s}) \neq \emptyset$.
2. La topologia del grafo ricostruito dalla stringa corrisponde al grafo presentato $\tilde{G}$ (ovvero, $Topo(\phi_T(\tilde{s})) = Topo(\tilde{G})$).

ChemGuard non è una difesa completa ma un controllo minimo a livello di pipeline che integra le difese post-hoc esistenti. Esso ridefinisce il Tasso di Avvelenamento Effettivo (EPR) come la frazione di tentativi di avvelenamento che sopravvive a questo controllo di ammissione.

2. ChemBack: Un Attacco Consapevole dell'Ammissione
Per dimostrare che i backdoor efficaci possono ancora esistere sotto questi vincoli, gli autori propongono ChemBack, un attacco backdoor model-free e consapevole dell'ammissione. A differenza dei metodi precedenti che si affidano a modelli surrogati o accesso ai gradienti, ChemBack opera senza accesso al modello vittima, al codice di addestramento o agli embedding appresi.

L'attacco procede come segue:

• Costruzione del Motif-Anchor: L'attaccante scava in una libreria di motivi chimicamente significativi e tenta di attaccarli a molecole "ospiti" in ancoraggi atomici validi (atomi con valenza disponibile).
• Filtraggio ChemGuard: Ogni tentativo di attaccamento viene sanitizzato e controllato per la coerenza grafo-stringa. Solo i candidati che superano ChemGuard sono considerati.
• Allineamento del Target: Tra i candidati ammessi, i trigger vengono selezionati in base alla similarità di Tanimoto (utilizzando Morgan fingerprints) con le molecole pulite della classe target. Ciò garantisce che le molecole avvelenate siano strutturalmente vicine alla regione target, aumentando la probabilità di indurre l'etichetta target pur rimanendo meno anomale sotto i diagnostici standard.
• Avvelenamento: Il trigger selezionato viene applicato a una frazione $\alpha$ di molecole di addestramento non target, che vengono poi etichettate con la classe target.

Contributi Chiave

1. Identificazione di un Gap di Ammissione: Il documento dimostra che il successo dei trigger a livello di grafo spesso sovrastima il rischio operativo perché ignora la sanitizzazione e i controlli di coerenza grafo-stringa.
2. Formalizzazione di ChemGuard: Gli autori introducono un protocollo di ammissione minimo per testare la vitalità del record prima dell'addestramento o dell'inferenza, stabilendo una linea di base per una valutazione realistica dei backdoor.
3. Proposta di ChemBack: Un nuovo attacco che costruisce attaccamenti motif-anchor chimicamente fattibili e seleziona i trigger tramite similarità di Tanimoto alla classe target, senza richiedere l'accesso al modello vittima.
4. Validazione Empirica: Lo studio mostra che mentre l'ammissione consapevole della chimica sopprime molti backdoor basati solo sul grafo, i backdoor chimicamente validi e allineati al target (come ChemBack) rimangono altamente efficaci.

Risultati Sperimentali
Gli autori hanno valutato le loro scoperte attraverso quattro benchmark MoleculeNet (BBBP, BACE, SIDER, Tox21), varie architetture GNN (GCN, GIN, GraphSAGE, ecc.) e diversi meccanismi di difesa.

• Impatto sugli Attacchi Basati Solo sul Grafo: Quando ChemGuard è imposto, l'EPR di rappresentativi attacchi basati solo sul grafo (GTA, Motif-Backdoor, UGBA, DPGBA) scende significativamente (spesso a singole cifre o basse decine). Di conseguenza, il loro Attack Success Rate (ASR) operativo diminuisce sostanzialmente, poiché molti tentativi di trigger vengono rifiutati.
• Performance di ChemBack: ChemBack mantiene un EPR del 100% in tutti i dataset perché costruisce veleni che sono chimicamente validi per progettazione. Raggiunge un alto ASR (ad esempio, ~69% su BBBP, ~99% su SIDER) preservando una Clean Accuracy (CA) comparabile alla baseline senza attacco.
• Robustezza: ChemBack rimane efficace in dataset su scala più ampia (PCBA, MUV), in configurazioni pretrain-finetune (usando GROVER) e contro varie difese post-hoc (Spectral Signatures, DShield, RIGBD, ecc.).
• Stealth (Occultamento): I diagnostici post-hoc indicano che i veleni di ChemBack non sono outlier estremi negli spazi di rappresentazione appresi (bassa distanza di Mahalanobis rispetto alla classe target) e si allineano bene con le molecole pulite della classe target in termini di descrittori chimici standard (logP, HBD, HBA, ecc.).

Significato e Rivendicazioni
Il documento rivendica una "lezione a due facce" riguardo alla sicurezza dei backdoor molecolari:

1. L'ammissione consapevole della chimica sopprime molti backdoor basati solo sul grafo. Le valutazioni che trattano le molecole come grafi arbitrari gonfiano il successo dell'attacco contando i veleni non validi che non raggiungerebbero mai l'apprendista in una pipeline reale.
2. I backdoor chimicamente validi e allineati al target rimangono una minaccia pratica. Gli attacchi che rispettano i vincoli chimici e si allineano strutturalmente con la classe target (come ChemBack) possono bypassare i controlli di ammissione e compromettere con successo i modelli.

Gli autori sottolineano che ChemGuard è un controllo di ammissione del primo livello, non una difesa completa o un certificato di robustezza. Non copre tutti i filtri pratici (ad esempio, accessibilità sintetica, regole di chimica medicinale o revisione esperta). Tuttavia, i risultati suggeriscono che le future valutazioni di sicurezza per le GNN molecolari devono tenere conto dello stadio di ammissione per valutare accuratamente il rischio operativo, e che le difese devono essere stratificate, combinando i controlli di ammissione con il rilevamento post-hoc.