기술 요약: 범용 그래프 백도어 방어: 특징 기반 동질성 관점

1. 문제 제기

그래프 신경망 (GNN) 은 고위험 분야에서 점점 더 널리 배포되고 있지만, 그래프 백도어 공격 (GBA) 에 여전히 취약합니다. 기존 방어 메커니즘은 주로 서브그래프 기반 공격을 다루는데, 이는 적대자가 그래프 토폴로지에 악의적인 구조적 트리거 (서브그래프) 를 주입하는 방식입니다. 이러한 방법들은 종종 독성 노드가 구조적 불규칙성을 보인다는 가정이나, 트리거와 관련된 간선을 제거하면 예측 분산이 크게 발생한다는 가정에 의존합니다.

그러나 최근 특징 기반 공격(예: SPEAR) 은 원래 그래프 토폴로지를 유지하면서 노드 속성에 직접 트리거를 주입함으로써 새로운 도전을 제기합니다. 본 논문은 RIGBD 와 같은 최첨단 방어 수단이 그래프 구조를 변경하지 않는 특징 기반 공격에는 실패함을 보여줍니다. 이는 구조 중심 탐정 가정을 무효화하기 때문입니다. 이러한 격차는 공격 유형에 대한 사전 지식 없이 서브그래프 기반과 특징 기반 GBA 모두에 효과적인 단일 프레임워크를 목표로 하는 범용 그래프 백도어 방어 연구의 동기가 됩니다.

2. 방법론: CoGBD

저자들은 새로운 특징 기반 동질성 관점에 기반한 2 단계 프레임워크인 CoGBD(Consistency-guided Graph Backdoor Defense) 를 제안합니다. 이 관점은 노드의 특징과 그 국소 이웃의 집계된 특징 사이의 일관성을 특징짓습니다.

이론적 통찰

본 논문은 이론적 및 실증적으로 구조나 특징을 조작하든 상관없이 효과적인 GBA 는 특징 기반 동질성에서의 분포적 격차를 유발함을 입증합니다.

• 클린 노드는 높은 특징 기반 동질성 (노드 특징과 이웃 특징 간의 일관성) 을 보입니다.
• 독성 노드(트리거 노드와 표적 노드 모두) 는 현저히 낮은 특징 기반 동질성을 보입니다.
• 이 차이는 공격이 노드 표현을 특정 클래스 방향과 정렬해야 하는데, 이는 종종 국소 이웃의 자연스러운 의미적 일관성과 충돌하기 때문에 발생합니다.

1 단계: 일관성 편차를 통한 백도어 탐지

CoGBD 는 이상치를 식별하기 위해 자기지도학습 기반의 일관성 재구성 모델 (CRM) 을 사용합니다.

• 아키텍처: 2 층 GCN 인코더가 노드를 잠재 공간으로 매핑한 후, 두 개의 경량 MLP 디코더가 뒤따릅니다.
• 3 방향 재구성: 모델은 다음으로 구성된 복합 손실 ($L_{rec}$) 을 최소화하도록 훈련됩니다:
  1. 노드 수준 재구성 ($L_{node}$): 원래 노드 속성을 재구성합니다.
  2. 이웃 수준 재구성 ($L_{neigh}$): 집계된 이웃 특징을 재구성합니다.
  3. 크로스 레벨 정렬 ($L_{homo}$): 노드 속성과 그 이웃 표현 사이의 일관성을 강제합니다 (특징 기반 동질성 모델링).
• 탐지: 재구성 오차가 높은 노드는 의심스러운 것으로 플래그가 지정됩니다. 상위 $\rho\%$ 노드는 의심스러운 트리거 노드(레이블 없음) 와 의심스러운 표적 노드(레이블 있음) 로 분할됩니다. 의심스러운 트리거 노드에 연결된 간선은 제거됩니다.

2 단계: 노이즈 인식 강건 훈련

트리거 효과를 제거하면서도 불완전한 탐지로 인한 노이즈를 완화하기 위해, 저자들은 노이즈 인식 강건 훈련 전략을 도입합니다.

• 소프트 재가중치: 노드를 클린 또는 독성 집합으로 하드하게 분할하는 대신, 재구성 오차에 기반하여 적응형 가중치를 할당합니다.
• 의심도 점수: 시그모이드 함수가 재구성 오차를 의심도 점수 ($s_i$) 로 변환합니다.
• 목적 함수: 훈련 손실 ($L_{noise}$) 은 클린 노드의 감독을 하향 조정 ($w^L_i = (1-s_i)^a$) 하고, 의심스러운 표적 노드의 목표 클래스에 대한 신뢰도를 억제합니다 ($w^S_i = s_i^b$). 이를 통해 모델은 잠재적으로 오식별된 클린 노드를 과도하게 처벌하지 않으면서 트리거 영향을 상쇄할 수 있습니다.

3. 주요 기여

1. 문제 정의: 기존 방어 수단이 특징 기반 GBA 에 갖는 한계를 식별하고 해결하며, 범용 그래프 백도어 방어 문제를 정의합니다.
2. 통합 관점: 특징 기반 동질성의 렌즈를 통해 서브그래프 기반 및 특징 기반 공격의 효과를 통합하여, 두 공격 유형 모두 독성 노드와 그 이웃 간의 국소 특징 일관성을 감소시킨다는 것을 증명합니다.
3. 프레임워크 제안 (CoGBD): 두 가지 공격 패러다임 모두에 방어할 수 있는 최초의 범용 방어 프레임워크를 소개합니다. CoGBD 는 재구성 기반 탐지 단계와 노이즈 인식 강건 훈련 단계를 결합합니다.
4. 실증적 검증: 광범위한 실험을 통해 CoGBD 가 다양한 데이터셋과 공격 유형에서 공격 성공률 (ASR) 을 거의 0 에 가깝게 크게 감소시키면서도 경쟁력 있는 클린 정확도를 유지함을 입증합니다.

4. 실험 결과

이 프레임워크는 네 가지 데이터셋 (Cora, Pubmed, Flickr, OGB-arxiv) 에서 네 가지 최첨단 공격에 대해 평가되었습니다:

• 서브그래프 기반: GTA, UGBA, DPGBA.
• 특징 기반: SPEAR.

주요 발견:

• 방어 성능: CoGBD 는 모든 데이터셋과 공격 유형에서 일관되게 거의 0 인 ASR(종종 0.00%) 을 달성합니다. 반면, RIGBD 는 서브그래프 공격에는 효과적이지만 SPEAR 에는 실패합니다 (예: 대부분의 데이터셋에서 ASR > 60%).
• 클린 정확도: CoGBD 는 바닐라 GCN 과 유사하거나 경우에 따라 약간 더 높은 클린 정확도를 유지합니다. 이는 클린 신호의 저하를 방지하는 노이즈 인식 훈련 전략에 기인합니다.
• 탐지 능력: 이 방법은 독성 표적 노드와 트리거 노드 모두에 대해 높은 재현율 (>80%) 을 달성합니다. 특히 구조적 방법이 실패하는 특징 기반 공격의 은밀한 표적 노드를 효과적으로 탐지합니다.
• 절차 연구: 세 가지 재구성 신호 ($L_{node}$, $L_{neigh}$, $L_{homo}$) 중 하나를 제거하면 방어의 범용성이 훼손되어, 노드, 이웃, 크로스 레벨 일관성을 공동으로 모델링하는 필요성을 확인합니다.

5. 중요성 및 주장

본 논문은 CoGBD 가 특정 트리거 설계에서 방어 메커니즘을 분리함으로써 중요한 진전을 이루었다고 주장합니다. 백도어로 인해 발생하는 내재적인 특징 일관성 격차에 초점을 맞춤으로써, 이 방법은 공격과 무관한 강건한 솔루션을 제공합니다. 저자들은 그들의 접근 방식이 구조적 조작과 속성 기반 교란에 대한 방어 사이의 격차를 효과적으로 연결한 첫 번째 방법임을 강조하며, 두 가지 공격 벡터가 모두 가능한 고위험 시나리오에서 GNN 의 안전한 배포를 보장합니다. 이 연구는 명시적인 구조적 이상에 의존하기보다 국소 특징 동질성의 근본적인 차이를 활용함으로써 강건성을 달성할 수 있음을 강조합니다.