Rethinking Molecular Graph Backdoors under Chemistry-aware Admission

기술 요약: 화학적 인지형 승인(Chemistry-aware Admission) 하에서의 분자 그래프 백도어 재고찰

문제 정의
분자 그래프 신경망(GNN)에 대한 기존의 백도어 공격 연구는 일반적으로 트리거 삽입을 추상적인 그래프 편집으로 평가합니다. 이러한 평가는 트리거 패턴이 그래프에 추가되면, 결과물인 "오염된" 분자가 즉시 훈련이나 추론에 사용 가능하다고 가정합니다. 그러나 이러한 가정은 실제 화학 정보학 워크플로우에 내재된 엄격한 전처리 파이프라인을 간과합니다. 분자 레코드가 학습 파이프라인에 진입하기 전, 화학적 유효성(예: 올바른 원자가, 방향족성, 결합 유형)을 보장하기 위해 파싱, 정제(sanitization), 정규화(canonicalization) 및 그래프-문자열 일관성 검사를 거쳐야 합니다.

본 논문은 이러한 "승인 단계(admission stage)"를 무시하는 것이 공격 성공률을 크게 과대평가하게 만든다고 주장합니다. 많은 추상적 그래프 트리거는 화학적 정제 과정에서 실패하거나, 분자 문자열과 제출된 그래프 사이의 불일치를 발생시킵니다. 결과적으로, 이러한 오염된 데이터는 모델에 영향을 미치기 전에 거부되며, 이는 추상적 그래프 수준의 공격 평가가 실제 운영상의 위험에 대해 오해를 불러일으킬 수 있음을 의미합니다.

방법론

1. ChemGuard: 승인 프로토콜
저자들은 간과되었던 승인 단계를, 제출된 분자 레코드가 실제 학습 파이프라인에 진입할 수 있는지 테스트하는 운영 프로토콜인 ChemGuard로 정식화했습니다. 분자 문자열 $\tilde{s}$, 제출된 그래프 $\tilde{G}$, 레이블 $y$로 구성된 레코드 $(\tilde{s}, \tilde{G}, y)$는 다음 조건을 만족할 때만 승인됩니다:

1. 분자 문자열이 화학 툴킷(예: RDKit)에 의해 정제 가능하여, 유효한 그래프 $\phi_T(\tilde{s}) \neq \emptyset$를 반환해야 함.
2. 문자열로부터 재구성된 그래프의 토폴로지가 제출된 그래프 $\tilde{G}$와 일치해야 함 (즉, $Topo(\phi_T(\tilde{s})) = Topo(\tilde{G})$).

ChemGuard는 완전한 방어책이 아니라, 기존의 사후(post-hoc) 방어 기법을 보완하는 최소한의 파이프라인 수준 체크입니다. 이는 **유효 오염율(Effective Poisoning Rate, EPR)**을 시도된 오염 데이터 중 이 승인 검사를 통과한 비율로 재정의합니다.

2. ChemBack: 승인 인지형 공격
이러한 제약 조건 하에서도 효과적인 백도어가 여전히 존재할 수 있음을 입증하기 위해, 저자들은 ChemBack이라는 모델 프리(model-free), 승인 인지형 백도어 공격을 제안합니다. 대리 모델(surrogate model)이나 그래디언트 접근 권한에 의존하는 기존 방식과 달리, ChemBack은 피해 모델, 훈련 코드 또는 학습된 임베딩에 대한 접근 없이 작동합니다.

공격 과정은 다음과 같습니다:

• 모티프-앵커 구축(Motif-Anchor Construction): 공격자는 화학적으로 의미 있는 모티프 라이브러리를 채굴하고, 이를 유효한 원자 앵커(사용 가능한 원자가를 가진 원자)에 부착하려고 시도합니다.
• ChemGuard 필터링: 각 부착 시도는 정제 과정을 거치고 그래프-문자열 일관성 검사를 받습니다. ChemGuard를 통과한 후보들만이 고려됩니다.
• 타겟 정렬(Target Alignment): 승인된 후보들 중에서, 트리거는 타겟 클래스의 깨끗한 분자들과의 타니모토 유사도(Morgan fingerprint 사용)를 기준으로 선택됩니다. 이는 오염된 분자들이 구조적으로 타겟 영역과 가깝게 만들어, 표준 진단 도구에서 이상치로 드러나지 않으면서도 타겟 레이블을 유도할 가능성을 높입니다.
• 오염(Poisoning): 선택된 트리거는 비-타겟 훈련 분자의 일부 $\alpha$에 적용되며, 이들은 타겟 클래스로 레이별됩니다.

주요 기여

1. 승인 격차(Admission Gap) 식별: 본 논문은 그래프 수준의 트리거 성공률이 정제 및 그래프-문자열 일관성 검사를 무시함으로써 운영 위험을 과대평가한다는 점을 입증합니다.
2. ChemGuard의 정식화: 저자들은 기록의 생존 가능성을 테스트하기 위해 최소한의 승인 프로토콜을 도입하여, 현실적인 백도어 평가를 위한 기준을 세웠습니다.
3. ChemBack 제안: 화학적으로 실행 가능한 모티프-앵커 부착을 구성하고 타니토 유사도를 통해 트리거를 선택하는 새로운 공격 방식으로, 피해 모델에 대한 접근이 필요 없습니다.
4. 실증적 검증: 화학적 제약을 준수하는 트리거가 그래프 전용 백도어보다 훨씬 효과적임을 보여줌으로써, 화학적 유효성과 타겟 정렬이 중요함을 입사합니다.

실험 결과
저자들은 네 가지 MoleculeNet 벤치마크(BBBP, BACE, SIDER, Tox21), 다양한 GNN 아키텍처(GCN, GIN, GraphSAGE 등), 그리고 다양한 방어 메커니즘에 대해 연구 결과를 평가했습니다.

• 그래프 전용 공격에 미치는 영향: ChemGuard가 강제될 때, 대표적인 그래프 전용 공격(GTA, Motif-Backdoor, UGBA, DPGBA)의 유효 오염율(EPR)은 크게 감소합니다(종종 한 자릿수 또는 낮은 두 자릿수). 결과적으로, 많은 시도된 트리거가 거부됨에 따라 이들의 운영 공격 성공률(ASR)도 실질적으로 감소합니다.
• ChemBack의 성능: ChemBack은 설계 단계부터 화학적으로 유효한 오염 데이터를 생성하기 때문에 모든 데이터셋에서 **100%**의 EPR을 유지합니다. 또한 깨끗한 정확도(CA)를 공격이 없는 베이스라인과 유사하게 유지하면서도 높은 ASR(예: BBBP에서 ~69%, SIDER에서 ~99%)을 달もの합니다.
• 강건성: ChemBack은 대규모 데이터셋(PCBA, MUV), 사전 학습-미세 조정 설정(GROVER 사용), 그리고 다양한 사후 방어 기법(Spectral Signatures, DShield, RIGBD 등)에 대해서도 효과를 유지합니다.
• 은닉성: 사후 진단 결과, ChemBack 오염 데이터는 학습된 표현 공간에서 극단적인 이상치가 아니며(타겟 클래스와의 마할라노비스 거리 낮음), 표준 화학적 기술자(logP, HBD, HBA 등) 측면에서도 깨끗한 타겟 클래스 분자들과 잘 일치합니다.

의의 및 주장
본 논문은 분자 백도어 보안에 관한 "양면적 교훈"을 주장합니다:

1. 화학적 인지형 승인은 많은 그래프 전용 백도어를 억제합니다. 분자를 임의의 그래프로 취급하는 평가는 실제 파이프라인에서 학습자에게 도달할 수 없는 무효한 오염 데이터를 포함함으로써 공격 성공률을 부풀립니다.
2. 화학적으로 유효하고 타겟에 정렬된 백도어는 여전히 실질적인 위협입니다. 화학적 제약을 준서하고 타겟 클래스와 구조적으로 정렬된 공격(ChemBack과 같은)은 승인 검사를 우회하여 모델을 성공적으로 침해할 수 있습니다.

저자들은 ChemGuard가 첫 번째 계층의 승인 검사이지, 완전한 방어책이나 강건성 인증이 아님을 강조합니다. 이는 다른 실질적인 필터(예: 합성 가능성, 의약 화학 규칙 또는 전문가 검토)를 다루지 않습니다. 그러나 결과는 향례 분자 GNN에 대한 보안 평가가 운영 위험을 정확히 평가하기 위해 반드시 승인 단계를 고려해야 하며, 방어는 승인 검사와 사후 탐지를 결합한 계층적 구조를 가져야 함을 시사합니다.