BadImplant: Injection-based Multi-Targeted Graph Backdoor Attack

Titel: BadImplant: Injectie-gebaseerde Multi-Doelgerichte Graph Backdoor Attack

1. Probleemstelling

Graph Neural Networks (GNN's) worden steeds vaker ingezet voor kritieke toepassingen zoals drugontwikkeling, fraudedetectie en aanbevelingssystemen. Ondanks hun succes zijn ze kwetsbaar voor backdoor-aanvallen. Bestaand onderzoek op backdoor-aanvallen voor graf-classificatie is echter beperkt tot single-target scenario's. Hierbij vervangt de aanvaller een klein deel van de originele graf (subgraph replacement) door een trigger, waardoor het model alle grafen met die trigger naar één specifieke doelklasse classificeert.

De uitdagingen die dit artikel adresseert zijn:

• Multi-target beperking: Bestaande methoden kunnen niet meerdere triggers tegelijkertijd in één model integreren zonder dat deze elkaar verstoren.
• Structuurverlies: De gebruikelijke "subgraph replacement" methode vervangt bestaande knopen/structuren, wat de oorspronkelijke grafstructuur vervormt en de nauwkeurigheid op schone data (clean accuracy) aanzienlijk kan verlagen.
• Interferentie: Het inbrengen van meerdere triggers in een enkel model leidt vaak tot interferentie, waardoor de aanval faalt of de prestaties van het model instorten.

2. Methodologie: BadImplant

Het artikel introduceert BadImplant, het eerste framework voor een multi-target backdoor-aanval op graf-classificatie. In plaats van vervanging, gebruikt BadImplant een subgraph injectie-strategie.

• Kernmechanisme (Injectie vs. Vervanging):

  • De aanvaller genereert $m$ verschillende trigger-subgrafen ($T_1, ..., T_m$), elk gekoppeld aan een unieke doelklasse.
  • Deze triggers worden geïncorporeerd (geïnjecteerd) in de bestaande schone grafen zonder de originele structuur van de host-graf te verwijderen of te vervormen.
  • De trigger wordt verbonden met de host-graf via een aantal randen ($k$).
  • De label van de geïnfecteerde graf wordt gewijzigd naar de bijbehorende doelklasse.

• Aanvalsproces:

  1. Selectie: Een klein deel van de trainingdata (bepaald door de "poisoning ratio") wordt geselecteerd. Voor elke doelklasse worden grafen van andere klassen gekozen om de specifieke trigger in te injecteren.
  2. Generatie: Triggers worden gegenereerd met de Erdos-Renyi methode, waarbij de grootte ($n_{trigger}$) en de randdichtheid ($\rho_{trigger}$) worden aangepast aan het datasettype (met of zonder knoop-features).
  3. Injectie: De trigger wordt willekeurig (random node injection) in de host-graf geplaatst en verbonden.
  4. Training: Het GNN-model wordt getraind op de gecombineerde dataset (schone + vergiftigde data) met als doel de loss te minimaliseren. Het model leert zo dat de aanwezigheid van een specifieke trigger leidt tot de bijbehorende doelklasse, terwijl het zijn prestaties op schone data behoudt.

• Threat Model: De aanvaller heeft toegang tot een klein deel van de trainingdata, maar geen kennis van de modelarchitectuur, parameters of hyperparameters (witte/zwarte doos scenario).

3. Belangrijkste Bijdragen

• Eerste Multi-Target Aanval: BadImplant is het eerste werk dat multi-target backdoor-aanvallen mogelijk maakt voor graf-classificatie, waarbij één model kan worden gemanipuleerd om naar meerdere verschillende doelklassen te classificeren afhankelijk van de gebruikte trigger.
• Injectie-strategie: De introductie van een subgraph-injectie-mechanisme dat de oorspronkelijke grafstructuur behoudt, in tegenstelling tot de schadelijke vervangingsmethodes van eerdere studies.
• Robuustheid en Generalisatie: De aanval werkt effectief op vier verschillende GNN-architecturen (GCN, GAT, GraphSAGE, GIN) en is onafhankelijk van de modelparameters.
• Resistentie tegen Defensies: De aanval is getest tegen geavanceerde defensiemethoden (Randomized Smoothing en Fine Pruning) en behoudt een hoge aanvalsuccesgraad (ASR).

4. Experimentele Resultaten

De auteurs hebben BadImplant getest op vijf datasets (CIFAR-10, MNIST, Enzymes, Reddit-Multi-12k, Reddit-Multi-5k) en vergeleken met de state-of-the-art vervangingsmethode.

• Aanvalsuccesgraad (ASR) vs. Schone Nauwkeurigheid (CA):

  • BadImplant: Bereikt een ASR van >99% voor alle doelklassen op bijna alle datasets, met een verwaarloosbare daling in schone nauwkeurigheid (CAD < 1-3%).
  • Vervangingsmethode (Conventioneel): Faalt bij multi-target scenario's. Bijvoorbeeld op MNIST bereikte de vervangingsmethode slechts 2,5% - 78% ASR en liet de schone nauwkeurigheid instorten tot 18% (van 90%).
  • Conclusie: BadImplant slaagt erin meerdere triggers te laten coëxisteren zonder interferentie, terwijl de vervangingsmethode de structuur van de grafen te veel beschadigt.

• Parameteranalyse:

  • Injectiemethode: Willekeurige injectie (random injection) bleek superieur aan deterministische methoden (zoals op basis van knoopgraad), omdat het interferentie met de host-graf eigenschappen minimaliseert.
  • Aantal Doelen: De aanval schaalt goed; zelfs bij 10 doelklassen (maximaal in CIFAR-10) blijft de ASR boven de 99%.
  • Trigger Eigenschappen: Er is een omgekeerd evenredig verband gevonden tussen trigger-grootte en randdichtheid voor datasets zonder knoop-features (topologie-gebaseerd).

• Defensie-evaluatie:

  • Randomized Smoothing: Zelfs bij hoge ruisniveaus die de schone nauwkeurigheid drastisch verlagen, blijft de ASR van BadImplant hoog (vaak >80-90%).
  • Fine Pruning: Het verwijderen van zenuwen met lage activiteit vermindert de schone nauwkeurigheid, maar heeft weinig effect op de ASR van de backdoor-aanval.

5. Significantie

Dit onderzoek onthult een ernstig veiligheidsrisico voor GNN's in graf-classificatie. Het toont aan dat:

1. Bestaande verdedigingen en verdedigingsmechanismen (zoals vervanging van subgrafen) onvoldoende zijn voor multi-target scenario's.
2. De injectie-strategie een veel effectievere en minder detecteerbare methode is dan vervanging, omdat de oorspronkelijke grafstructuur intact blijft.
3. Multi-target backdoor-aanvallen haalbaar en schaalbaar zijn, wat betekent dat een enkele vergiftigd model kan worden gebruikt om diverse ongewenste classificaties te forceren, afhankelijk van de trigger.

Dit werk benadrukt de noodzaak van nieuwe, robuustere verdedigingsmechanismen die specifiek gericht zijn op het detecteren van geïncorporeerde triggers in grafen zonder de structuur te beschadigen, en waarschuwt voor de kwetsbaarheid van GNN's in kritieke toepassingen.