Rethinking Molecular Graph Backdoors under Chemistry-aware Admission

Technische Samenvatting: Het heroverwegen van moleculaire graaf-backdoors onder chemie-bewuste toelating

Probleemstelling
Bestaand onderzoek naar backdoor-aanvallen op Moleculaire Graph Neural Networks (GNN's) evalueert de insertie van triggers doorgaans als abstracte graaf-bewerkingen. Deze evaluaties gaan ervan uit dat zodra een triggerpatroon aan een graaf is toegevoegd, de resulterende "vergiftigde" molecuul onmiddellijk beschikbaar is voor training of inferentie. Echter, deze aanname negeert de rigoureuze preprocessing-pipelines die inherent zijn aan realistische cheminformatica-workflows. Voordat een moleculair record een leerpipeline betreedt, moet het ondergaan aan parsing, sanitization, canonicalisatie en graph-string consistentiecontroles om chemische validiteit (bijv. correcte valentie, aromaticiteit en bindingstypes) te waarborgen.

Het artikel stelt dat het negeren van deze "toelatingsfase" leidt tot een significante overschatting van het succes van aanvallen. Veel abstracte graaf-triggers genereren moleculen die falen bij chemische sanitization of resulteren in inconsistenties tussen de moleculaire string en de ingediende graaf. Bijgevolg worden deze vergiftigingen afgewezen voordat ze het model kunnen beïnvloeden, wat abstracte graafniveau-evaluaties van de operationele risico's misleidend maakt.

Methodologie

1. ChemGuard: Een Toelatingsprotocol
De auteurs formaliseren de over het hoofd geziene toelatingsfase als ChemGuard, een operationeel protocol dat test of een ingediend moleculair record een realistische leerpipeline kan betreden. Een record $(\tilde{s}, \tilde{G}, y)$, bestaande uit een moleculaire string $\tilde{s}$, een ingediende graaf $\tilde{G}$ en een label $y$, wordt toegelaten indien en slechts indien:

1. De moleculaire string sanitizable is door een chemische toolkit (bijv. RDKit), waarbij een geldige graaf $\phi_T(\tilde{s}) \neq \emptyset$ wordt geretourneerd.
2. De topologie van de graaf die uit de string is gereconstrueerd overeenkomt met de ingediende graaf $\tilde{G}$ (d.w.z. $Topo(\phi_T(\tilde{s})) = Topo(\tilde{G})$).

ChemGuard is geen volledige verdediging, maar een minimaal protocol op pipeline-niveau dat bestaande post-hoc verdedigingen aanvult. Het herdefinieert de Effective Poisoning Rate (EPR) als het fractie van de geprobeerde vergiftigingen die deze toelatingscheck overleven.

2. ChemBack: Een Toelatingsbewuste Aanval
Om aan te tonen dat effectieve backdoors nog steeds kunnen bestaan onder deze beperkingen, stellen de auteurs ChemBack voor, een model-vrije, toelatingsbewuste backdoor-aanval. In tegen tegenstelling tot eerdere methoden die vertrouwen op surrogaatmodellen of gradiënttoegang, opereert ChemBack zonder toegang tot het slachtoffermodel, de trainingscode of geleerde embeddings.

De aanval verloopt als volgt:

• Motief-Anker Constructie: De aanvaller mijnt een bibliotheek van chemisch betekenisvolle motieven en probeert deze aan "host"-moleculen te bevestigen op geldige atomaire ankers (atomen met beschikbare valentie).
• ChemGuard Filtering: Elke bevestigingspoging wordt gesanitiseerd en gecontroleerd op graph-string consistentie. Alleen kandidaten die ChemGuard passeren, worden overwogen.
• Target Alignment: Onder de toegelaten kandidaten worden triggers geselecteerd op basis van Tanimoto-gelijkenis (met behulp van Morgan fingerprints) met schone moleculen van de doelklasse. Dit zorgt ervoor dat de vergiftigde moleculen structureel dicht bij de doelregio liggen, wat de kans vergroot om het doel-label te induceren terwijl ze minder opvallend blijven onder standaard diagnostiek.
• Vergiftiging: De geselecteerde trigger wordt toegepast op een fractie $\alpha$ van de niet-doel training-moleculen, die vervolgens worden gelabeld met de doelklasse.

Belangrijkste Bijdragen

1. Identificatie van een Toelatingsgat: Het artikel demonstreert dat de succesratio van graaf-gebaseerde triggers vaak het operationele risico overschat omdat het sanitization en graph-string consistentiecontroles negeert.
2. Formalisering van ChemGuard: De auteurs introduceren een minimaal toelatingsprotocol om de levensvatbaarheid van records te testen vóór training of inferentie, waarmee een baseline wordt gevestigd voor realistische backdoor-evaluatie.
3. Voorstel van ChemBack: Een nieuwe aanval die chemisch haalbare motief-anker hechtingen construeert en triggers selecteert via Tanimoto-gelijkenis met de doelklasse, zonder dat toegang tot het slachtoffermodel vereist is.
4. Empirische Validatie: De studie toont aan dat hoewel chemie-bewuste toelating veel graaf-enige backdoors onderdrukt, chemisch geldige en doel-gealigneerde backdoors (zoals ChemBack) zeer effectief blijven.

Experimentele Resultaten
De auteurs hebben hun bevindingen geëvalueerd over vier MoleculeNet benchmarks (BBBP, BACE, SIDER, Tox21), diverse GNN-architecturen (GCN, GIN, GraphSAGE, etc.) en verschillende verdedigingsmechanismen.

• Impact op Graaf-enige Aanvallen: Wanneer ChemGuard wordt afgedwongen, daalt de Effective Poisoning Rate (EPR) van representatieve graaf-enige aanvallen (GTA, Motif-Backdoor, UGBA, DPGBA) aanzienlijk (vaak naar enkel cijfers of lage dubbele cijfers). Bijgevolgt neemt hun operationele Attack Success Rate (ASR) substantieel af, aangezien veel pogingen tot triggers worden afgewezen.
• Prestaties van ChemBack: ChemBack behoudt een EPR van 100% over alle datasets omdat het vergiftigingen construeert die per ontwerp chemisch geldig zijn. Het bereikt een hoge ASR (bijv. ~69% op BBBP, ~99% op SIDER) terwijl de Clean Accuracy (CA) vergelijkbaar blijft met de no-attack baseline.
• Robuustheid: ChemBack blijft effectief onder grootschaligere datasets (PCBA, MUV), pretrain-finetune settings (gebruikmakend van GROVER), en tegen diverse post-hoc verdedigingen (Spectral Signatures, DShield, RIGBD, etc.).
• Stealth: Post-hoc diagnostiek geeft aan dat ChemBack-vergiftigingen geen extreme uitschieters zijn in geleerde representatieruimtes (lage Mahalanobis-afstand tot de doelklasse) en goed overeenkomen met schone doelklasse-moleculen wat betreft standaard chemische descriptoren (logP, HBD, HBA, etc.).

Betekenis en Claims
Het artikel claimt een "tweezijdige les" met betrekking tot moleculaire backdoor-beveiliging:

1. Chemie-bewuste toelating onderdrukt veel graaf-enige backdoors. Evaluaties die moleculen behandelen als willekeurige grafen, blazen het succes van aanvallen op door ongeldige vergiftigingen mee te tellen die nooit een leerder in een echte pipeline zouden bereiken.
2. Chemisch geldige en doel-gealigneerde backdoors blijven een praktische dreiging. Aanvallen die chemische restricties respecteren en structureel overeenkomen met de doelklasse (zoals ChemBack), kunnen toelatingscontroles omzeilen en modellen succesvol compromitteren.

De auteurs benadrukken dat ChemGuard een eerste-laag toelatingscheck is, geen volledige verdediging of een robuustheidscertificaat. Het dekt geen alle praktische filters (bijv. synthetische toegankelijkheid, medicinale chemie regels of deskundige beoordeling). De resultaten suggereren echter dat toekomstige beveiligingsevaluaties voor moleculaire GNN's rekening moeten houden met de toelatingsfase om het operationele risico accuraat in te schatten, en dat verdedigingen gelaagd moeten zijn, waarbij toelatingscontroles worden gecombineerd met post-hoc detectie.