BadImplant: Injection-based Multi-Targeted Graph Backdoor Attack

1. O Problema

As Redes Neurais em Grafos (GNNs) tornaram-se fundamentais para tarefas como classificação de grafos em diversas áreas (descoberta de fármacos, detecção de fraudes, redes sociais). No entanto, elas são vulneráveis a ataques de backdoor.

A literatura existente sobre backdoors em classificação de grafos foca quase exclusivamente em ataques de alvo único, onde o atacante insere um único "gatilho" (trigger) que força o modelo a classificar qualquer gráfico contendo esse gatilho para uma única classe alvo.

• Limitação dos métodos atuais: Os métodos state-of-the-art utilizam uma estratégia de substituição de subgrafos (subgraph replacement). Isso envolve remover partes do gráfico original e substituí-las pelo gatilho.
• O Desafio: Tentar realizar um ataque multi-alvo (vários gatilhos diferentes apontando para várias classes alvo diferentes) usando substituição falha. A substituição múltipla distorce a estrutura original do gráfico, degradando severamente a precisão em dados limpos (clean accuracy) e causando interferência entre os gatilhos, impedindo que o modelo aprenda múltiplas portas traseiras simultaneamente.

2. Metodologia: BadImplant

O artigo propõe o BadImplant, o primeiro framework de ataque de backdoor multi-alvo para classificação de grafos. A inovação central é a mudança da estratégia de "substituição" para injeção de subgrafos.

Mecanismo de Ataque

1. Geração de Gatilhos: O atacante gera $m$ subgrafos gatilho distintos (usando o método de Erdos-Renyi), cada um associado a uma classe alvo única ($\tau_j$).
2. Estratégia de Injeção (vs. Substituição):
   • Em vez de apagar nós ou arestas do gráfico original, o BadImplant insere o subgrafo gatilho no gráfico limpo.
   • O gatilho é conectado ao gráfico hospedeiro através de um número específico de arestas ($k$).
   • A estrutura original do gráfico é preservada, minimizando a perturbação nas características do gráfico limpo.
3. Seleção de Dados: Para cada classe alvo, uma fração dos gráficos das outras classes (excluindo a própria classe alvo) é selecionada para receber a injeção do gatilho correspondente.
4. Treinamento: O modelo é treinado no conjunto de dados envenenado (limpo + injetado). O objetivo é que o modelo aprenda a mapear o gatilho $T_j$ para a classe $\tau_j$, mantendo a precisão nos gráficos sem gatilhos.

Parâmetros de Design

O ataque é configurável através de:

• Tamanho do gatilho ($n_{trigger}$).
• Densidade de arestas do gatilho ($\rho_{trigger}$).
• Número de conexões entre o gatilho e o gráfico hospedeiro ($k$).
• Razão de envenenamento (porcentagem de dados contaminados).
• Método de injeção (o artigo demonstra que a injeção aleatória em nós é superior a métodos determinísticos como grau máximo ou similaridade).

3. Contribuições Principais

• Primeiro Ataque Multi-Alvo: Introduz a capacidade de implantar múltiplos gatilhos simultaneamente em um único modelo de GNN, onde cada gatilho redireciona a previsão para uma classe diferente.
• Mecanismo de Injeção: Propõe uma abordagem de injeção de subgrafos que preserva a estrutura original do gráfico, superando as limitações de distorção estrutural dos métodos de substituição.
• Generalização: Demonstra que o ataque funciona independentemente da arquitetura do GNN (GCN, GAT, GraphSAGE, GIN) e dos parâmetros de treinamento.
• Robustez: Avalia o ataque contra defesas certificadas de ponta, mostrando alta resiliência.

4. Resultados Experimentais

Os autores testaram o BadImplant em cinco conjuntos de dados reais (CIFAR-10, MNIST, Enzymes, Reddit-Multi-12k, Reddit-Multi-5k) e quatro arquiteturas de modelos.

• Comparação com Substituição:
  • O método de substituição falhou em suportar múltiplos alvos em datasets como MNIST e Enzymes, resultando em baixas taxas de sucesso (ASR) e quedas drásticas na precisão limpa (ex: queda de 90% para 18% em MNIST).
  • O BadImplant alcançou taxas de sucesso (ASR) superiores a 99% para todos os alvos em todos os datasets, com uma queda mínima na precisão limpa (CAD), geralmente abaixo de 1-3%.
• Escalabilidade: O ataque manteve alta eficácia mesmo quando o número de alvos foi aumentado de 3 para 10 (o total de classes no CIFAR-10), provando que os gatilhos coexistem sem interferência significativa.
• Análise de Parâmetros:
  • Para datasets com características de nós (ex: CIFAR-10), o ataque é robusto a variações de tamanho e densidade.
  • Para datasets puramente topológicos (ex: Reddit), a densidade de arestas e o tamanho do gatilho precisam ser ajustados (uma relação inversa: gatilhos maiores exigem menor densidade).
• Resiliência a Defesas:
  • Alisamento Aleatório (Randomized Smoothing): O ataque manteve ASR alta (>80-90%) mesmo quando o ruído gaussiano degradou a precisão limpa do modelo pela metade.
  • Poda Fina (Fine Pruning): O ataque resistiu à poda de neurônios com baixa ativação, mantendo o ASR alto enquanto a precisão limpa caía drasticamente.

5. Significado e Conclusão

O trabalho BadImplant expõe uma vulnerabilidade crítica e anteriormente inexplorada nas GNNs: a capacidade de serem envenenadas com múltiplas portas traseiras simultâneas sem comprometer sua funcionalidade principal.

• Impacto na Segurança: Mostra que as defesas atuais (como substituição de gatilhos ou técnicas de detecção baseadas em estrutura) podem ser insuficientes contra ataques de injeção multi-alvo.
• Implicações: A eficácia do ataque em diferentes arquiteturas e sua robustez contra defesas certificadas indicam que a segurança de GNNs em aplicações críticas (como diagnóstico médico ou detecção de fraudes) precisa ser reavaliada, considerando não apenas ataques de alvo único, mas cenários de múltiplos alvos coordenados.

Em suma, o BadImplant estabelece um novo padrão para ataques de backdoor em grafos, demonstrando que a injeção de subgrafos é uma estratégia superior à substituição para ataques complexos e multi-alvo.