Resumo Técnico: Defesa Universal de Backdoor em Grafos: Uma Perspectiva de Homofilia Baseada em Recursos

1. Declaração do Problema

Redes Neurais em Grafos (GNNs) estão cada vez mais implantadas em domínios de alto risco, mas permanecem vulneráveis a Ataques de Backdoor em Grafos (GBAs). Os mecanismos de defesa existentes abordam principalmente ataques baseados em subgrafos, onde adversários injetam gatilhos estruturais maliciosos (subgrafos) na topologia do grafo. Esses métodos frequentemente dependem da suposição de que nós envenenados exibem irregularidades estruturais ou que a remoção de arestas associadas aos gatilhos induz uma variância significativa na previsão.

No entanto, recentes ataques baseados em recursos (por exemplo, SPEAR) apresentam um novo desafio ao injetar gatilhos diretamente nos atributos dos nós, preservando a topologia original do grafo. O artigo demonstra que defesas de última geração, como RIGBD, falham contra esses ataques baseados em recursos porque não alteram a estrutura do grafo, invalidando assim as suposições de detecção centradas na estrutura. Essa lacuna motiva o estudo da Defesa Universal de Backdoor em Grafos, visando criar um único framework eficaz contra GBAs baseados em subgrafos e baseados em recursos, sem conhecimento prévio do tipo de ataque.

2. Metodologia: CoGBD

Os autores propõem o CoGBD (Defesa de Backdoor em Grafos Guiada por Consistência), um framework de dois estágios fundamentado em uma nova perspectiva de homofilia baseada em recursos. Essa perspectiva caracteriza a consistência entre os recursos de um nó e os recursos agregados de sua vizinhança local.

Insight Teórico

O artigo estabelece teórica e empiricamente que GBAs eficazes, independentemente de manipularem estrutura ou recursos, induzem uma lacuna distribucional na homofilia baseada em recursos.

• Nós limpos exibem alta homofilia baseada em recursos (consistência entre os recursos do nó e os recursos da vizinhança).
• Nós envenenados (tanto nós gatilho quanto nós alvo) exibem homofilia baseada em recursos significativamente menor.
• Essa discrepância surge porque os ataques devem alinhar as representações dos nós com uma direção de classe alvo, o que frequentemente entra em conflito com a consistência semântica natural da vizinhança local.

Estágio 1: Detecção de Backdoor via Desvio de Consistência

O CoGBD emprega um Modelo de Reconstrução de Consistência (CRM) auto-supervisionado para identificar anomalias.

• Arquitetura: Um codificador GCN de duas camadas mapeia os nós para um espaço latente, seguido por dois decodificadores MLP leves.
• Reconstrução Tri-direcional: O modelo é treinado para minimizar uma perda composta ($L_{rec}$) consistindo de:
  1. Reconstrução em nível de nó ($L_{node}$): Reconstruir os atributos originais dos nós.
  2. Reconstrução em nível de vizinhança ($L_{neigh}$): Reconstruir os recursos agregados da vizinhança.
  3. Alinhamento cruzado ($L_{homo}$): Impor consistência entre os atributos do nó e suas representações de vizinhança (modelando a homofilia baseada em recursos).
• Detecção: Nós com altos erros de reconstrução são sinalizados como suspeitos. Os top $\rho\%$ de nós são particionados em nós gatilho suspeitos (não rotulados) e nós alvo suspeitos (rotulados). As arestas incidentes aos nós gatilho suspeitos são podadas.

Estágio 2: Treinamento Robusto Consciente de Ruído

Para eliminar os efeitos do gatilho enquanto mitiga o ruído proveniente de uma detecção imperfeita, os autores introduzem uma estratégia de treinamento robusto consciente de ruído.

• Reponderação Suave: Em vez de particionar rigidamente os nós em conjuntos limpos ou envenenados, o método atribui pesos adaptativos com base nos erros de reconstrução.
• Pontuação de Suspeita: Uma função sigmoide converte os erros de reconstrução em uma pontuação de suspeita ($s_i$).
• Função Objetivo: A perda de treinamento ($L_{noise}$) reduz o peso da supervisão de nós limpos ($w^L_i = (1-s_i)^a$) e suprime a confiança de nós alvo suspeitos em relação à classe alvo ($w^S_i = s_i^b$). Isso permite que o modelo contrabalance as influências do gatilho sem penalizar agressivamente nós limpos potencialmente mal identificados.

3. Contribuições Principais

1. Formulação do Problema: O artigo identifica e aborda a limitação das defesas existentes contra GBAs baseados em recursos, definindo o problema da defesa universal de backdoor em grafos.
2. Perspectiva Unificada: Unifica os efeitos de ataques baseados em subgrafos e baseados em recursos através da lente da homofilia baseada em recursos, provando que ambos os tipos de ataque reduzem a consistência local de recursos entre nós envenenados e suas vizinhanças.
3. Proposta de Framework (CoGBD): Introduz o primeiro framework de defesa universal capaz de defender contra ambos os paradigmas de ataque. O CoGBD combina um estágio de detecção orientado por reconstrução com um estágio de treinamento robusto consciente de ruído.
4. Validação Empírica: Extensos experimentos demonstram que o CoGBD reduz significativamente a Taxa de Sucesso do Ataque (ASR) para quase zero em diversos conjuntos de dados e tipos de ataque, mantendo uma precisão limpa competitiva.

4. Resultados Experimentais

O framework foi avaliado em quatro conjuntos de dados (Cora, Pubmed, Flickr, OGB-arxiv) contra quatro ataques de última geração:

• Baseados em subgrafos: GTA, UGBA, DPGBA.
• Baseados em recursos: SPEAR.

Principais Descobertas:

• Desempenho de Defesa: O CoGBD atinge consistentemente uma ASR próxima de zero (frequentemente 0,00%) em todos os conjuntos de dados e tipos de ataque. Em contraste, o RIGBD, embora eficaz contra ataques baseados em subgrafos, falha contra o SPEAR (por exemplo, ASR > 60% na maioria dos conjuntos de dados).
• Precisão Limpa: O CoGBD mantém uma precisão limpa comparável e, em alguns casos, ligeiramente superior, às GCNs padrão. Isso é atribuído à estratégia de treinamento consciente de ruído, que previne a degradação dos sinais limpos.
• Capacidade de Detecção: O método alcança alta recall (>80%) tanto para nós alvo envenenados quanto para nós gatilho. Notavelmente, detecta efetivamente os nós alvo furtivos em ataques baseados em recursos, onde métodos estruturais falham.
• Estudos de Ablação: A remoção de qualquer um dos três sinais de reconstrução ($L_{node}$, $L_{neigh}$, $L_{homo}$) compromete a universalidade da defesa, confirmando a necessidade de modelar conjuntamente a consistência em nível de nó, vizinhança e cruzada.

5. Significado e Alegações

O artigo afirma que o CoGBD representa um avanço significativo ao desacoplar os mecanismos de defesa de designs específicos de gatilho. Ao focar na lacuna de consistência de recursos intrínseca induzida por backdoors, o método fornece uma solução robusta e agnóstica ao ataque. Os autores enfatizam que sua abordagem é a primeira a conectar efetivamente a lacuna entre a defesa contra manipulações estruturais e perturbações baseadas em atributos, garantindo a implantação segura de GNNs em cenários de alto risco onde ambos os vetores de ataque são possíveis. O trabalho destaca que a robustez pode ser alcançada explorando a discrepância fundamental na homofilia local de recursos, em vez de depender de anomalias estruturais explícitas.