Resumo Técnico: Purificação Adversarial Auto-supervisionada para Redes Neurais em Grafos

Declaração do Problema

Redes Neurais em Grafos (GNNs) são altamente vulneráveis a ataques adversariais, particularmente perturbações estruturais como inserções e deleções de arestas. A defesa contra esses ataques geralmente exige equilibrar dois objetivos conflitantes: precisão (desempenho em dados limpos) e robustez (resiliência a ataques). Métodos tradicionais de treinamento adversarial tentam otimizar ambos os objetivos simultaneamente dentro de um único framework de classificador. No entanto, essa abordagem intrinsecamente entrelaça esses objetivos, frequentemente forçando um compromisso onde o aumento da robustez degrada significativamente a precisão em dados limpos. Além disso, métodos existentes de purificação adversarial frequentemente dependem de heurísticas pré-definidas (por exemplo, similaridade de Jaccard, aproximação de baixo posto) ou mecanismos simples de detecção de arestas que carecem de adaptabilidade e falham em capturar diferenças estruturais intrincadas entre grafos limpos e adversariais.

Metodologia

Os autores propõem um framework de Purificação Adversarial Auto-supervisionada que desacopla os objetivos de precisão e robustez em dois módulos distintos: um classificador GNN padrão e um purificador dedicado.

1. Arquitetura do Framework

• Desacoplamento: O classificador ($f_\psi$) foca exclusivamente em aprender representações precisas a partir de grafos limpos, enquanto o purificador ($f_\theta$) é treinado independentemente para reconstruir a estrutura do grafo limpo a partir de entradas perturbadas. Essa separação previne a interferência entre os objetivos de precisão e robustez.
• Treinamento Auto-supervisionado: O purificador é treinado usando uma estratégia auto-supervisionada. Ele recebe um grafo perturbado $G'$ (amostrado de um espaço de perturbação limitado $B(G, \epsilon)$) e tenta reconstruir a matriz de adjacência original $A$. O objetivo de treinamento minimiza o erro de reconstrução sem depender de rótulos de nós, permitindo que o purificador aprenda direções gerais de purificação em uma ampla gama de perturbações.

2. O Modelo GPR-GAE

A contribuição central é o GPR-GAE, um Novo Autoencoder em Grafos (GAE) projetado especificamente para purificação. Ele aborda limitações dos GAEs tradicionais, como "suavização adversarial" (onde perturbações borram distinções entre nós) e dificuldades em capturar informações estruturais de ordem superior.

• Filtros GPR Múltiplos: Em vez de empilhar camadas GNN estáticas, o GPR-GAE emprega $K+1$ filtros Generalized PageRank (GPR) distintos. Cada filtro utiliza coeficientes aprendíveis $\gamma$ para ponderar dinamicamente contribuições de diferentes faixas de vizinhança (até $K$-saltos).
• Representações Diversas: Ao aproveitar múltiplos filtros GPR com escalas e coeficientes variados, o modelo captura aspectos estruturais diversos. Alguns filtros podem suprimir vizinhanças específicas (por exemplo, 1-salto) enquanto enfatizam outras (por exemplo, 2-saltos), permitindo que o modelo distinga efetivamente entre regiões limpas e adversariais sem sofrer de super-suavização.
• Arquitetura:
  • Codificação de Nós: Concatena saídas de todos os filtros GPR para formar embeddings de nós multi-escala.
  • Codificação e Decodificação de Arestas: Computa embeddings de arestas a partir de representações de nós concatenadas e prevê probabilidades de links usando uma perda simétrica para garantir consistência.

3. Processo de Purificação Multi-etapa

Durante a inferência, a purificação não é um processo de etapa única, mas um refinamento iterativo e convergente.

• Começando com um grafo perturbado $G^{(0)}$, o modelo prevê uma matriz de adjacência "mais limpa" $\hat{A}^{(t)}$.
• O grafo é atualizado iterativamente: $G^{(t+1)} = G^{(t)} + \alpha \cdot (\hat{A}^{(t)} - G^{(t)})$, onde $\alpha$ é um tamanho de passo.
• Garantia Teórica: Os autores provam que, sob a suposição de que o purificador se comporta como uma função localmente Lipschitz contínua (com constante $L < 1$), esse processo iterativo converge linearmente para um ponto estacionário estável. Essa convergência é garantida independentemente do tamanho do passo, desde que o modelo seja treinado de forma auto-supervisionada.

Contribuições Principais

1. Framework Desacoplado: O artigo propõe um framework que separa explicitamente precisão e robustez, atribuindo-os a módulos especializados (classificador e purificador) para mitigar o compromisso inerente encontrado no treinamento adversarial.
2. Arquitetura GPR-GAE: Introdução de um purificador especializado usando múltiplos filtros GPR para capturar representações estruturais multi-escala, distinguindo efetivamente regiões de grafos limpos de adversariais enquanto evita os problemas de super-suavização dos GAEs tradicionais.
3. Purificação Multi-etapa Convergente: Um processo de refinamento multi-etapa teórico e prático que recupera iterativamente estruturas de grafos. Os autores fornecem uma prova de convergência baseada na continuidade Lipschitz do purificador auto-supervisionado.
4. Defesa Plug-and-Play: O método atua como um módulo independente compatível com vários classificadores GNN (por exemplo, GCN, GAT, GPRGNN, APPNP), não exigindo re-treinamento do próprio classificador.

Resultados Experimentais

Os autores avaliaram o GPR-GAE em diversos conjuntos de dados (Cora, Citeseer, Pubmed, Chameleon, OGB-arXiv) e cenários de ataque (PRBCD, LRBCD).

• Robustez: O GPR-GAE alcançou robustez state-of-the-art contra ataques adaptativos. Por exemplo, no conjunto de dados Cora sob perturbações severas ($\epsilon = 0.5$), o GPR-GAE acoplado a um classificador GPRGNN melhorou a precisão de teste em 15,7 pontos percentuais em comparação com a melhor linha de base treinada adversarialmente.
• Preservação de Precisão: Diferentemente do treinamento adversarial, que frequentemente sacrifica precisão em dados limpos por robustez, o GPR-GAE manteve a precisão em dados limpos próxima à do classificador vanilla, demonstrando uma mitigação bem-sucedida do compromisso precisão-robustez.
• Escalabilidade: O método escalou eficientemente para grandes conjuntos de dados como OGB-arXiv usando processamento em mini-lotes, enquanto outros métodos (por exemplo, GOOD-AT, SVD-GCN) enfrentaram restrições de memória ou falharam em escalar.
• Ataques Não Adaptativos: Em configurações de ataque por transferência, o GPR-GAE superou consistentemente métodos de purificação baseados em heurísticas (Jaccard-GCN, SVD-GCN) e arquiteturas GNN robustas (EvenNet, SoftMedianGDC).
• Validação Empírica: Experimentos confirmaram que a constante Lipschitz do purificador treinado é estritamente menor que 1, apoiando as alegações teóricas de convergência. A visualização dos coeficientes aprendidos mostrou que o GPR-GAE aprende padrões de filtro diversos e orientados por dados, independentemente da homofilia do grafo.

Significado e Alegações

O artigo alega que o GPR-GAE representa um avanço significativo na defesa de GNNs ao redesenhar fundamentalmente o mecanismo de defesa. Ao se afastar do paradigma de treinamento adversarial "tudo-em-um" para uma abordagem de purificação auto-supervisionada, o método:

• Quebra o Compromisso: Desacopla com sucesso precisão e robustez, permitindo que o classificador permaneça preciso em dados limpos enquanto o purificador lida com a robustez.
• Generaliza: Atua como um módulo de defesa versátil e plug-and-play que aumenta a robustez de várias arquiteturas GNN existentes sem exigir alterações arquiteturais nos classificadores.
• Adapta-se: Através de seu treinamento orientado por dados e auto-supervisionado e filtros GPR multi-escala, adapta-se a diversas estruturas de grafos e padrões complexos de perturbação mais efetivamente do que métodos heurísticos ou estáticos.

Os autores concluem que este framework oferece uma solução robusta, escalável e teoricamente fundamentada para proteger Redes Neurais em Grafos contra ataques adversariais estruturais.