Rethinking Molecular Graph Backdoors under Chemistry-aware Admission

Resumo Técnico: Repensando Backdoors de Grafos Moleculares sob Admissão Consciente da Química

Definição do Problema
Pesquisas existentes sobre ataques de backdoor contra Redes Neurais de Grafos (GNNs) moleculares tipicamente avaliam a inserção de gatilhos como edições de grafos abstratos. Essas avaliações assumem que, uma vez que um padrão de gatilho é adicionado a um grafo, o "molécula envenenada" resultante está imediatamente disponível para treinamento ou inferência. No entanto, essa suposição ignora os rigorosos pipelines de pré-processamento inerentes aos fluxos de trabalho reais de quimioinformática. Antes que um registro molecular entre em um pipeline de aprendizado, ele deve passar por parsing, sanitização, canonicalização e verificações de consistência entre a string molecular e o grafo para garantir a validade química (ex: valência correta, aromaticidade e tipos de ligação).

O artigo argumenta que ignorar este "estágio de admissão" leva a uma superestimação significativa do sucesso do ataque. Muitos gatilhos de grafos abstratos geram moléculas que falham na sanitização química ou resultam em inconsistências entre a string molecular e o grafo submetido. Consequentemente, esses venenos são rejeitados antes de poderem influenciar o modelo, tornando as avaliações de ataque em nível de grafo abstrato enganosas em relação ao risco operacional.

Metodologia

1. ChemGuard: Um Protocolo de Admissão
Os autores formalizam o estágio de admissão negligenciado como ChemGuard, um protocolo operacional que testa se um registro molecular submetido pode entrar em um pipeline de aprendizado realista. Um registro $(\tilde{s}, \tilde{G}, y)$, consistindo de uma string molecular $\tilde{s}$, um grafo submetido $\tilde{G}$ e um rótulo $y$, é admitido se, e somente se:

1. A string molecular for sanitizável por um toolkit de química (ex: RDKit), retornando um grafo válido $\phi_T(\tilde{s}) \neq \emptyset$.
2. A topologia do grafo reconstruído a partir da string coincide com o grafo submetido $\tilde{G}$ (ou seja, $Topo(\phi_T(\tilde{s})) = Topo(\tilde{G})$).

O ChemGuard não é uma defesa completa, mas um check de nível de pipeline mínimo que complementa as defesas pós-hoc existentes. Ele redefine a Taxa de Envenenamento Efetiva (EPR) como a fração de venenos tentados que sobrevivem a este check de admissão.

2. ChemBack: Um Ataque Consciente da Admissão
Para demonstrar que backdoors eficazes ainda podem existir sob estas restrições, os autores propõem o ChemBack, um ataque de backdoor model-free e consciente da admissão. Diferente de métodos anteriores que dependem de modelos substitutos ou acesso ao gradiente, o ChemBack opera sem acesso ao modelo vítima, código de treinamento ou embeddings aprendidos.

O ataque procede da seguinte forma:

• Construção de Motivo-Âncora: O atacante minera uma biblioteca de motivos quimicamente significativos e tenta anexá-los a moléculas "hospedeiras" em âncoras atômicas válidas (átomos com valência disponível).
• Filtragem ChemGuard: Cada tentativa de anexo é sanitizada e verificada quanto à consistência grafo-string. Apenas candidatos que passam pelo ChemGuard são considerados.
• Alinhamento de Alvo: Entre os candidatos admitidos, os gatilhos são selecionados com base na similaridade de Tanimoto (usando fingerprints de Morgan) com moléculas limpas da classe alvo. Isso garante que as moléculas envenenadas sejam estruturalmente próximas da região alvo, aumentando a probabilidade de induzir o rótulo alvo enquanto permanecem menos discrepantes sob diagnósticos padrão.
• Envenenamento: O gatilho selecionado é aplicado a uma fração $\alpha$ de moléculas de treinamento que não são do alvo, as quais são então rotuladas com a classe alvo.

Principais Contribuições

1. Identificação de uma Lacuna de Admissão: O artigo demonstra que o sucesso de gatilhos em nível de grafo frequentemente superestima o risco operacional porque ignora a sanitização e as verificações de consistência grafo-string.
2. Formalização do ChemGuard: Os autores introduzem um protocolo de admissão mínimo para testar a viabilidade do registro antes do treinamento ou inferência, estabelecendo uma linha de base para uma avaliação de backdoor realista.
3. Proposta do ChemBack: Um ataque inovador que constrói anexos motivo-âncora quimicamente viáveis e seleciona gatilhos via similaridade de Tanimoto com a classe alvo, sem exigir acesso ao modelo vítima.
4. Validação Empírica: O estudo mostra que, embora a admissão consciente da química suprima muitos backdoors apenas de grafo, backdoors quimicamente válidos e alinhados ao alvo (como o ChemBack) permanecem altamente eficazes.

Resultados Experimentais
Os autores avaliaram suas descobertas através de quatro benchmarks do MoleculeNet (BBBP, BACE, SIDER, Tox21), várias arquiteturas de GNN (GCN, GIN, GraphSAGE, etc.) e diferentes mecanismos de defesa.

• Impacto em Ataques Apenas de Grafo: Quando o ChemGuard é aplicado, a Taxa de Envenenamento Efetiva (EPR) de ataques representativos apenas de grafo (GTA, Motif-Backdoor, UGBA, DPGBA) cai significativamente (frequentemente para dígitos únicos ou baixos dígitos duplos). Consequentemente, sua Taxa de Sucesso de Ataque (ASR) operacional diminui substancialmente, pois muitos gatilhos tentados são rejeitados.
• Desempenho do ChemBack: O ChemBack mantém uma EPR de 100% em todos os datasets porque constrói venenos que são quimicamente válidos por design. Ele alcança um alto ASR (ex: ~69% em BBBP, ~99% em SIDER) enquanto preserva uma Acurácia Limpa (CA) comparável à linha de base sem ataque.
• Robustez: O ChemBack permanece eficaz em datasets de maior escala (PCBA, MUV), configurações de pretrain-finetune (usando GROVER) e contra várias defesas pós-hoc (Spectral Signatures, DShield, RIGBD, etc.).
• Sigilo: Diagnósticos pós-hoc indicam que os venenos do ChemBack não são outliers extremos nos espaços de representação aprendidos (baixa distância de Mahalanobis para a classe alvo) e alinham-se bem com moléculas da classe alvo limpas em termos de descritores químicos padrão (logP, HBD, HBA, etc.).

Significância e Alegações
O artigo reivindica uma "lição de dois lados" sobre a segurança de backdoors moleculares:

1. A admissão consciente da química suprime muitos backdoors apenas de grafo. Avaliações que tratam moléculas como grafos arbitrários inflam o sucesso do ataque ao contar venenos inválidos que nunca chegariam ao aprendiz em um pipeline real.
2. Backdoors quimicamente válidos e alinhados ao alvo continuam sendo uma ameaça prática. Ataques que respeitam as restrições químicas e se alinham estruturalmente com a classe alvo (como o ChemBack) podem contornar as verificações de admissão e comprometer com sucesso os modelos.

Os autores enfatizam que o ChemGuard é um check de admissão de primeira camada, não uma defesa completa ou um certificado de robustez. Ele não cobre todos os filtros práticos (ex: acessibilidade sintética, regras de química medicinal ou revisão de especialistas). No entanto, os resultados sugerem que futuras avaliações de segurança para GNNs moleculares devem considerar o estágio de admissão para avaliar com precisão o risco operacional, e que as defesas devem ser em camadas, combinando verificações de admissão com detecção pós-hoc.