💻 computer science

Revisiting the Adversarial Robustness of Graph-Based Traffic Forecasting

本文认为现有的基于图的交通预测的鲁棒性评估依赖于不切实际的威胁模型，并提出了一种利用物理启发式检测器进行检测与缓解的新型防御方法，该方法能有效对抗针对性的、具备物理感知能力的攻击，同时在洁净数据上保持近乎为零的成本。

原作者： Qingzhao Zhang

发布于 2026-07-31

📖 1 分钟阅读☕ 轻松阅读

原作者： Qingzhao Zhang

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，城市的交通系统就像一个巨大的、活生生的神经系统。每一个交叉路口和高速公路都是一个神经元，而埋在路面下的传感器则是神经末梢，不断发送着关于车辆行驶速度的信号。在“智能城市”的世界里，强大的计算机大脑——具体来说是一种被称为“基于图的模型”的人工智能——正在读取这些信号，以在交通拥堵发生前进行预测。它们告诉你的 GPS 何时重新规划路线，帮助交通灯变换颜色以保持车流顺畅，并向我们发出拥堵预警。但是，就像人类的神经系统会被一针刺痛或一个虚假信号所欺骗一样，这些人工智能大脑也会被愚弄。如果黑客向少数几个传感器低声传递一个谎言，整个计算机大脑可能会认为高速公路变成了一个停车场，从而引导成千上符的车辆陷入一场徒劳的追逐。这篇论文探讨了如何保护这些预测交通的“大脑”，免受此类诡计的侵害，它超越了旧有的、不切实际的黑客攻击概念，转而研究当攻击者变得狡猾、受限且目标非常明确时会发生什么。

该论文的作者张庆召（音译）指出，以往对交通人工智能的安全测试是在玩一场与现实不符的游戏。想象一下，一名保安在测试银行保险库时，向门上投掷大量、混乱的石块风暴。如果门挡住了，保安就会说：“太棒了，它是安全的！”但在现实世界中，小偷不会制造石块风暴，他们会撬开一个微小的锁，使用特定的工具，然后悄无声息地潜入。论文表明，过去的研究假设攻击者可以同时破坏城市的大规模传感器阵列，且其目标是让整个城市的交通预测看起来都很糟糕。作者认为这是错误的。一个真正的、危险的攻击者很可能拥有有限的访问权限，对人工智能的内部代码知之甚少，并且只想扰乱某一条特定路线的交通，从而造成拥堵或强制改变路线。

当研究人员用这种更具现实感的、“狡猾型”攻击者来测试人工智能时，结果令人震惊。他们发现，即使是那些经过训练以抵御大规模、混乱攻击的“鲁棒性”人工智能模型，在面对这种针对性的、现实的攻击时也会彻底崩溃。攻击者可以让人工智能预测某一段五英里长的走廊会出现大规模交通拥堵，使行驶时间虚增 26%，而整个城市的整体误差却几乎没有变化。这就像魔术师让一副扑克牌中的一张牌消失，而剩下的牌看起来却完全正常。旧的防御方法被称为“对抗性训练”，它就像教人工智能识别某种特定类型的坏人，但在这种情况下失败得很惨。这种方法过于僵化；它无法区分真实的交通拥堵和由黑客制造的虚假拥堵，因为对人工智能来说，两者看起来都像是“拥堵”。

为了解决这个问题，团队发明了一种新的防御机制，称为 VetTraffic。他们不再试图教人工智能去忽略坏数据（因为这有时意味着也会忽略真实的交通拥堵），而是为团队增加了一位“物理侦探”。把这位侦探想象成一名了解车辆实际行为规律的交警。如果一个传感器突然报告车辆减速，但它旁边的车辆仍在以每小时 60 英里的速度疾驰，侦探就会知道情况有些不对劲。侦探并不会删除该传感器的报告；相反，他会举起红旗并向主人工智能耳语道：“嘿，不要信任这个特定的传感器；看看它的邻居们是怎么样的。”

该论文在三个主要的现实世界数据集（PEMS-BAY、METR-LA 和 PeMS-D4）上，针对五种不同类型的交通预测人工智能模型测试了这一新系统。结果令人印象深刻。在 15 种不同的测试场景中，有 13 种场景下 VetTraffic 在阻止针对性攻击方面优于现有的最佳防御方法。它能够捕捉到虚假的拥堵并保持预测的准确性，同时不会降低人工智能预测正常、真实交通的能力。即使攻击者试图通过让虚假拥堵看起来更加逼真来智斗侦探，VetTraffic 依然稳如泰山。其核心发现是：与其试图将人工智能的大脑硬化以应对每一种可能的攻击形态，不如给它一副“怀疑眼镜”，帮助它识破何时违反了物理定律。

在针对湾区一条真实高速公路的具体案例研究中，研究人员展示了黑客如何将传感器的速度读数从每小时 68 英里降至 58 英里——这是一个微小且看似合理的改变，看起来像是拥堵的开始。在没有这种新防御机制的情况下，人工智能预测会出现每小时 31 英里的全面瘫痪，这会导致大规模的重新规划噩梦。有了 VetTraffic，系统会将该传感器标记为可疑，因为它发现旁边的车辆并未减速，并保持了每小时 60 英里的现实预测。论文总结道，为了让交通人工智能真正安全，我们需要停止用那些不切实际的、“超级反派式”的攻击来测试它，而应该开始测试那些现实黑客实际会使用的、有限且具有针对性的诡计。通过关注交通流的物理特性而非仅仅是数学噪声，我们可以构建出不仅强大、而且足够聪明到能识破谎言的系统。

技术摘要：重新审视基于图的交通预测的对抗鲁棒性

1. 问题陈述

基于图的 AI，特别是时空图神经网络（ST-GNNs），是智能交通系统中交通预测的核心。然而，这些系统的安全性是在不切实际的威胁模型下进行评估的。先前的工作假设攻击者可以在全局 $\ell_\infty$ 范数预算下扰动很大比例的传感器，并以优化全网平均误差为目标。

本文认为，此类评估掩盖了关键的脆弱性。一个实际的攻击者在五个约束条件下运行：

有限知识： 攻击者不知道专有模型 ( $f_\theta$ )，依赖于代理模型或受限的查询。
局部扰动： 攻击者仅控制一小部分可达的传感器子集 ( $S_a$ )，而非网络的大部分。
部分观测： 攻击者仅观测部分节点 ( $S_o$ )，并必须推断其余部分。
局部目标： 目标是偏置特定的路段或路线（例如，人为抬高竞争对手走廊的旅行时间），而非降低全球网络平均值。
现实边界： 攻击者注入的不是微小的、不可察觉的噪声，而是物理上有效（在传感器动态范围内）且模仿真实拥堵事件（在空间上连贯且在时间上平滑）的数值。

在这些条件下，先前的防御手段（如对抗训练 AT）失效了。AT 虽然能增强模型抵御范数限制攻击的能力，但无法拒绝那些看起来像真实异常的“流形内（on-manifold）”攻击，否则也会同时拒绝真实的拥堵。此外，局部攻击可以在导致显著的路由误差的同时，使全球指标（如全网 MAE）几乎保持不变。

2. 方法论

2.1 威胁模型与攻击设计

作者引入了一个五轴威胁模型以及相应的物理感知攻击（Physics-Aware Attack）。

攻击目标： 在保持物理一致性的同时，最大化特定目标集 $S_t$ （例如某条走廊）的误差。
物理感知扰动： 攻击者不再是最小化范数球，而是求解一个优化问题，旨在将预测结果驱动向一个伪造的拥塞状态 ( $y_{jam}$ $y_{j am}$ )。该扰动被约束为：
- 稀疏性： 仅影响少数关键链路。
- 空间连贯性： 与图邻居保持一致（惩罚与图拉普拉斯矩阵的不一致性）。
- 时间平滑性： 表现出有界的加速度（惩罚时间抖动/Jerk）。
实现方式： 攻击者使用图拉普拉斯插值或学习到的 GNN 填补器来重建未观测状态，训练一个用于梯度估计的代理模型，并使用掩码投影梯度下降（Masked PGD）来优化注入过程。

2.2 防御方案：VetTraffic

论文提出了 VetTraffic，这是一种将鲁棒性重新定义为检测问题而非仅仅是输入纯化过程的模型无关型防御方案。

核心洞察： 对抗训练是针对特定攻击的。针对特定形状的扰动进行加固会降低模型对具有相同形状的真实异常的性能。相反，系统应该检测物理规律的违背。
架构：
1. 物理信息检测器： 一个模块，根据传感器读数与以下各项之间的残差来计算每个节点的“怀疑度”得分：
  - 有向的上游/下游邻居估计。
  - 时间动力学（有界加速度）。
    检测器会标记那些偏离交通物理规律的节点（即伪造行为的“指纹”）。
2. 零初始化适配器（Zero-Init Adapter）： 检测器的怀疑信号（热力图）作为额外的输入特征，与原始传感器数据和邻居估计值一起融合到预测器中。适配器初始化为零，确保系统在初始状态下与基准模型完全一致。
3. 冻结预测器： 底层的 ST-GNN 预测器是从对抗训练（AT）基准（具体是针对物理感知攻击进行加固的 AT）预热而来的，并在防御训练阶段保持冻结。
训练： 检测器和适配器针对自适应攻击进行联合训练，而预测器保持固定。损失函数结合了预测误差（在干净数据和受攻击数据上）以及检测监督（使用二元交叉熵来标记受扰动的节点）。

3. 核心贡献

实用的威胁模型： 一个五轴框架（有限知识、部分扰动/观测、局部目标、现实边界），揭示了全局、范数限制评估的不足。
物理感知攻击： 一种新型攻击策略，通过塑造扰动来模拟真实的拥堵，证明了 AT 的鲁棒性无法跨越不同的攻击形状进行迁移。
VetTraffic 防御： 一种基于检测的防御方案，它作为 AT 的补充。它学习识别物理违规，而不是反转特定的攻击，从而使其能够泛化到未见的攻击变化中。
自适应评估： 进行了严谨的评估，展示了检测机制在加固机制失效时（特别是在其分布之外的“留出”攻击中）仍具有泛化能力。

4. 结果

作者在五种 ST-GNN 架构（Graph WaveNet, STGCN, DCRNN, STTN, STAGGCN）和三个基准数据集（METR-LA, PEMS-BAY, PeMS-D4）上评估了攻击与防御。

攻击有效性：
- 在物理感知攻击下，特定走廊的误差增加了数倍（例如，在 PeMS-D4 上从约 4 mph 增加到约 28 mph），而全网误差几乎保持不变。
- 针对范数限制攻击进行训练的对抗训练（RDAT）对物理感知攻击几乎没有保护作用；在某些情况下，其表现甚至比不进行任何防御还要差。
- 即使是针对物理感知攻击进行加固的 AT（AT-physics）也无法在攻击范围扩大（例如，从 1 跳扩展到 3 跳光环区域）时实现泛化。
防御性能：
- VetTraffic vs. AT： 在 15 个模型-数据集设置中，VetTraffic 在 13 个设置中优于最强的 AT 基准。
- 泛化能力： 在“留出”攻击（将光环区域扩大到 2 跳或 3 跳）中，VetTraffic 保持了其优势，而 AT-physics 的性能则大幅下降。例如，在 STGCN/PEMS-BAY 上，当攻击范围扩大时，AT-physics 的误差从 13.7 跳升至 34.8，而 VetTraffic 仅上升至 22.3。
- 干净数据的代价： VetTraffic 以近乎为零的干净数据准确率损失实现了这些增益，因为零初始化适配器确保系统在处理干净数据时默认执行基准行为。
- 自适应鲁棒性： 即使面对检测器感知的攻击者（即试图最小化怀疑度的攻击者），VetTraffic 仍显著优于 AT 基准。检测器成功区分了真实拥堵（标记率 ~0%）与攻击（标记率 62–100%）。

5. 重要性与主张

本文声称，基于图的交通预测器所表现出的感知鲁棒性是理想化威胁模型的产物。作者认为：

鲁棒性具有攻击特异性： 对一种类型的扰动（如范数限制噪声）进行加固，并不能赋予模型抵御结构性不同的物理感知攻击的鲁棒性。
检测优于容忍： 系统不应试图去“容忍”或“纯化”那些看起来像有效异常的输入，而应该“怀疑”那些违反物理定律的输入。
通过物理实现泛化： 通过学习伪造行为的不变量特征（物理违规），而非学习特定攻击的修正方法，该防御能够泛化到加固机制失效的未见攻击变化中。

这项工作强调，在评估 AI 安全性时，需要使用特定应用的约束条件（有限访问、局部目标、物理现实性）来进行评估。作者指出了一些局限性，例如在噪声较大的图（METR-LA）中有效性降低，以及在极少数情况下存在利用适配器进行完全自适应攻击的理论可能性，但仍坚持认为 Vet-Traffic 相比于目前的先进防御方案提供了显著且实用的改进。