Feature-Context Consistency: Unsupervised Adversarial Detection with Drift Stability on Attributed Graphs¶
会议: NeurIPS 2026
arXiv: 2610.16694
代码: https://github.com/serval-uni-lu/CB-RBM
领域: 异常检测
关键词: 属性图对抗检测, 无监督异常检测, 特征上下文一致性, 概念漂移, 受限玻尔兹曼机
一句话总结¶
本文提出基于门控线性单元上下文通路的受限玻尔兹曼机（CB-RBM），利用属性图中实体特征与邻域聚合上下文的一致性作为双重判别信号，在完全无标签条件下通过闭式自由能降幅（CB得分）实现高精度对抗检测与分布漂移下的判别界稳定性。
研究背景与动机¶
在加密货币交易、社交网络及电子商务等互联系统中，对抗性恶意实体（如网络钓鱼钱包、虚假评论群组、违规操纵账号）长期潜伏并造成百亿美元级经济损失。现代检测通常依赖属性图联合建模节点自身特征与交互拓扑。然而现实网络部署面临两个相互交织的严苛瓶颈：一是标签严重滞后甚至完全缺失，攻击者在早期最具破坏力的窗口期几乎没有可靠的监督信号；二是网络存在天然的分布漂移（Concept Drift），随着用户行为迁移与拓扑演变，在历史快照上训练的固定判别边界会迅速失效，将正常的新行为误判为异常，引发误报率（FPR）灾难性飙升。
现有应对策略陷入恶性循环：依赖监督标签的图神经网络（如 CARE-GNN、PC-GNN）在缺乏新鲜标注时无法更新；无监督图异常检测器（如 DOMINANT、GAE、CoLA）大多依赖重构误差或对比损失，当正常特征随时间漂移时重构目标变质，导致误报率暴增至近 100%。常见的周期性重训练机制又必须依赖延迟到达的标签，导致系统始终在“模型过时”与“缺乏标注”之间摇摆。
解决这一矛盾的突破口在于找到一种既能免标签区分对抗入侵、又对自然漂移免疫的单一本征信号。合法实体经过长期真实交互，其自身特征与加权邻域上下文保持统计学上的双向一致性；而对抗实体由于缺乏历史沉淀，无法单方面控制邻近节点的属性，其特征与上下文必然脱节。更关键的是，在自然演化过程中，节点特征与聚合上下文同步漂移，彼此的对齐关系得以保持。核心 idea：将特征-上下文一致性转化为能量模型中的闭式自由能下降差分（Context Boost 分数），以此单一本征信号在无需标签的同时统一对抗检测与漂移稳定性。
方法详解¶
整体框架¶
CB-RBM 的整体处理流程建立在无监督高斯-伯努利受限玻尔兹曼机（Gaussian-Bernoulli RBM）之上。对图中的任意节点，系统首先对其邻域特征进行反同质性符号校准与均值聚合得到带符号的邻域上下文向量。随后，节点自身特征与上下文向量分别通过特征通路和基于门控线性单元（GLU）的上下文通路送入模型隐藏层。模型输出评估节点在此上下文下获得的自由能降幅——即上下文增益（Context Boost, CB）得分。若 CB 得分显著偏低，说明当前上下文无法为特征提供能量补偿，节点即被判定为对抗注入。
%%{init: {'flowchart': {'rankSpacing': 24, 'nodeSpacing': 28, 'padding': 6, 'wrappingWidth': 400}}}%%
flowchart TD
A["图节点输入<br/>自身特征 x 与邻域 N(i)"] --> B["符号校准均值聚合<br/>反同质性符号校正 s"]
B --> C["带符号上下文向量 c"]
A --> D["特征隐层通路<br/>W·v + b_h"]
C --> E["GLU 门控上下文通路<br/>U·c ⊙ σ(Gate·c)"]
D --> F["联合自由能计算<br/>F(v, c, θ)"]
D --> G["无上下文自由能<br/>F(v, 0, θ)"]
F --> H["Context Boost 差分计算<br/>CB = F(v, 0) - F(v, c)"]
G --> H
H --> I["单阈值检测与漂移不变判决<br/>-CB ≥ τ* 判定为对抗节点"]关键设计¶
1. 反同质性符号校准与邻域上下文聚合：确保正相关先验成立
在现实异质或交易网络中，某些特征维度天然呈现反同质性（例如交易流出量与流入量此消彼长）。若直接对邻域求均值，反同质维度会产生负相关，抵消上下文与特征的一致性。针对此问题，模型在训练前无监督地计算每个维度的皮尔逊相关系数符号： $\(s_d = \mathrm{sign}\left(\mathrm{Pearson}(x_{i,d}, \bar{x}_{\mathcal{N}(i),d})\right)\)$ 利用该维度符号向量 \(s \in \{-1, +1\}^{n_v}\) 对邻域特征做逐元素校正，构造带符号的上下文向量： $\(\mathbf{c}_i = \mathbf{s} \odot \frac{1}{|\mathcal{N}(i)|}\sum_{j \in \mathcal{N}(i)} \mathbf{x}_j\)$ 此设计在零标签监督下严格保证了合法节点在特征维度上与邻域具有正向期望余弦相似度（\(\mathbb{E}[\cos(\mathbf{x}_i, \mathbf{c}_i)] \geq \rho_0 > 0\)），为后续能量补偿建立了坚实的几何基准。
2. GLU 门控上下文能量通路：非线性过滤与特征解耦
传统 RBM 仅建模单一节点的特征分布，无法感知拓扑语境；而直接拼接特征与上下文又容易使模型陷入二次重构损失的漂移敏感区。本文扩展高斯-伯努利 RBM，在联合能量函数中引入门控线性单元（GLU）： $\(E(\mathbf{v}, \mathbf{h}, \mathbf{c}; \theta) = \frac{1}{2}\|\mathbf{v} - \mathbf{b}_v\|^2 - \sum_{j=1}^{n_h} h_j \left(\mathbf{w}_j^\top \mathbf{v} + \hat{\mathbf{c}}_j + b_j\right)\)$ 其中上下文偏置项定义为 \(\hat{\mathbf{c}}_j = (\mathbf{U}_j^\top \mathbf{c}) \cdot \sigma(\mathrm{Gate}_j^\top \mathbf{c})\)。当输入虚假或高噪声上下文时，门控因子 \(\sigma(\cdot)\) 动态抑制激活；当上下文缺失（\(\mathbf{c}=0\)）时，该通路精准退化为标准 RBM。
3. Context Boost 闭式差分得分：消去重构误差的纯净结构信号
对隐藏层 \(\mathbf{h} \in \{0, 1\}^{n_h}\) 进行边缘化积分后，模型得到关于特征与上下文的闭式自由能。Context Boost（CB）定义为上下文引入前后的自由能下降量： $\(\mathrm{CB}(\mathbf{v}, \mathbf{c}; \theta) = \sum_{j=1}^{n_h} \left[ \mathrm{softplus}(\mathbf{w}_j^\top \mathbf{v} + \hat{\mathbf{c}}_j + b_j) - \mathrm{softplus}(\mathbf{w}_j^\top \mathbf{v} + b_j) \right]\)$ 该设计最关键的数学优势在于：自由能公式中关于特征重建的二次惩罚项 \(\frac{1}{2}\|\mathbf{v}-\mathbf{b}_v\|^2\) 在做差时被完全精确对消。CB 得分仅取决于隐层激活状态的边际贡献。合法节点在相关上下文驱动下激活强烈，CB 得分维持在高位；而对抗节点由于缺乏连贯上下文，\(\hat{\mathbf{c}}_j\) 无法激发隐单元，CB 得分逼近于零。
4. 统计分离与 Wasserstein 漂移稳定性理论保证：抗漂移的确定性界
作者在理论上给出了双重严格保证：在分离性方面（定理 1），当对抗上下文激活上限满足 \(\rho_1 \bar{u} M_c \leq \gamma - \varepsilon\) 时，合法与对抗节点的期望得分差满足 \(\Psi - \Phi \geq n_h \varepsilon\)，随隐层容量 \(n_h\) 线性增长。在漂移稳定性方面（定理 2），若自然漂移在 Wasserstein-1 距离下是平滑的（\(W_1(\mathcal{P}_t, \mathcal{P}_{t-1}) \leq \delta_{\mathrm{drift}}\)），由于 CB 得分满足 Lipschitz 连续性，经过 \(t\) 步演化后期望得分偏差上界为： $\(|\mathbb{E}[\mathrm{CB}_t] - \mathbb{E}[\mathrm{CB}_0]| \leq L \cdot t \cdot \delta_{\mathrm{drift}}\)$ 由于自然演化中节点特征与邻域特征同步变化，实际得分漂移远低于理论最坏情况边界，使得在 \(t=0\) 刻定的检测阈值 \(\tau^*\)（设在合法校准集 95 分位数处）能跨越长期漂移维持固定的 5% 误报率。
损失函数 / 训练策略¶
模型仅在良性无标签节点对 \(\{(\mathbf{x}_i, \mathbf{c}_i)\} \sim \mathcal{P}_{\mathrm{legit}}\) 上训练，采用一阶对比散度（Contrastive Divergence, CD-1）最大化对数似然。训练时严格将稀疏惩罚项设为零（\(\lambda_{\mathrm{sp}} = 0\)），避免因抑制隐层均值激活而削弱上下文通路对能量差分的敏感性。阈值 \(\tau^*\) 取自预留的 10% 合法样本上 \(- \mathrm{CB}\) 的第 95 百分位数，测试时以 \(s_i = -\mathrm{CB}(\mathbf{x}_i, \mathbf{c}_i) \geq \tau^*\) 作为异常告警准则。
实验关键数据¶
主实验¶
在 XBlock 以太坊钓鱼欺诈图（153K 节点，38 维交易特征）与 Reddit 违规封禁用户图（11K 节点，73 维语言与结构特征）上，针对四类攻击（孤立注入、特征伪装、女巫攻击、关系伪装）进行全面评测。指标采用在 5% FPR 下测定的真实召回率 TPR@5%FPR 与 AUROC。
| 数据集 | 攻击类型 | CB-RBM (无监督) | Std-RBM (无上下文) | GraphSAGE (全监督) | GAT (全监督) | DOMINANT (无监督) | GAE (无监督) |
|---|---|---|---|---|---|---|---|
| XBlock | 孤立注入 (AUROC / TPR) | 99.9 / 100.0% | 86.8 / 51.6% | 97.6 / 90.1% | 91.7 / 75.2% | 96.9 / 78.1% | 98.1 / 89.5% |
| 特征伪装 (AUROC / TPR) | 99.9 / 100.0% | 51.3 / 11.0% | 92.6 / 77.8% | 54.6 / 10.2% | 96.4 / 72.5% | 96.7 / 78.7% | |
| 女巫攻击 (AUROC / TPR) | 99.8 / 100.0% | 86.8 / 51.6% | 98.8 / 94.9% | 99.4 / 100.0% | 98.1 / 98.8% | 96.6 / 77.4% | |
| 关系伪装 (AUROC / TPR) | 97.6 / 96.8% | 86.8 / 51.6% | 98.6 / 92.4% | 98.2 / 97.8% | 97.0 / 86.9% | 97.7 / 88.9% | |
| 孤立注入 (AUROC / TPR) | 99.4 / 97.2% | 60.0 / 10.7% | 61.9 / 0.5% | 73.5 / 38.3% | 98.0 / 91.3% | 99.1 / 97.3% | |
| 特征伪装 (AUROC / TPR) | 99.6 / 98.2% | 52.4 / 4.3% | 55.1 / 0.0% | 58.4 / 18.2% | 90.6 / 79.7% | 90.5 / 86.5% | |
| 女巫攻击 (AUROC / TPR) | 100.0 / 100.0% | 60.0 / 10.7% | 68.2 / 1.8% | 92.9 / 66.7% | 99.9 / 100.0% | 97.4 / 86.8% | |
| 关系伪装 (AUROC / TPR) | 97.3 / 88.2% | 60.0 / 10.7% | 83.2 / 19.7% | 82.1 / 5.2% | 93.2 / 52.8% | 89.3 / 48.5% |
消融实验¶
在经历 20 步特征与拓扑联合演化漂移（\(T=20\)）后，各检测机制在保持原始阈值冻结条件下的稳定性（\(\mathrm{Stability} = 1 - \mathrm{FPR}_{\mathrm{drift}}\)）与综合评分（\(\mathrm{Combined} = \mathrm{TPR} \times \mathrm{Stability}\)）对比显著。
| 配置 / 方法类型 | XBlock Combined (\(T=20\)) | XBlock 漂移误报率 \(\mathrm{FPR}_{\mathrm{drift}}\) | Reddit Combined (\(T=20\)) | Reddit 漂移误报率 \(\mathrm{FPR}_{\mathrm{drift}}\) | 核心说明 |
|---|---|---|---|---|---|
| CB-RBM (完整模型) | 0.94 | 5.2% | 0.88 | 8.4% | 兼顾超高检出率与漂移误报抑制，贴近 5% 标定目标 |
| Std-RBM (无上下文通路) | 0.001 | 99.8% | 0.010 | 89.4% | 无上下文差异信号，自由能受绝对特征偏移影响误报率近 100% |
| Signed Cosine (无学习纯几何) | 0.17 | 7.7% | 0.57 | 33.4% | 缺少非线性门控筛选，无法有效压制伪装攻击且表征脆弱 |
| Context-MLP (无 RBM/GLU) | 0.53 | 29.9% | 0.04 | 95.7% | 重构预测误差在漂移下迅速失真，误报率失控 |
| DOMINANT (重构型图异常) | 0.01 | 99.0% | 0.46 | 43.2% | 静态重构目标面对正常实体漂移完全失效 |
| GAE (图自编码器) | 0.28 | 66.6% | 0.07 | 91.8% | 随网络演化出现大面积假阳性 |
| GraphSAGE (强监督 GNN) | 0.84 | 5.6% | 0.05 | 5.0% | 依赖大量标签，在少标签的 Reddit 上严重欠拟合 |
关键发现¶
- 上下文通路是模型的命脉：去除 GLU 上下文通路（Std-RBM）直接导致综合评分从 0.94 崩塌至 0.001。自由能二次惩罚项无法消除，使得正常节点的轻微演化在绝对能量尺度上被放大为巨大异常。
- 重构型检测器的漂移死穴：DOMINANT 和 GAE 等传统无监督模型在静态评测中表现亮眼，但一旦发生 20 步时间漂移，其判定边界由于紧绑在静态特征值上，误报率直接恶化至 66.6%~99.0%。
- 标签稀缺下的泛化对比：监督图神经网络在标注充裕时表现优秀（XBlock 上 GraphSAGE 达 0.84），但在真实少样本场景下（Reddit 仅 166 个标签）迅速失效，Combined 得分不足 0.10，印证了无监督内生一致性检测的实用价值。
亮点与洞察¶
- 代数对消的巧思设计：将检测统计量定义为有/无上下文的自由能差值，数学上巧妙消除了依赖特征绝对坐标的二次项，使得检测器对整体特征群的平移漂移具备天然的不变性。
- 攻击检测边界的透彻刻画：通过引入有效对抗相关系数 \(\rho_1^{\mathrm{eff}}\)，论文严格证明了检测器探测的本质是“合法上下文历史的缺失”而非“特征异常本身”。实验证明即使攻击者完美克隆正常特征，只要缺乏真实网络关系沉淀就会被立即截获。
- 低成本安全加固的迁移价值：CB-RBM 的抗漂移打分可直接作为外挂无监督过滤器，级联部署在现有监督系统之上。在真实漂移测试中，该模块无缝消除了监督基线高达 87.6%~93.5% 的漂移误报。
局限与展望¶
- 强拓扑依赖性限制：模型要求底层网络具有可度量的同质性先验（\(\rho_0 > 0\)）。在完全随机拓扑或对抗构造的极端异质网络中，上下文信号可能失效。
- 枢纽节点伪装攻击脆弱性：当攻击者耗费高昂成本主动建立与高度数核心合法节点的连接时（关系伪装），其 \(\rho_1^{\mathrm{eff}}\) 会向正常节点靠拢，导致检测间隔缩小。
- 白盒梯度绕过风险：在攻击者获取模型参数的完全白盒场景下，可通过对抗扰动梯度协同操纵特征与拓扑以降低 CB 得分。未来可进一步探索动态流式边更新机制与连续时间图演化拓展。
相关工作与启发¶
- vs DOMINANT / GAE: 传统无监督图异常检测器依靠图结构与属性的重构残差，判别边界与历史静态特征紧密耦合；CB-RBM 摒弃重构目标，利用差分增益消去绝对重构误差，在持续漂移下保持稳定的 5% 误报率。
- vs GraphSAGE / GAT: 监督图神经网络需要大量新鲜标注样本维持边界；CB-RBM 在零标签冷启动条件下，检出率全面超越缺乏足够标签微调的监督模型。
- vs Dynamic GNN (StrGNN / TADDY): 动态时序模型依赖复杂的历史序列重训练或在线更新；CB-RBM 在权重与判定阈值完全冻结的前提下，凭借特征-上下文共变性直接抵御自然漂移。
评分¶
- 新颖性: ⭐⭐⭐⭐⭐ 首次从能量模型视角将特征-上下文一致性转化为闭式差分得分，统一了解释标签匮乏与漂移稳定的机制。
- 实验充分度: ⭐⭐⭐⭐⭐ 涵盖 4 种对抗攻击范式、20 步长程漂移模拟及 15 种以上对比模型，并附带完备的理论界验证。
- 写作质量: ⭐⭐⭐⭐⭐ 动机阐述环环相扣，从数学假设、定理推导到经验验证逻辑自洽且行文流畅。
- 价值: ⭐⭐⭐⭐⭐ 为金融欺诈、风控黑产检测等面临标签稀缺与环境漂移挑战的图挖掘工业落地提供了高鲁棒的范式。