Rethinking Molecular Graph Backdoors under Chemistry-aware Admission¶

会议: NeurIPS 2026
arXiv: 2606.23361
OpenReview: https://openreview.net/forum?id=Oo98xlurzU
论文: https://arxiv.org/abs/2606.23361
领域: 安全
关键词: 分子图神经网络, 后门攻击, 化学准入协议, 图字符串一致性, 谷本相似度

一句话总结¶

针对传统分子图后门攻击脱离化学真实性与数据预处理检验的局限，本文形式化了最小准入流水线协议 ChemGuard，并提出了无需受害者模型参与、基于谷本相似度对齐目标类的化学准入感知后门攻击 ChemBack。

研究背景与动机¶

分子图神经网络（GNN）在分子性质预测、虚拟药物筛选和材料科学等高安全要求任务中得到了广泛部署。然而，近期针对分子 GNN 的后门攻击研究表明，恶意攻击者只需在少量训练分子中注入特定的触发器子图并翻转标签，便能诱导模型在测试阶段将携带触发器的任意分子错误预测为攻击者指定的目标类别。在化学筛选流水线中，这类被恶意操纵的模型极易使有毒化合物被误判为安全药物，带来严重的安全与伦理风险。

然而，现有图后门攻击的评估普遍建立在一个脱离实际的核心假设之上：研究者往往将触发器注入简化为抽象的数学图编辑（如任意增删节点或边），并假定只要在拓扑中添加了触发结构，该中毒分子就能直接被模型所消费。这一假设与真实的化学信息学工作流程存在严重脱节。在任何严肃的计算化学与分子学习流水线中，原始分子输入必须首先经历严格的化学预处理阶梯——包括字符串解析、化学价态清洗、芳香性规范化以及分子图与分子字符串之间的拓扑双向一致性检查。违背化学键价规律或拓扑结构矛盾的毒化图根本无法通过预处理，而现有工作忽视这一准入阶段，人为夸大了图后门攻击的有效性。

这种脱节引发了重新思考：在真实的化学信息学准入机制下，分子后门攻击究竟还具有多大威胁？本文的切入角度是首先形式化这道此前被系统性忽视的预处理防线，明确界定有效毒化样本的存活边界。核心 idea：形式化包含化学有效性与图字符串一致性校验的流水线级准入协议 ChemGuard，并据此设计出利用化学可行基团锚定、完全免受害者模型的谷本相似度引导后门攻击 ChemBack，揭示出化学准入虽能瓦解抽象图后门却无法免疫化学对齐后门的双重启示。

方法详解¶

整体框架¶

ChemBack 的整体设计旨在打破后门生成与化学预处理脱节的壁垒，在严格满足化学约束的前提下实现高攻击成功率。整个流程包含两个互为对照的核心系统：一是作为检验防线的化学感知准入协议 ChemGuard，用于判定分子记录能否进入后续训练与推理；二是攻击算法 ChemBack，包含候选功能基团库构建、可行化学锚点枚举与连接、ChemGuard 准入过滤，以及基于目标类分子指纹谷本相似度的无模型触发器选择。

%%{init: {'flowchart': {'rankSpacing': 24, 'nodeSpacing': 28, 'padding': 6, 'wrappingWidth': 400}}}%%
flowchart TD
    A["非目标宿主分子 G 与基团库 M"] --> B["化学可行基团锚定连接<br/>枚举价态空位原子并形成共价单键"]
    B --> C["ChemGuard 准入一致性检验<br/>RDKit 清洗、规范化与图字符串拓扑匹配"]
    C -->|未通过准入| R["丢弃无效内部候选"]
    C -->|通过准入| D["谷本相似度引导目标对齐选择<br/>基于 Morgan 指纹计算离散奖赏筛选触发器"]
    D --> E["生成最终准入投毒数据集<br/>EPR 达到 100% 并分配目标标签"]
    E --> F["部署至分子 GNN 训练与测试激活"]

关键设计¶

1. ChemGuard 准入一致性检验：形式化现实化学学习流水线的输入准入门槛

传统图后门攻击通常在抽象图空间中执行加边与节点注入，导致毒化后的图结构可能出现碳原子具有五个共价键等严重违反化学价态常识的谬误。ChemGuard 将实际化学信息学工具链（如 RDKit、Open Babel、Indigo）中的预处理机制抽象为一个确定性算子 $\phi_{\mathcal{T}}$。对于提交的分子记录 $(\tilde{s}, \tilde{G}, y)$（其中 $\tilde{s}$ 为分子 SMILES 字符串，$\tilde{G}$ 为图结构），ChemGuard 施加两项不可逾越的充要检验条件： $$\mathrm{ChemGuard}_{\mathcal{T}}(\tilde{s},\tilde{G})=\mathbf{1}\!\left[\phi_{\mathcal{T}}(\tilde{s})\neq\varnothing\right]\cdot\mathbf{1}\!\left[\mathrm{Topo}\!\left(\phi_{\mathcal{T}}(\tilde{s})\right)=\mathrm{Topo}(\tilde{G})\right]$$ 第一项要求分子字符串必须能够通过工具库的化学清洗，包括价态合法性检查、芳香环规范化与电荷配平；第二项要求由清洗后字符串重构出的分子图拓扑（包含原子类型、原子总数及无向键类型集合）必须与提交的图 $\tilde{G}$ 完全同构。这彻底封堵了抽象图扰动在底层表示上的欺骗性，任何未通过检验的输入直接输出拒绝符号 $\bot$。

2. 化学可行基团锚定连接：确保触发器注入过程从根源符合键价规律

为了克服传统子图替换破坏化学合法性的缺陷，ChemBack 将触发器建模为自然界中普遍存在的化学功能基团（motif），并通过严格的化学连接操作将其拼接到宿主分子上。对于给定的宿主分子图 $G=(V, E)$，算法首先提取所有具有剩余化学共价价态的宿主锚点集合 $\mathcal{A}(G)=\{i\in V:\text{原子 }i\text{ 允许增加有效共价单键}\}$。随后，从预先构建的候选基团库 $\mathcal{M}=\{m_k\}_{k=1}^K$ 中枚举基团侧锚点 $j$。连接算子 $\mathrm{Att}_{\mathcal{T}}(G, m_k, i, j)$ 会在宿主原子 $i$ 与基团原子 $j$ 之间建立共价单键，并在必要时自动脱去对应氢原子，完成重排并调用 ChemGuard 验证。通过在前置搜索空间中主动剔除无法成键的非法配对，ChemBack 从源头保证了所有提交的中毒样本均具备 100% 的化学合法性。

3. 谷本相似度引导目标对齐选择：免受害者模型的启发式隐蔽性增强

仅仅通过化学检验并不足以保证后门特征被 GNN 有效学习并诱导特定标签；反之，若采用如 UGBA 或 DPGBA 的替代模型反向传播优化，又面临白盒假设过强的问题。ChemBack 提出了一种完全模型无关（Model-free）的目标对齐选择准则。算法首先利用训练集中的干净目标类样本构建基准指纹库 $B_t = \{\mathrm{FP}(\tilde{G}_i) : y_i = y_t\}$，其中 $\mathrm{FP}$ 采用标准的 2048 位半径为 2 的 Morgan 分子指纹（ECFP4）。对于每一个通过 ChemGuard 的毒化候选分子 $\tilde{G}_p$，计算其与目标指纹库的最大谷本相似度（Tanimoto Similarity）： $$S_{\mathrm{Tan}}(\tilde{G}_{p})=\max_{z\in B_{t}}\mathrm{Tan}(\mathrm{FP}(\tilde{G}_{p}),z) = \max_{z\in B_{t}} \frac{|\mathrm{FP}(\tilde{G}_{p})\wedge z|}{|\mathrm{FP}(\tilde{G}_{p})\vee z|}$$ 整个离散候选动作的评估奖励函数定义为： $$r(G,k,i,j)=\begin{cases}r_{\mathrm{inv}},&\mathrm{Att}_{\mathcal{T}}(G,m_{k},i,j)=\bot\text{ 或未通过 ChemGuard},\\[2.5pt] 1+\lambda_{\mathrm{Tan}}S_{\mathrm{Tan}}(\tilde{G}_{p}),&\text{其他}\end{cases}$$ 该设计使得触发器在保持化学真实性的同时，结构特征天然偏向干净目标类别所在的空间邻域。后验表征分析证明，高谷本相似度与表征空间中更低的目标类马氏距离（$\mathrm{MD}^2$）高度契合，从而赋予了攻击对谱签名（Spectral Signatures）等表征异常检测防线极强的绕过能力。

损失函数 / 训练策略¶

ChemBack 在触发器筛选阶段属于零梯度搜索，无需构建可导代理。对于庞大的候选基团与成键动作空间，可通过强化学习（RL proposal distribution）、贪心搜索或小规模穷举策略最大化综合奖赏 $r(G, k, i, j)$。确定最优触发基团及连接规则后，攻击者在固定的投毒比例 $\alpha$（如 10%）下对非目标训练分子执行注入，生成毒化数据集并由下游受害者模型按标准的经验风险最小化（ERM）目标进行端到端优化： $$\min_{\theta}\frac{1}{|D_{\mathrm{adm}}|}\sum_{(\tilde{s}_{i},\tilde{G}_{i},y_{i})\in D_{\mathrm{adm}}}\ell\!\left(f_{\theta}(\phi_{\mathcal{T}}(\tilde{s}_{i})),y_{i}\right)$$

实验关键数据¶

主实验¶

在基准模型 2 层 GCN 及毒化比例 $\alpha=10\%$ 下，对比无化学准入（Raw）与引入化学准入（ChemGuard）两种评估模式下的干净精度（CA）、攻击成功率（ASR）以及有效投毒率（EPR）。

数据集	攻击方法	w/o ChemGuard CA (%)	w/o ChemGuard ASR (%)	with ChemGuard CA (%)	with ChemGuard ASR (%)	ChemGuard EPR (%)
BBBP	No-Attack	86.34±0.43	-	86.34±0.43	-	-
	GTA	79.72±0.63	73.16±1.24	84.23±0.46	54.47±0.56	8.14±12.83
	MB	80.43±0.64	72.18±1.36	84.35±0.63	46.27±8.24	11.24±11.37
	UGBA	82.14±0.53	60.67±1.16	83.94±0.34	47.83±3.86	13.16±13.58
	DPGBA	81.93±0.65	69.24±1.13	84.27±0.84	52.86±3.36	10.06±10.87
	ChemBack	81.08±0.52	69.36±1.14	81.08±0.52	69.36±1.14	100.00±0.00
BACE	GTA	67.34±0.54	47.96±1.14	71.32±2.47	27.46±2.14	15.17±13.24
	MB	70.04±0.53	82.67±1.54	71.06±1.94	13.38±8.74	17.43±10.74
	UGBA	72.64±0.63	67.18±1.24	70.74±0.34	15.37±3.34	10.34±12.14
	DPGBA	69.36±0.54	55.74±1.23	70.24±1.24	16.47±4.54	10.94±13.96
	ChemBack	70.63±0.72	98.86±0.43	70.63±0.72	98.86±0.43	100.00±0.00
SIDER	GTA	60.83±0.74	66.47±1.43	60.74±0.54	49.96±7.84	11.13±11.86
	MB	64.73±0.73	83.28±1.46	60.07±1.46	51.17±3.86	7.08±12.47
	UGBA	59.47±0.64	86.18±1.74	60.16±0.94	53.07±4.36	8.57±10.26
	DPGBA	62.94±0.63	49.67±1.04	60.84±0.34	45.27±4.46	5.47±12.94
	ChemBack	60.84±0.63	99.17±0.34	60.84±0.63	99.17±0.34	100.00±0.00
Tox21	GTA	96.43±0.43	42.78±1.29	97.14±0.24	16.73±2.18	23.68±14.08
	MB	96.94±0.34	96.37±0.63	97.23±0.13	24.61±3.57	25.17±11.23
	UGBA	96.53±0.33	97.06±0.54	97.26±0.34	22.84±2.46	24.36±12.84
	DPGBA	96.56±0.43	52.76±0.94	97.24±0.23	18.49±2.69	25.92±10.58
	ChemBack	96.34±0.43	81.84±0.84	96.34±0.43	81.84±0.84	100.00±0.00

消融实验¶

在 $\alpha=10\%$ 设定下，评估各核心组件对 ChemGuard 准入后性能及抵御后验防御手段（Spectral Signatures 过滤后 ASR）的贡献。

数据集	变体配置	CA (%) ↑	ASR (%) ↑	EPR (%) ↑	Spectral ASR (%) ↑	说明
BBBP	完整 ChemBack	81.08±0.52	69.36±1.14	100.00±0.00	68.74±1.39	具备全套设计
	w/o 谷本相似度引导	81.22±0.44	68.91±1.73	100.00±0.00	31.48±2.86	失去目标对齐，极易被谱防御剔除
	w/o 可行性前置初筛	81.16±0.45	69.02±1.89	100.00±0.00	67.06±1.76	最终过 ChemGuard 仍有效，但搜索冗余高
BACE	完整 ChemBack	70.63±0.72	98.86±0.43	100.00±0.00	97.84±0.76	维持极高攻击效能与抗谱防御力
	w/o 谷本相似度引导	70.41±0.58	97.92±0.91	100.00±0.00	42.36±3.42	谱防御下 ASR 骤降 55.48%
	w/o 可行性前置初筛	70.51±0.61	98.34±0.74	100.00±0.00	95.81±1.03	性能基本稳定
SIDER	完整 ChemBack	60.84±0.63	99.17±0.34	100.00±0.00	98.52±0.61	接近完美的攻击成功率
	w/o 谷本相似度引导	60.91±0.61	98.74±0.66	100.00±0.00	39.27±2.75	谱防御下 ASR 骤降 59.25%
	w/o 可行性前置初筛	60.77±0.58	98.96±0.52	100.00±0.00	97.12±0.68	性能维持稳定
Tox21	完整 ChemBack	96.34±0.43	81.84±0.84	100.00±0.00	81.12±0.91	多标签毒理预测全面生效
	w/o 谷本相似度引导	96.41±0.31	80.96±1.52	100.00±0.00	28.64±2.31	谱防御下 ASR 骤降 52.48%
	w/o 可行性前置初筛	96.28±0.35	81.27±1.61	100.00±0.00	79.06±1.12	性能保持稳健

关键发现¶

化学准入对传统图后门具有毁灭性打击：在未设准入机制的 Raw 模式下，GTA、MB、UGBA 和 DPGBA 表现出高达 70%~97% 的 ASR；然而一旦引入 ChemGuard，其有效投毒率（EPR）仅剩 5%~25%，导致实际可操作 ASR 出现雪崩式下滑（例如在 BACE 上 MB 的 ASR 从 82.67% 跌至 13.38%）。这表明大量所谓成功的抽象图攻击实质上根本无法进入真实计算流程。
谷本相似度是对抗后验表征防御的核心屏障：消融实验揭示，去掉谷本相似度引导对未防御下的基准 ASR 影响极小，但在 Spectral Signatures 防御下，各数据集的 ASR 均发生了腰斩（暴跌 37%~60%）。这证明利用目标指纹先验进行结构拉近，能够促使中毒样本自然融入目标类的高维表征流形中。
跨验证器与大规模预训练的泛化性：ChemBack 的威胁性不仅存在于 RDKit 与单层 GCN，在切换至 Open Babel、Indigo 验证栈，或者拓展到 PCBA、MUV 大数据集以及 GROVER 自监督预训练-微调架构时，EPR 均恒定保持在 100%，展现了极强的普适危险性。

亮点与洞察¶

重新锚定了分子 AI 安全的攻防真实边界：论文敏锐地捕捉到了抽象数学图扰动与真实化学信息学流水线之间的巨大鸿沟，指出了学术界长期依赖的“图编辑即可用”假设是虚幻的，将评估基准拉回到了工程可落地的现实轨道上。
完全免模型的启发式攻击范式：不同于依赖代理梯度或特征分布优化的传统后门，ChemBack 仅通过标准的分子指纹谷本相似度便在潜空间表征中达成了与复杂优化相当的流形对齐效果（验证了高谷本相似度直接对应更低的干净模型马氏距离 $\mathrm{MD}^2$），设计极其简洁优雅。
分阶段协同防御视角：论文清晰地划分了流水线准入检查（ChemGuard 过滤无效输入）与后验表征防御（如 RIGBD、Spectral Signatures 处理已准入样本）的职责边界，提出了多阶段纵深防御才是构建稳健分子学习系统的唯一途径。

局限与展望¶

触发器动作空间的受限性：当前 ChemBack 仅考虑了单步单键的基团拼接操作，尚未覆盖更复杂的化学反应级变换（如多环稠合或原位分子重排），攻击面仍有进一步拓展的可能。
未囊括更高阶的药物化学过滤规则：ChemGuard 虽验证了价态规范与图字符串一致性，但尚未集成如合成可及性分数（SAScore）、Lipinski 五规则或针对特定分析靶点的药物化学筛选漏斗，部分高相似度样本在专业药化专家肉眼审视下可能仍显生硬。
更强的防御联合机制仍待探索：目前的后验鲁棒模型（如 RGCN、PGNNCert）虽然能对 ChemBack 造成一定的 ASR 削弱，但仍难以彻底清除已完全符合化学规律的后门信号，亟需研发针对化学基团语义的联合检测防御框架。

评分¶

新颖性: ⭐⭐⭐⭐⭐ 首次系统性揭示分子图后门评估中的准入脱节盲区，并提出兼顾化学一致性与无模型目标对齐的全新攻击思路。
实验充分度: ⭐⭐⭐⭐⭐ 覆盖 4 个核心基准、2 个十万级大规模数据集、GROVER 预训练模型、3 套独立化学工具包及 7 类主流后门防御体系，证据极其详实。
写作质量: ⭐⭐⭐⭐⭐ 逻辑结构严谨连贯，从发现漏洞、形式化协议到提出针对性方法并层层剖析，论述丝丝入扣。
价值: ⭐⭐⭐⭐⭐ 为分子科学与计算化学中的深度学习系统安全评测确立了新的准入基准，具有重大的实际工程指导与学术警示意义。