LLM 能否骗过图学习？探索文本属性图上的通用对抗攻击

如何在黑盒下设计可跨GNN与LLM架构迁移的TAG通用对抗攻击，以评估文本属性图学习的安全性。

• 场景：TAG在节点上同时使用文本与拓扑。作者认为这种融合提高表达力，也通过文本模态暴露新的对抗面；backbone既有GNN reasoner也有LLM reasoner，需要通用攻击来检查稳健性并降低误用风险。
• 现有不足：作者称既有攻击通常改边或节点特征，难以解释和操纵文本；嵌入空间攻击不实用且难解释；文本级注入仍弱于嵌入空间攻击。引言还称图攻击在LLM驱动的图学习中更弱。
• 假设：作者认为LLM能生成语境相关但具误导性的内容，因而可作图攻击者；关键是在无梯度时，让拓扑编辑与文本编辑指向同一错误标签。
• 方法：提出BadGraph：检索目标influencer，构造跨模态对齐的攻击捷径，再由LLM联合扰动邻接与节点文本。作者另给出同质性保持上界和Cross-Modal Shortcut Theory。
• 威胁模型：
  • 目标：构造G'=(A', S')，使模型输出预定错误标签Y'。
  • 知识：black-box evasion，不能访问架构、参数、训练过程或文本编码器。
  • 能力：只在测试时做与架构无关的通用攻击；边编辑不超过b_A，文本编辑不超过b_S。
  • 受害系统：TAG节点分类中的GNN reasoner与LLM reasoner，且同一扰动图要跨异构backbone迁移。

按引言和Related Work，相关工作可分成三组。

图对抗攻击

• Evasion与poisoning：Nettack（Zügner等，2018）用贪心策略改边；Li等（2024）把黑盒evasion扩展到可解释性设置。Poisoning方面，SBAC（Dai等，2024）注入语义触发节点，EPD（Liu等，2025）区分良性增强与对抗操纵，GOttack（Alom等，2025）用orbit结构操纵攻击GNN。作者称这些工作忽略了LLM时代基于文本的攻击接口。
• 结构或特征扰动：作者称预算约束下改边或节点特征的攻击难以处理TAG文本，并与Guo等（2024）、Zhang等（2024）关于LLM驱动图学习中图攻击更弱的发现一致。

LLM生成的攻击

• 提示与其他域：PromptAttack（Xu等，2023）用对抗提示诱导目标LLM产生有害输出；PAIR（Chao等，2023）用攻击者LLM迭代生成越狱提示。Attack-in-the-Chain（Liu等，2025）用思维链攻击神经排序；CheatAgent（Ning等，2024）用LLM智能体攻击推荐系统。
• 图上的文本注入：WTGIA（Lei等，2024）做文本级注入。作者称其效果随文本可解释性上升而下降，且弱于嵌入空间攻击。

TAG上的两类reasoner

• GNN reasoner：先用语言模型编码节点文本，再经GNN传播。作者提到编码从TF-IDF转向OFA（Liu等，2023）和TAPE（He等，2024）。
• LLM reasoner：把图改写成LLM可处理的形式，提示冻结LLM（Chen等，2024），或重训图相关tokenizer（Chen等，2024，LLaGA）。作者认为关键在于如何描述TAG以引出图推理。

基线与数据

• 基线方法：RND、FLIP、STACK、PGD、NETTACK、SGAttack、WTGIA。对比时假设攻击者不知道嵌入技术；基线统一用BoW特征、GCN代理，以及每节点至多两次边扰动（附录A.3、A.4）。
• 基准/数据集：Cora、OGBN-Arxiv、OGBN-Products。

作者称，据其所知本文是首个跨多种图学习模型的通用TAG对抗攻击；区别在于用LLM在黑盒下同时扰动拓扑与文本，而不是只改结构、特征或做文本注入。

BadGraph采用检索后再推理：先找语义远离的influencer，再让LLM生成与之对齐的拓扑和文本扰动，使同一扰动图可接到不同TAG backbone。

攻击目标

式(1)要求 f_θm^(k)(A′, S′) → Y′, m ∈ {GNN, LLM}。含义是同一扰动图要让第k个GNN或LLM reasoner输出预定错误标签，边与文本的编辑次数分别不超过b_A、b_S。论文把每节点拓扑预算设为b_Ai=2，即一次加边和一次删边。

目标influencer检索

• 动机：作者称无梯度时若对所有节点对询问LLM，查询量为O(V^2)，且缺少图先验，难以定位有效扰动区域。
• 检索：用GraphEncoder把图编成节点嵌入，编码器可以是GCN、GAT等GNN。对目标节点按余弦不相似度取top-K个最不相似节点，作为influencer集合。附录A.4写明K=5；Cora与Products用GAT，Arxiv用GIN。
• 作用：这些节点提供指向错误标签的捷径先验，把后续LLM推理限制在小集合上。作者称表达力更强的编码器会带来更强、更可迁移的扰动。

拓扑扰动

• 引出图知识：对目标节点的1-hop邻域和节点文本做结构化提示，得到邻接原因摘要，作为后续编辑的依据。
• 删边：在1-hop邻居中选择与目标语义最相关的节点并删除该边，以削弱支持原标签的局部结构证据。
• 加边：在influencer集合中选择与目标最不相关的节点并连边，把局部连接引向该influencer的标签。作者称这把边决策复杂度从O(N^2)降到O(N)。

文本扰动

• 同一锚点：文本侧沿用加边所选的同一个influencer，先从其特征文本中抽出一个能反映其类别的关键词。
• 改写约束：在文本预算b_Si内修改目标节点文本，保留部分原有词语，并纳入该关键词，使语义偏向influencer的类别。Cora与OGBN-Arxiv的节点文本是论文标题；OGBN-Products用商品名，缺名时用商品描述。
• 查询：作者称每个目标节点只需两次LLM查询。主实验攻击者模型为DeepSeek-V3，经API生成拓扑与文本扰动。正文给出了分步提示的作用，此处不复述其句式。

理论解释

• 同质性上界：假设文本编码器Lipschitz连续。作者给出全局同质性变化被边扰动比与文本嵌入漂移共同上界约束（式11），用来解释小预算下扰动不易从全局同质性看出。
• 跨模态捷径：结构捷径把目标连到influencer，文本捷径把节点文本推向同一节点。作者将联合效应写成 Δ_joint ≈ Δ_δA,δS > Δ_δA+Δ_δS，即对齐的跨模态扰动强于两个单模态之和。

实验设置

• 数据：Cora为2708节点、5429边、7类；OGBN-Arxiv为169343节点、1166243边、40类；OGBN-Products子集为54025节点、74420边、47类（Table 6）。Cora目标节点用medium split，论文未给数量；Arxiv从medium split抽1000，Products从hard split抽1000。前两者用论文标题，Products用商品名，缺名则用描述。
• 被测模型：GNN reasoner为R-GCN、GIN、GraphSAGE、TAGCN、GCN，编码为TF-IDF、SBERT、TAPE。LLM reasoner为DeepSeek-V3与Mistral-7B，zero-shot，输入文本和2-hop邻域。附录还报告SGCN、RUNG；Table 5报告Qwen-Plus的准确率。
• 攻击侧与基线：主实验攻击者LLM为DeepSeek-V3；检索K=5，Cora与Products用GAT，Arxiv用GIN。基线为RND、FLIP、STACK、PGD、NETTACK、SGAttack、WTGIA。基线用BoW、GCN代理、每节点至多两次边扰动。WTGIA注入节点数为Cora 20、Products 166、Arxiv 166，文本由LLaMA3-8B从嵌入转写。
• 指标：主指标为节点分类Accuracy，越低表示攻击越强。另有3-Max Accuracy（对三种最稳健防御取平均）和按防御稳健性加权的Weighted Accuracy（6.1.4）。Figure 4使用ASR，论文未给出计算公式。
• 重复与协议：每个实验五次；正文称报告平均和标准差，表格未列出标准差。全部攻击在同一black-box设定下评测，攻击者不知嵌入技术。Table 1中SGAttack、WTGIA的若干格子为“-”。

主结果

表格较宽，可左右滑动

模型	条件	Clean	BadGraph	出处
DeepSeek-V3	Cora，LLM reasoner	71.85	17.03	Table 2
DeepSeek-V3	Products，LLM reasoner	77.10	55.80	Table 2
Mistral-7B	Arxiv，LLM reasoner	9.30	2.90	Table 2
GIN	Arxiv，TAPE	77.68	25.22	Table 1
GraphSAGE	Cora，SBERT	86.00	39.93	Table 1
GIN	Cora，TF-IDF	85.93	63.04	Table 1
R-GCN	Arxiv，TAPE	70.00	65.22	Table 1
R-GCN	Products，TAPE	89.54	80.52	Table 1

Accuracy越低，攻击越强。省略了GCN、TAGCN、SGCN、Qwen-Plus，以及其余编码和Mistral-7B的Cora、Products行；表中保留了Table 1里BadGraph准确率较高的Arxiv TAPE R-GCN与Products TAPE R-GCN。Table 1的Arxiv即正文中的OGBN-Arxiv。

• 作者的总括：作者称相对基线，BadGraph在全部已测目标模型与数据集上达到SOTA。摘要与6.2.2写，Cora上DeepSeek预测准确率相对下降76.3%，同设置WTGIA相对下降11.3%。6.2.1另写GNN场景下降近40%（Cora）、52%（OGBN-Arxiv）、约30%（OGBN-Products），未说明是相对降幅还是百分点。
• 特征表达力：作者称更丰富的节点特征更稳健，传统结构攻击对TF-IDF更有效，对SBERT、TAPE影响较小，且在OGBN-Arxiv上有些攻击使准确率上升。Table 1中Arxiv、TAPE、R-GCN的STACK为75.82，高于Clean 70.00。同表BadGraph下，Arxiv、TAPE、GIN为25.22，低于该模型TF-IDF下的41.16。
• 单模态：作者称只改文本或只改结构都更弱。Table 2中Cora、DeepSeek-V3的Our-text为25.55，Our-struct为67.03，Clean为71.85。作者称LLM reasoner更易受文本攻击，并给出text-only相对下降64%、structure-only相对下降6.3%的例子；同表Arxiv、Mistral-7B的Our-struct为4.70，Our-text为4.90。

隐蔽性与开销

• 同质性数字：Table 3在Arxiv、DeepSeek reasoner上，0节点时Acc为64.6%，边同质性0.8184，节点同质性0.4257；1000节点、扰动比0.17%时Acc为22.9%，边同质性0.8182；1500节点、0.26%时Acc为22.6%，边同质性0.8181，节点同质性0.4316。作者称全局同质性几乎不变，编辑是成对的局部改边。
• 图示：作者称Figure 2中WTGIA使Cora边同质性分布偏移更大，BadGraph只有局部小变化。作者称Figure 3的T-SNE中，BadGraph比WTGIA造成更大的边界扭曲和类别纠缠。转写文本未给出图中数值。
• 费用：作者称检索训练复杂度为O(2KNd^2)，检索后每个目标节点的LLM边决策为O(1)；全程经CPU上的API调用，每节点平均约$0.0009。

提示、攻击者模型与锚点

• 提示改写：Table 4在Cora上比较提示变体，标题未写明节点编码。Rephrasing下R-GCN、GCN、GIN、GraphSAGE、TAGCN分别为58.15、58.74、50.74、39.04、54.59；BadGraph行为56.67、56.00、47.04、39.93、51.19。作者称准确率波动在3.7%以内。
• 锚点不一致：Table 4的Anchor Mis.分别为71.63、63.93、71.04、62.59、77.11。作者称跨模态不再共享同一influencer后，攻击效果下降最多22.66%。
• 攻击者LLM：Table 5的攻击者为LLaMA-4-17B、Qwen-Plus、DeepSeek-V3，标题未写明编码。Ours-DeepSeek下GIN为47.04，GraphSAGE为39.93，SGCN为55.63，TAGCN为51.19，Qwen为16.29，DeepSeek为16.29。作者称不同攻击者LLM都有效，更大的模型扰动更精确。

防御下的准确率

• RUNG：Table 7，Cora。TF-IDF下Clean为86.81，BadGraph为62.44；SBERT下Clean为85.45，BadGraph为35.11，WTGIA为85.11，NETTACK为83.56。作者称SBERT下准确率下降超过50%，并称跨模态对齐会误导RUNG的边重加权。
• 对抗训练：Table 8，Cora，编码论文未说明。BadGraph下R-GCN、GCN、SGCN、TAGCN为72.59、75.19、75.19、75.56；相对vanilla的ΔAcc为+1.70、+3.86、+3.93、+1.63。作者称对抗训练后攻击仍然有效。

其他消融与分析

• 编码器（Table 9，Cora，标题未写编码）：GCN编码器下GIN为55.44、DeepSeek为21.11；R-GCN编码器下GraphSAGE为38.52、DeepSeek为19.59；GAT编码器下GIN为47.04、DeepSeek为17.03。GraphSAGE上R-GCN编码器38.52低于GAT的39.93。
• 节点度：Figure 4在OGBN-Products上比较Medium与Hard、SBERT与TF-IDF。作者称低度节点ASR更高；图中数值未随文本给出。主实验Products目标节点取自hard split。
• 案例：6.3.4用DeepSeek展示结构攻击的分步理由，并给出自然语言解释；不复述具体节点文本。
• 汇总指标：附录Table 10给出Average、3-MAX、Weighted。作者称BadGraph在这些汇总上仍最好；转写后部分列可能错位，此处不引用对不齐的格子。
• 高于Clean的格子：Table 1中Arxiv、TAPE、GIN的FLIP为78.48，Clean为77.68；Products、TAPE、R-GCN的STACK为89.58，Clean为89.54。Table 2中Products、Mistral-7B的Our-struct为12.80，Clean为12.20。

作者指出的局限与后续方向

• 论文没有Limits专节，Conclusion也没有把某项实验结果写成当前方法的不足。
• 后续方向：Conclusion写，本文为后续研究打下基础，其中包括autonomous LLM agents for adaptive attacks（Conclusion）。

实验覆盖范围

• 数据：实验使用Cora、OGBN-Arxiv、OGBN-Products子集，规模见Table 6；节点文本为论文标题或商品名/描述（A.1）。
• 被测系统：GNN reasoner包括R-GCN、GIN、GraphSAGE、TAGCN、GCN，编码为TF-IDF、SBERT、TAPE；附录还报告SGCN。LLM reasoner为DeepSeek-V3与Mistral-7B，zero-shot，使用文本和2-hop邻域；Table 5还报告Qwen-Plus的准确率。
• 攻击配置：设定为black-box、test-time。主实验攻击者LLM为DeepSeek-V3；Table 5另比较LLaMA-4-17B、Qwen-Plus、DeepSeek-V3。每个实验重复五次。Arxiv与Products各抽1000个目标节点；Cora使用medium split，论文未报告该split的节点数。
• 防御评测：包括Cora上的RUNG（Table 7，TF-IDF与SBERT）和adversarial training（Table 8）。正文称报告了标准差，表格未给出标准差数值。
• 判定细节：主结果用节点分类Accuracy；Figure 4使用ASR，论文未给出其计算公式。基线侧使用GCN代理和BoW（A.4）。

BadGraph是面向文本属性图节点分类的黑盒通用攻击，用来检查同一套拓扑加文本扰动能否把GNN reasoner和LLM reasoner带向预定错误标签。

• 问题：TAG同时使用节点文本和拓扑。作者认为既有改边或改特征的攻击难以处理文本，嵌入空间攻击又不实用；许多PLM只能经API访问，因而攻击必须是black-box evasion。
• 做法：图编码器按余弦不相似度检索K=5个influencer。LLM对每个目标节点删除一条边、添加一条边，并沿同一个influencer修改节点文本。主实验攻击模型为DeepSeek-V3，作者称每节点两次查询。
• GNN数字：Table 1中，Arxiv、TAPE、GIN的Clean为77.68，BadGraph为25.22；Cora、SBERT、GraphSAGE为86.00对39.93；Products、TAPE、R-GCN为89.54对80.52。作者称相对所列基线达到SOTA，并在6.2.1把GNN场景概括为近40%、52%和约30%的下降。
• LLM数字：Table 2中，Cora、DeepSeek-V3从71.85到17.03，作者称相对下降76.3%；Products、DeepSeek-V3为77.10对55.80；Arxiv、Mistral-7B为9.30对2.90。作者称联合扰动强于只改文本或只改结构。
• 作者结论：同质性上界和跨模态捷径理论用来解释小预算为何仍能改变预测、又不易从全局同质性看出。Table 3在扰动比0.17%时准确率为22.9%，边同质性为0.8182，对照未扰动时的0.8184。作者称这是首个LLM驱动的TAG攻击，并把自适应LLM智能体攻击留作后续工作。