最优传输引导的针对图神经网络机器人检测的对抗攻击

在真实社交约束下，GNN bot检测器能否被仅改目标账户关联边的逃避攻击误导。

• 场景：作者称bot扭曲互动、放大错误信息并大规模操纵公共讨论。检测器已结合资料、内容与连接，但真实对抗条件下的稳健性仍不清楚。
• 现有方法：作者称已有图攻击多只受固定预算限制，可任意改特征或翻转边；这与bot不能任意重连、不能立刻获得高声誉连接的部署条件不符。
• 观察：作者认为最优传输可在部分可观测与行为合理性约束下比较局部邻域。作者称单个人类关注者能在81.50%的情形误导SOTA检测器（引言对Figure 1）。
• 提出：方法为BOCLOAK，用时空邻域上的传输计划生成稀疏边编辑与节点注入。作者称这是最优传输用于社交bot检测和GNN攻击的首次应用。
• 威胁模型：
  • 目标：测试时逃避，使注入或被编辑的bot被固定检测器判为human；不做投毒或可用性攻击。
  • 知识：论文称为black-box。可看训练图、标签和特征模式；不知结构、参数、梯度或输出分数，不能查询或看logits。通过账户年龄等元数据观察账户是否被标记、移除或仍活跃。
  • 能力：只改目标vt的关联边，预算为B。出边可自由选；不能强制人类回关，也不能改其他节点的边、特征、标签或元数据。注入时可指定非时间资料与内容特征。
  • 受害系统：部署的GNN bot检测器，包括vanilla检测器，以及通常不预知具体攻击的defended检测器。

相关工作按检测器、通用图攻击和bot逃避组织；作者把本文放在领域与时间约束下的邻域传输上。

• 社交bot检测：Ferrara等（2016）、Varol等（2017）、Kudugunta与Ferrara（2018）用监督分类器，随后工作转向更明确使用社交结构的图检测器。Cresci-2015、TwiBot-20、TwiBot-22把用户属性、节点与边类型纳入评测；BotSim-24（Qiao等，2025）用来展示LLM驱动的bot会降低已有检测器表现。作者把BotRGCN、S-HGN、RGT当作受害模型。
• GNN对抗攻击：Nettack（Zügner等，2018）贪心改受害节点周围的特征与边；FGA（Chen等，2018）用梯度显著性选边重连；GOttack（Alom等，2025）利用节点轨道学习可迁移扰动；PR-BCD（Geisler等，2021）把拓扑攻击写成邻接扰动上的连续优化。LR-BCD（Gosch等，2023）加入节点级局部预算，PGA（Zhu等，2024）把全局预算分给脆弱节点，EvA（Akhondzadeh等，2026）用进化式black-box程序优化离散扰动。
• bot逃避：Cresci等（2019；2021）的特征空间攻击不使用网络结构。Wang等（2023；2025）与Liu等（2024）引入辅助bot做节点编辑以逃避；作者称它们没有刻画脆弱局部邻域，也没有说明如何在时间与领域约束下构造这些邻域。
• 基线与数据：节点编辑基线为Nettack、FGA、PR-BCD、GOttack；数据为Cresci-15、TwiBot-22、BotSim-24。作者称在其可行性规则下，没有可直接比较的既有社会图节点注入攻击，故注入对照为random。

作者称差别有两点：逃避被写在领域与时间感知的邻域分布上，并学习显式的人/bot地面代价；攻击被优化去模仿误分类bot，同时遵守节点注入、度与时间约束。作者称LR-BCD与EvA并非围绕不能强制人类回关等社交可行性设计，PGA是全局预算分配，而不是逐目标的测试时逃避。

BOCLOAK把局部邻域而不是单条边当作操作对象：先学习人与bot可分开的最优传输几何，再把传输计划解码成满足社交约束的稀疏边编辑或节点注入。

问题设定与约束

• 图与检测器：社交平台被写成有向图，节点是账户，边是关注，特征来自资料、帖子或推文。检测器做半监督节点分类，标签为human或bot。攻击发生在测试时，模型保持固定。
• 可行集：所有约束结果共用同一可编辑集合。编辑数不超过预算；每条编辑都与目标vt关联；禁止人类到bot的强制回关；方向不合法或时间不一致的编辑被拒绝。不能改写无关区域，也不能改非目标节点的特征、标签或元数据。
• 两种场景：节点注入加入新bot并只加边；节点编辑修改已有bot的关联边，可加可删。注入被写成初始没有关联边的编辑特例。

邻域测度与传输几何

• 表示：实验使用1-hop ego邻域。每个邻居被编成固定维特征，含静态、行为、内容与时间信息；附录C.1列出字段。权重是结构项与时间项的乘积，作者称邻居只有同时具备结构信息与时间合理性才获得高质量。
• 距离：地面代价由神经网络嵌入和可学习半正定矩阵上的马氏距离定义。节点距离为D_\theta(v,\xi)\triangleq\langle P^\star_{v\xi},C_{v\xi}\rangle，即熵正则最优计划与代价矩阵的内积。计划用Sinkhorn迭代计算。
• 为何用传输：作者称同质性或嵌入相似度只能说明两个邻域接近，不能指出预算下哪部分邻居质量应对齐；耦合用来挑出可解码成目标关联边的少量高质对应。

边界cloak与攻击目标

• 边界：对每个bot，间隔等于到最近人类的传输距离减去到最近其他bot的距离。不超过验证集阈值的bot进入边界集；再用预训练分类器的预测，取出被判为human的bot。候选模板是二者交集。
• 模板选择：作者称优先用误分类bot而不是真人，因为已有bot更可能保留推广或协调所需连接；模仿任意人类可能逃避检测，但产生不了有意义的互动。没有bot模板时，退回传输空间中附近的人类邻域。
• 目标：在可行集内让编辑后的目标邻域靠近某个cloak，并惩罚不合理编辑与编辑条数。作者称直接优化离散边集不可行，因此先离线学距离，再选少量边界模板，最后解码。

解码与训练

• 解码：比较cloak与其最近人类的传输计划，取出高质量的cloak侧邻居，转成目标的关联边，并施加预算与可行性约束。注入时这些边构成新节点的初始邻域；编辑时替换或增补已有关联边。算法见附录Algorithm 1与Algorithm 2。
• 损失：BCE代理塑造传输间隔，稀疏项惩罚弥散计划，合理性项惩罚度或账户年龄不匹配的传输质量。
• 固定参数：Table 8给出ε=0.2、Sinkhorn迭代30次、边界阈值0.1、BCE温度0.01、三项损失权重2、0.05、0.10，度与时间权重0.8与0.2，边界bot上限50，模板最多复用3次。一次局部传输的时间与空间随两个邻域大小及Sinkhorn迭代次数增长，而不随全图节点数增长。

实验设置

• 检测器：GCN、GAT、BotRGCN、Simple-HGNN（S-HGN）、RGT。主防御为GNNGuard、GRAND、RobustGCN；NoisyGNN只加在TwiBot-22的BotRGCN上。
• 数据：Table 1中Cresci-15有5,301节点、14,220边，TwiBot-22有1,000,000节点、170,185,937边，BotSim-24有2,907节点、46,518边。划分遵循数据集作者给出的训练、验证与测试协议。
• 对照：节点编辑为Nettack、FGA、PR-BCD、GOttack；附录另有FGA-mod、PR-BCD-mod、LR-BCD与Homophily。节点注入对照为random。
• 协议：每条件均匀抽取50个原图上被正确判为bot的目标，攻击前重置图。编辑可加减边，注入只加边，都不能制造人类回关。约束列共用预算与可行集；基线沿自身排序提案过滤不可行编辑，不加入BOCLOAK的信息。
• 指标与干净性能：误分类率是目标中由bot翻成human的比例。Table 10报告F1。作者称实现达到或超过已报告的干净准确率；vanilla BotRGCN的F1在三数据集上为0.98、0.58、0.96。
• 未写明项：k=1。论文写明防御通常不预知具体攻击。论文未报告独立重复次数。节点编辑表列出GAT、BotRGCN、S-HGN；GCN与RGT出现在Table 10和注入表。

主结果

Table 2为Δ=1、五十个原被正确分类bot的误分类率（%）。下表只列部分列，省略PR-BCD。

表格较宽，可左右滑动

条件	Nettack	FGA	GOttack	BOCLOAK
Cresci-15 BotRGCN无约束	94.67±6.55	96.89±4.81	98.54±12.40	99.34±0.29
Cresci-15 BotRGCN约束	4.32±2.10	3.95±2.44	3.55±2.34	99.34±0.29
TwiBot-22 BotRGCN约束	9.33±3.06	4.00±2.00	6.89±3.33	86.67±2.31
BotSim-24 BotRGCN约束	0.00±0.00	0.00±0.00	0.00±0.00	58.22±7.20
TwiBot-22 S-HGN约束	5.03±4.72	5.79±6.52	5.55±7.98	97.42±1.39
BotSim-24 GAT约束	5.52±1.92	5.79±1.91	7.08±3.06	88.74±3.12

• 约束落差：作者称无约束时SOTA可以有效，加上社交领域约束后下降。Table 2里BotRGCN vanilla的BOCLOAK，无约束与约束两列数字相同。省略的PR-BCD在BotRGCN约束Δ=1上为4.10%、8.67%、2.00%。
• 作者的总括：作者称Cresci-15上约束SOTA由Δ=1的3–9%到Δ=5的12–23%只温和上升，仍低于BOCLOAK；并称比最佳约束SOTA高80.13%。摘要写的是up to 80.13%。
• 例外：BotSim-24、BotRGCN、+GRAND、约束、Δ=1，FGA为54.98±1.33，同表该行其余FGA防御格为0.00±0.00，与BOCLOAK的54.98±2.45相同。

节点注入

• 低预算：Table 13中BOCLOAK、Δ=1、vanilla：Cresci-15上GCN至RGT为99.12%、98.76%、97.94%、98.31%、99.43%；TwiBot-22为97.85%、96.92%、98.14%、97.26%、98.67%；BotSim-24为18.30%、15.20%、14.50%、12.33%、13.50%。
• 预算与random：Table 13中BotSim-24、BotRGCN的BOCLOAK在Δ=5为47.49%，Δ=20为67.49%。Table 15中random、BotRGCN、Δ=20为Cresci-15 96.67%、TwiBot-22 96.67%、BotSim-24 22.00%；同表BOCLOAK、Δ≤5在BotSim-24为47.49%至40.68%。作者称较易基准上高预算random也能接近高成功率，BotSim-24上BOCLOAK随预算变化更明显。
• 复用：Table 14在Cresci-15与TwiBot-22的Δ=1注入复用为100.00%；Table 18中BotSim-24、BotRGCN、Δ=1的编辑复用为0.00±0.00。作者称反复使用同一最像人类的模板会形成单点失败。

约束对照与NoisyGNN

• 环内投影：Table 20在TwiBot-22、BotRGCN、编辑、Δ=1、约束下，FGA-mod为7.11%，PR-BCD-mod为13.21%，LR-BCD为9.86%，Homophily为13.12%，BOCLOAK为86.67%。作者称这些对照只小幅提高约束基线。
• 噪声防御：Table 11同一设置加NoisyGNN后，Nettack、FGA、PR-BCD、GOttack为4.34%、3.65%、5.45%、4.11%，BOCLOAK为85.12%。作者称隐状态噪声没有去掉BOCLOAK所利用的、领域上可行的邻域脆弱性。
• 去掉约束：Table 19在Δ=5、TwiBot-22、BotRGCN vanilla上，GOttack为99.55%，BOCLOAK为94.00%；BotSim-24、+RobustGCN上BOCLOAK为44.00±19.16%，GOttack为90.72±4.93%。作者称无约束成功很大程度上来自不可行编辑。

其他消融与分析

• Table 3，vanilla BotRGCN、Δ=5、去掉λBCE：标为Cresci-17的一行为38.21%，TwiBot-22为22.45%，BotSim-24为32.45%；完整BOCLOAK为99.67%、94.00%、99.33%。附录Table 21把同一组vanilla数字标为Cresci-15。
• 同表去掉λsp后为96.88%、92.12%、96.55%；去掉λpl后为57.99%、55.23%、60.34%。作者称BCE间隔项是主要贡献项。
• Table 22，ε=0.2且τbdry=0.10时，三数据集为99.67%、94.00%、99.33%；ε=100时为13.83%、22.00%、18.23%。作者称过小的ε使计划变尖，过大则变弥散。
• Table 12，Δ=5、BotSim-24、BotRGCN、BOCLOAK：vanilla 99.33%，+RobustGCN 66.20%。
• Table 23，TwiBot-22、vanilla BotRGCN、Δ=1：BOCLOAK用时0.5±0.14秒、GPU 13±2 MB；GOttack用时853.9±19.95秒；PR-BCD的GPU为6178±4 MB。作者称GPU内存最多低99.80%，并称足迹为13MB；Table 4的BotSim-24 GPU为11±1 MB。
• 附录实践统计写，TwiBot-22对BotRGCN、Δ=5、50次试验翻转48/50。Figure 1图注称误分类bot更常与人类有边，尤其是入边；正文抽取未把柱上的295、460、342、340、485、1036、1885、4590对齐到类别。

作者指出的局限与后续方向

• 特征固定：第5节Limitation段写明，研究全程假设特征向量固定。作者称实际中推文等内容会随时间变化，并影响检测与逃避；建模这些效应需要时间分辨的内容与元数据，而这类数据尚不可用。
• 其余：Conclusion没有另列局限或后续工作。附录X给出一种针对邻域分布的防御设想，但没有把它写成未来工作。

实验覆盖范围

• 数据与检测器：实验使用Cresci-15、TwiBot-22、BotSim-24。被评检测器为GCN、GAT、BotRGCN、S-HGN、RGT，共5个（第5节、Table 10、Table 13）。
• 攻击与防御：节点编辑对照包括Nettack、FGA、PR-BCD、GOttack，以及附录的FGA-mod、PR-BCD-mod、LR-BCD、Homophily（Table 20）。防御评测包括GNNGuard、GRAND、RobustGCN；NoisyGNN报告在TwiBot-22/BotRGCN（Table 11）。论文写明这些防御通常不预知具体攻击。
• 规模与预算：每个所列条件使用50个目标。编辑预算在Table 2为Δ=1，附录Table 12含Δ=3与Δ=5；注入另报告Δ=20（Table 13、Table 15）。
• 知识设定：第3.1节写明为black-box测试时逃避，攻击者不能查询模型或观察logits，也不考虑投毒与可用性攻击。BOCLOAK不使用代理梯度（Table 8写surrogate为none）。
• 论文未报告：独立重复次数；节点编辑表未列出GCN与RGT的误分类率。附录12的表头仍为GAT、BotRGCN、S-HGN。

BOCLOAK是针对GNN社交bot检测器的测试时逃避方法，用来检查领域约束下的稳健性。

• 问题：作者认为，bot不能任意重连用户或立刻获得高声誉连接，也不能强制人类回关；只受固定预算限制的通用图攻击因此与部署条件不符。
• 做法：把1-hop邻域写成时空特征上的概率测度，离线学习人与bot可分的传输代价。误分类且靠近边界的bot充当cloak，传输计划被解码成只作用于目标、受预算和可行性限制的边编辑或新节点注入。检测器固定，论文将设定写为black-box。
• 编辑结果：Table 2在Δ=1、约束、BotRGCN上，BOCLOAK的误分类率为Cresci-15的99.34%、TwiBot-22的86.67%、BotSim-24的58.22%。同表约束下的Nettack、FGA、PR-BCD、GOttack多在个位数或0.00%；例外是BotSim-24、BotRGCN、+GRAND上的FGA，为54.98%。
• 其他结果：Table 11中，TwiBot-22、BotRGCN加NoisyGNN后，BOCLOAK为85.12%，四种通用攻击低于6%。Table 13中Δ=1注入在BotSim-24、BotRGCN上为14.50%，在Cresci-15的RGT上为99.43%。作者称约束下成功率比最佳SOTA高80.13%，摘要写up to 80.13%；并称GPU内存少99.80%。
• 作者结论：作者认为最优传输提供了一种轻量框架，把对抗编辑和带领域约束的bot检测连起来；并称在无领域限制的设置下同样有效。第5节写明，内容随时间变化这一因素尚未建模。