arXiv cs.AI· Kaixiang Zhao, Bolin Shen, Yuyang Dai, Shayok Chakraborty, Yushun Dong·· 10 小时前AI 评分31
GraphIP-Bench：偷走一个图神经网络有多难，我们能阻止吗？
GraphIP-Bench: How Hard Is It to Steal a Graph Neural Network, and Can We Stop It?
AI 导读
研究者提出统一基准 GraphIP-Bench，在单一黑盒协议下同时评估 GNN 模型窃取与防御，集成 12 种提取攻击、12 种防御、10 个公开图、3 种 GNN 骨干和 3 类图学习任务。
正文 · AI 翻译
摘要：作为云服务部署的图神经网络（GNN）可能通过*模型提取攻击*被*窃取*，这类攻击利用查询响应训练替代模型以复现目标模型的行为，而越来越多的所有权防御试图阻止或追踪此类窃取。本文标题提出两个问题：*窃取 GNN 有多难？*以及*我们能阻止它吗？*此前的工作无法回答其中任何一个，因为实验使用了不一致的数据集、威胁模型和指标。我们提出 *GraphIP-Bench*，一个统一的基准，在单一黑盒协议下评估攻防双方。它集成了十二种提取攻击、十二种防御（涵盖水印、输出扰动和查询模式检测三类）、十个覆盖同配、异配和大规模场景的公开图、三种 GNN 骨干网络以及三种图学习任务，并在共享的数据划分、查询和预算下报告保真度、任务效用、所有权验证和计算成本。我们进一步增加了一个联合攻防赛道，在每一个受防御的目标上运行每一种攻击，并在得到的替代模型上测量水印验证，从而揭示防御在提取后仍保留的保护能力。实证图景很简短：在中等查询预算下窃取 GNN 很容易，且大多数防御无法改变这一点；若干水印在受保护模型上能可靠验证，但在提取出的替代模型上丢失了大部分验证信号，这暴露了单模型评估所遗漏的差距；异配图系统性地更难被窃取，而目标与替代模型之间的跨架构不匹配会降低但不会阻止提取。我们发布 *GraphIP-Bench* 及可复现的脚本和配置，并将攻击与防御集成到 PyGIP 库中。
| 评论： | 已被 NeurIPS 2026 接收。代码：此 https URL |
| 主题： | 密码学与安全（cs.CR）；人工智能（cs.AI）；机器学习（cs.LG） |
| 引用为： | arXiv:2605.12827 [cs.CR] |
| （或 arXiv:2605.12827v3 [cs.CR] 用于此版本） | |
| https://doi.org/10.48550/arXiv.2605.12827 由 DataCite 颁发的 arXiv DOI |
提交历史
来自：Kaixiang Zhao [查看邮箱]
[v1]
2026年5月12日星期二 23:49:45 UTC（936 KB）
[v2]
2026年5月25日星期一 19:09:13 UTC（767 KB）
[v3]
2026年11月4日星期三 18:21:51 UTC（765 KB）
来源：arXiv cs.AI · arxiv.org