GraphIP-Bench 基准测试显示图神经网络易被窃取且多数防御在提取后失效

该论文发布 GraphIP-Bench 统一基准，评估了图神经网络（GNN）作为云服务时的模型窃取难度及防御有效性。研究发现，在中等查询预算下窃取 GNN 非常容易，而大多数现有防御措施无法改变这一结果。研究整合了十二种提取攻击、十二种防御方案以及十种公开图数据，通过黑盒协议进行了系统性对比。

关键证据显示，虽然部分水印技术在受保护的原型模型上能可靠验证，但在提取出的代理模型上却失去了大部分验证信号，这暴露了单一模型评估所遗漏的安全缺口。此外，异构图（heterophilic graphs）比同构图更难被窃取，而目标模型与代理模型之间的架构不匹配虽能降低提取成功率，但无法完全阻止窃取行为。

事实层面，该基准已开源并集成至 PyGIP 库，包含可复现脚本。推断层面，当前基于单一模型的水印防御策略存在严重缺陷，无法应对针对云服务的批量提取攻击。猜测层面，未来防御设计需转向联合攻防评估框架，否则无法真实反映模型在商业部署中的所有权保护能力。