Page 390 - 《软件学报》2025年第5期

2290 软件学报 2025 年第 36 卷第 5 期

针对以上问题, 本文提出了一种基于类别感知的恶意节点检测方法 CAM (class-aware malicious node detection),
该方法基于图神经网络, 以半监督学习的方式对模型进行训练. 为了解决数据不一致问题, 首先使用节点一致性度
量模块来对节点间的一致程度建模, 并基于此构造类别感知注意力系数. 其次使用不一致图神经网络编码器对图
中节点进行编码, 该编码器包含自适应邻域信息聚合, 高阶邻域信息获取与中间层组合 3 种机制. 为了解决数据不
平衡问题, 在分类阶段引入类别感知不平衡损失函数, 以防止数据不平衡导致模型在少数类上过拟合. 此外, 为解
+
决标签稀缺情况下模型效果受限的问题, 对 CAMD 进行优化, 提出基于图对比学习的 CAMD 模型, 通过引入数据
增强、自监督图对比学习、基于类别感知的平衡图对比学习, 使模型可以从未标记数据中学习更多信息, 提高模
型的泛化能力与鲁棒性, 同时较为充分地利用稀缺的标签信息, 进一步提高节点表示向量的区分度. 通过在 5 个真
实世界数据集上进行多组实验, 证明了本文所提方法在恶意节点检测任务中的有效性.

1 基于图神经网络的恶意检测相关工作

随着图神经网络 (graph neural network, GNN) 的发展, 现代算法倾向于利用 GNN 的强大功能学习有效的节点
[1]
表示, 以识别嵌入空间中的异常实例. GEM 提出恶意用户具有设备聚集、行为聚集的特点. 设备聚集是指一个攻
击者或攻击组织往往拥有大量的用户, 这些用户往往会在数量有限的设备上频繁注册或登录, 从而导致在单一设
备上常常登录大量用户, 这些用户表现出设备聚集的特征, 对用于检测有组织的恶意用户具有重要意义 [1] . GEM
构造一种用户-设备异构图神经网络来学习节点表示以挖掘具有这类表现的恶意用户. Liang 等人 [3] 提出在运费险
诈骗恶意用户检测任务中, 基于设备构建图结构可以更好地学习有区分度的节点表示, 此外结合 GeniePath 方法 [4] ,
[5]
使节点在表示学习过程中自适应地选择有价值的邻居信息进行聚合. SemiGNN 针对花呗违约用户检测任务, 基
于用户社会关系和不同属性构建多视角图多方位的用户关系. 然而, 这些方法在设计面向恶意用户检测任务的
GNN 模型时, 都忽略了数据不一致性问题.
一些方法针对恶意用户的行为模式做出分析, 提出恶意节点检测任务场景中存在不一致问题, 不一致性问题
与 GNN 模型的聚合过程有关: 聚合机制基于邻居共享相似特征和标签 [6] 的假设. 当不满足该假设时, 就不能再聚
合邻域信息来学习节点表示. GraphConsis 第 [2] 1 个对该问题进行分析, 构造多关系图并提出了恶意检测任务中的
上下文不一致、特征不一致、关系不一致与对应解决方案. CARE-GNN 在 [7] GraphConsis 的基础上做出了改进, 其
基于节点表示计算相似度, 并使用强化学习寻找最优邻居过滤阈值, 在聚合过程中去除相似度排名在阈值以外的
邻居从而减轻恶意用户伪装行为对节点表示学习造成的干扰. PC-GNN 则基于上采样与降采样的思想, 设计了一
[8]
个标签平衡的图采样器, 为节点选择潜在的邻居并构造子图, 而基于节点表示相似度设计一个距离函数, 为节点删
除冗余的邻居, 同时为数据较稀缺的恶意节点增加距离小且标签相同的邻居. 然而, 这些方法通过改变图结构来解
决数据不一致问题, 在一些情况下可能会造成图信息的损失, 对检测效果造成负面影响.
除了上述通过修改 GNN 的消息传递过程以减少噪声传播的方法, 一些基于对比学习思想的恶意节点检测方
[9]
法提出了新的思路. DCI 提出了一种解耦合训练的方法, 基于图对比学习方法 DGI [10] , 通过最大化节点表示与全
局表示的互信息来训练 GNN 捕获全局信息. GCCAD [11] 将每个节点与图的全局上下文 (例如, 所有节点的平均值)
进行对比, 设计了上下文感知的图对比损失函数以使正常节点与恶意节点的向量表示更有区分度, 此外通过节点
表示向量计算边的可疑度, 并删除可疑边, 基于新的邻接矩阵进行节点表示更新.
上述方法都是基于空间域的 GNN, 近年来一些基于频谱域的恶意节点检测方法也被提出, 这些方法从图信号
的角度进行分析, 提出传统 GNN 模型会过滤掉高频信号, 从而导致其无法区分学习到的异常节点与正常节点, 从
而不可避免地导致图异常检测问题的性能不佳. BWGNN [12] 提出图中恶意节点的存在将导致“右移”现象, 即随着
异常程度的增大, 低频能量逐渐向高频转移, 据此提出 Beta 小波图神经网络. AMNet [13] 提出了一种自适应多频率
GNN 模型用于图恶意节点检测, 设计了一个由 K 个图滤波器组成的滤波器组, 每个滤波器捕获不同频率的图信
号, 通过组合图滤波器捕获不同频率的信息.
H2-FDetector [14] 针对多关系图设计了一种新的信息聚合策略, 通过预测节点间边的性质, 对于不一致边两端的