本文提出 AttackGNN，这是首个针对硬件安全领域基于图神经网络（GNN）技术的红队攻击框架。近年来，GNN 被广泛用于集成电路硬件安全任务，如检测知识产权盗版、硬件木马检测与定位、电路逆向工程和硬件混淆等，并取得了很高的准确率。然而，这些技术本身可能被对抗样本所欺骗，从而在安全关键场景中引入严重风险。为了系统评估其鲁棒性，作者设计了一个基于强化学习（RL）的智能体，用于生成对抗性电路样本，以诱骗目标 GNN 模型。研究中解决了三个核心挑战：有效性（攻击成功率）、可扩展性（适用于大规模电路）和通用性（跨不同问题类别）。作者针对四类硬件安全问题的五种 GNN 防御技术进行了攻击测试，包括 IP 盗版检测、硬件木马定位、逆向工程和硬件混淆。实验结果表明，生成的对抗性电路能够以 100% 的成功率欺骗所有被测试的 GNN 模型，例如让防御系统将盗版电路误判为正常，或将植入木马的电路误判为安全。这项工作揭示了当前 GNN 硬件安全防御的脆弱性，并强调了在部署前进行对抗性评估的必要性。适合硬件安全研究人员、AI 安全工程师和集成电路设计者阅读，以理解 GNN 模型的潜在弱点并开发更鲁棒的防御机制。

本文研究了一种针对图神经网络（GNN）的数据无模型提取攻击。传统的模型提取攻击通常需要访问目标模型的训练数据或大量查询，但在实际场景中，攻击者可能无法获取原始数据。作者提出了一种基于生成对抗网络（GAN）的方法，无需任何真实训练数据即可高效窃取GNN模型。具体地，攻击者首先训练一个生成器来合成与目标模型训练数据分布相似的图数据，然后利用目标模型对合成数据的预测作为标签来训练替代模型。通过交替优化生成器和替代模型，最终得到一个高保真度的克隆模型。实验在多个图分类和节点分类任务上进行，结果表明该方法在模型精度和迁移性上均优于现有基线，且对目标模型的结构和参数类型具有通用性。该工作揭示了GNN在数据不可见场景下面临的严重安全威胁，为后续防御研究提供了重要参考。

该论文提出名为 TYGR 的系统，利用图神经网络（GNN）对剥离后的二进制文件进行类型推断。在逆向工程中，二进制文件通常经过编译优化且被剥离符号信息，导致变量类型丢失，给漏洞分析和恶意软件检测带来困难。TYGR 通过将二进制代码的中间表示构建为图结构，结合节点特征（如指令操作码、操作数类型等）和边特征（控制流、数据流依赖），训练 GNN 模型来预测每个变量的原始类型（如整数、指针、结构体等）。实验在多个真实世界数据集（包括不同编译器和优化级别的二进制）上进行，结果表明 TYGR 在类型恢复准确率上显著优于现有基于规则或传统机器学习的方法，尤其在处理复杂指针和结构体类型时表现突出。该工作不仅提升了二进制分析的自动化程度，还为后续的漏洞挖掘、恶意软件行为分析等任务提供了更可靠的类型信息基础。

随着物联网（IoT）的快速发展，其网络安全性面临严峻挑战。IoT网络具有动态拓扑、流量不均衡、攻击模式复杂等特性，与通用IT网络存在显著差异。现有基于图神经网络（GNN）的入侵检测方法在处理节点和边特征、捕获细粒度异常方面存在不足。为此，本文提出SKGFusionKAN，一种面向IoT的入侵检测新方法。该方法在GraphSAGE的基础上，引入多尺度选择性核注意力机制，能够自适应提取不同流量条件下的节点和边特征。具体而言，边缘导向的消息传递增强了信息传播效率；选择性核注意力从不同尺度自适应加权边缘信息以处理异构性；门控融合过程动态整合多尺度特征，提升对演化攻击的鲁棒性。最后，采用Kolmogorov-Arnold网络（KAN）进行分类，其优异的非线性建模能力有助于检测复杂、低频的攻击。据作者所知，这是首个将GNN与KAN进行综合集成并针对IoT入侵检测进行架构创新的工作。在四个网络入侵检测数据集（NIDS）上的实验表明，SKGFusionKAN在二分类和多分类任务中均持续优于当前最先进方法，展示了其在IoT安全领域的潜力。

随着图神经网络（GNN）在电路设计与分析等关键任务中成为标准工具，其安全与隐私风险亟需关注。本文首次系统评估了梯度泄露攻击（GLA）对电路设计与硬件安全任务中GNN的威胁——这一实际风险此前被严重忽视。作者在标准网表基准（ISCAS'85、EPFL、TrustHub）上训练了包括GraphSAGE、GCN、GIN和GAT在内的多种主流GNN模型，测试其面对GLA的脆弱性。实验表明，GLA能够泄露敏感信息，例如门类型和硬件木马的独特特征，这可能帮助攻击者分析逻辑锁定方案或规避木马检测机制。分析发现，风险受架构影响：注意力机制（GAT）加剧泄露，而单射聚合（GIN）表现出相对较强的鲁棒性。研究还评估了多种先进防御技术，包括差分隐私、梯度裁剪、安全聚合、量化模型压缩和对抗训练，发现这些方法仅在特定设置下提升鲁棒性，且可能损害模型性能。本文为隐私保护的GNN提供了关键见解，并强调需要更强健和高效的防御。作者公开了完整方法和实验成果。

控制流证明（CFA）是一种安全服务，允许验证者远程验证计算机系统上代码执行的完整性。然而，现有的CFA方案存在不切实际的假设，例如需要访问证明者的内部状态（如内存或代码）、完整的控制流图（CFG）、大量的测量数据或定制硬件。此外，现有方案计算开销大、资源占用高，不适合资源受限的嵌入式设备。本文提出RAGE，一种新颖的轻量级CFA方法，旨在克服现有方案在嵌入式设备上的局限性。RAGE仅需极少的假设即可检测代码复用攻击（CRA），包括控制数据攻击和非控制数据攻击。其核心思路是利用执行轨迹、执行图和执行嵌入之间的对应关系，消除对完整CFG的不切实际需求。RAGE从单次执行轨迹中高效提取特征，并利用无监督图神经网络（GNN）来识别与良性执行的偏差。作者在嵌入式基准测试上评估RAGE，结果显示：（1）成功检测40个针对嵌入式软件的真实攻击；（2）在真实嵌入式软件基准Embench上，针对合成面向返回编程（ROP）和数据导向编程（DOP）攻击，F1分数分别达到98.03%和91.01%，同时保持3.19%的低假阳性率；（3）在数百万设备使用的OpenSSL上，ROP和DOP攻击检测的F1分数分别为97.49%和84.42%，假阳性率为5.47%。该工作表明，无监督GNN能够有效降低CFA的资源需求，为嵌入式系统提供实用的安全证明方案。

随着集成电路供应链的全球化，硬件安全威胁如硬件特洛伊木马（HT）和知识产权（IP）盗版日益严重。图神经网络（GNN）作为处理图结构数据的强大深度学习方法，已被广泛应用于检测此类威胁。然而，GNN容易受到后门攻击，攻击者可恶意操纵输出预测以满足其目标。现有后门攻击通常使用随机生成子图或梯度引导生成子图作为触发器，但这些触发器在基于GNN的硬件安全应用中不切实际，因为它们无法保证保留电路功能。本文提出GRAFT，一种针对基于GNN的硬件安全系统的基于图元（graphlet）的后门攻击方法。GRAFT在寄存器传输级（RTL）或门级设计中嵌入图元触发器，同时保留电路的原始功能。在ISCAS-85和TrustHub数据集上的实验表明，GRAFT能有效逃避HT检测和IP盗版检测，攻击成功率（ASR）高达100%。该方法揭示了GNN在硬件安全领域的新脆弱性，为防御者提供了研究后门攻击机制的新视角。

针对图神经网络（GNN）的现有隐私分析大多继承自非图数据场景的假设，忽略了结构依赖性和随机训练图采样。尤其是节点相关的先验导致仅凭第一类和第二类错误无法充分刻画最佳成员推断测试。为此，本文提出贝叶斯成员隐私（BMP），一种采样感知的节点级成员隐私定义，将节点相关的先验和图采样概率纳入攻击者知识。BMP将成员推断建模为贝叶斯假设检验，并通过后验成员概率量化成员隐私。论文探讨了BMP与现有定义之间的理论关系，并进一步提出一种实用的、采样感知的审计机制来估计BMP参数，作为GNN节点级隐私泄露的度量。在基准图数据集上的实验表明，BMP能提供比全局攻击精度更细粒度的隐私洞见。

本文提出CARIBOU框架，一种面向多层图神经网络的隐私保护方案。核心创新在于将收缩图层（Contractive Graph Layer, CGL）与收敛隐私会计相结合，实现边缘级差分隐私（EDP）和节点级差分隐私（NDP）下的深度聚合，同时保持较高的模型效用。传统GNN隐私保护方法往往在深层网络中面临隐私预算快速耗尽或效用严重下降的困境。CARIBOU通过设计收缩消息传递机制，限制每一层信息的扩散幅度，从而在不显著增加敏感度的情况下支持更多层的聚合。结合收敛隐私会计，能够更精确地追踪总体隐私损失，避免过估计。实验表明，在多个图基准数据集上，CARIBOU在相同隐私预算下比现有方法显著提升分类准确率，尤其在深度GNN中优势更为明显。该工作为隐私敏感场景下的图数据分析提供了可行方案。