S-GAP: Stealthy Graph Attack Primitives for Graph Large Language Models

📄 arXiv: 2610.23465v1 📥 PDF

作者: Wenda Li, Tongya Zheng, Shunyu Liu, Hanyang Yuan, Kaixuan Chen, Yu Wang, Yuchen Ying, Haoze Jiang, Huan Li, Gang Chen, Zujie Ren

分类: cs.AI

发布日期: 2026-10-16

备注: 8 pages, 4 figures, 3 tables

💡 一句话要点

提出S-GAP以解决图大语言模型的攻击脆弱性问题

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 图大语言模型 对抗性攻击 语义理解 图结构 攻击隐蔽性 多代理框架 攻击原语

📋 核心要点

  1. 现有方法在对抗攻击中将文本和结构扰动分开处理，导致攻击意图不一致，降低了攻击的隐蔽性和有效性。
  2. 本文提出了图攻击原语（GAP），将文本和结构扰动统一在一个一致的攻击意图下，以提高攻击效果和隐蔽性。
  3. S-GAP框架通过多代理迭代优化GAP的语义内容，实验显示其在攻击成功率上平均提升了7.02%，并揭示了GraphLLMs的脆弱性。

📝 摘要（中文）

图大语言模型（GraphLLMs）在文本属性图（TAGs）上实现了强大的语义理解和推理能力，但在对抗性攻击评估中，其语义推理可能对节点文本和图结构的扰动表现出脆弱性。现有攻击方法通常将文本和结构扰动分开构建，导致攻击意图碎片化，从而降低了攻击的隐蔽性和有效性。为了解决这一问题，本文提出了图攻击原语（GAP），它统一了文本和结构扰动，形成一致的攻击意图。进一步引入的S-GAP框架通过多代理迭代优化GAP的语义内容，显著提高了攻击效果，同时保持了攻击的隐蔽性。实验结果表明，S-GAP在多个数据集和图大语言模型上平均提升了7.02%的攻击成功率，揭示了当前GraphLLMs的关键脆弱性。

🔬 方法详解

问题定义：本文旨在解决图大语言模型在对抗性攻击中对节点文本和图结构扰动的脆弱性。现有方法由于将扰动分开处理，导致攻击意图碎片化，降低了攻击的有效性和隐蔽性。

核心思路：提出图攻击原语（GAP），作为一种原子语义表示，统一文本和结构扰动，形成一致的攻击意图。通过精确校准GAP的语义组成，能够在保持隐蔽性的同时提升攻击效果。

技术框架：S-GAP框架包含多个模块，首先进行GAP的规划，然后通过代理迭代优化GAP的语义内容，利用替代评估和文本反馈不断改进攻击策略。

关键创新：最重要的创新在于GAP的提出，它将文本和结构扰动整合为一个统一的攻击意图，克服了现有方法的碎片化问题，从而提高了攻击的隐蔽性和有效性。

关键设计：在设计中，GAP的语义组成经过精细调校，确保在不同攻击场景下的有效性。同时，框架中采用了多代理机制，以实现对GAP的持续优化和评估。

🖼️ 关键图片

fig_0
img_1
img_2

📊 实验亮点

实验结果显示，S-GAP在四个数据集和三个图大语言模型上平均提升了7.02%的攻击成功率，相比于最强基线，生成了更具关系合理性的扰动，揭示了当前GraphLLMs的关键脆弱性。

🎯 应用场景

该研究的潜在应用领域包括网络安全、图数据分析和对抗性机器学习等。通过揭示图大语言模型的脆弱性，研究可以帮助开发更为稳健的防御机制，提升系统的安全性和可靠性。未来，S-GAP框架可能在其他类型的模型和数据结构中得到应用，推动对抗性攻击研究的进一步发展。

📄 摘要（原文）

Graph Large Language Models (GraphLLMs) enable powerful semantic understanding and reasoning over Text-Attributed Graphs (TAGs), while their semantic reasoning may exhibit vulnerabilities to perturbations in node text and graph structure under adversarial attack evaluation. Existing attacks typically construct textual and structural perturbations in separate stages guided by distinct realization intents. However, this separation results in attack-intent fragmentation, causing semantic incoherence between the two perturbation types, thereby undermining attack stealth and making them easier for GraphLLMs to identify and disregard, ultimately weakening attack effectiveness. To avoid attack-intent fragmentation, we propose the Graph Attack Primitive (GAP), an atomic semantic representation that unifies textual and structural perturbations under a coherent attack intent. By carefully calibrating the semantic composition of a GAP, we can achieve strong attack effectiveness while maintaining sufficient attack stealth. Furthermore, we introduce S-GAP (Stealthy GAP), a multi-agent framework that iteratively refines the semantic content of the GAP. The framework unifies GAP planning and realization and continuously refines this process through surrogate evaluation and textual feedback. Extensive experiments across four datasets, three GraphLLMs, and two attack settings show that S-GAP improves ASR over the strongest baselines by 7.02% on average while producing more relationally plausible perturbations, exposing critical vulnerabilities in current GraphLLMs and motivating more robust defenses.