金融交易网络天然具有多重图结构：同一对账户之间反复发生的多笔交易被建模为彼此不同的多条边。近期提出的多重图神经网络架构正是显式利用这一结构，在反洗钱（AML）任务上取得了较强性能。然而，这类模型面对刻意操纵交易结构以逃避检测的对抗者时是否稳健，此前几乎没有得到系统研究。Dennis Heijmans 与另外三位作者提交的论文《Towards Adversarially Robust Multigraph Neural Networks for Financial Crime Analysis》填补了这一空白，论文于2026年10月22日提交至 arXiv（编号 arXiv:2610.31718，cs.LG 分类），并已被第五届 Learning on Graphs 会议（LoG 2026）接收，全文共20页、含10幅图和3张表。
作者提出的核心贡献是首个可扩展的多重图神经网络结构攻击与对抗训练框架。该框架基于节点—边关联矩阵（node-edge incidence matrix）来表示图结构，并将投影梯度下降（projected gradient descent）与投影随机块坐标下降（projected randomized block coordinate descent）两种优化方法适配到这类矩阵上，用以优化结构扰动。相较于直接在整个邻接张量上操作，关联矩阵形式使攻击优化在规模较大的交易网络上仍然可行，这是“可扩展”的关键所在。
除攻击方法外，论文还引入了一个基于环（cycle）的正则项。该正则项惩罚有向2环与3环全局计数的变化，从而为攻击的“合理性”提供了一个结构性度量：真实世界中洗钱者调整交易结构时会受制于会计与资金流动约束，随意增删边往往会产生异常环路模式。将这一约束纳入优化目标后，学习到的攻击更接近现实中可能发生的规避行为，而非纯数学意义上的最优扰动。
实验部分覆盖两类数据：一类是合成的模式检测数据集，用于可控地检验攻击效果；另一类是贴近真实场景的AML数据集。结果显示，作者学习到的攻击在降低检测性能（以 PR-AUC 衡量）方面显著优于不可学习的扰动基线，说明多重图神经网络确实容易受到有针对性结构攻击的影响。与此同时，对抗训练——即在训练过程中不断注入此类学习到的攻击样本——能够持续提升模型抵御这些攻击的稳健性，表明对抗训练是一种有效的防御手段。
论文的结论对反洗钱系统的实际部署具有直接含义：仅凭多重图结构建模取得的高检测指标，并不足以保证模型在对抗环境下的可靠性；将结构攻击纳入训练流程，是提升AML模型实用稳健性的可行路径。作者已公开代码，地址为 https://github.com/denheijmans/robust_multignn，便于研究者复现实验并在此基础上继续扩展。需要指出的是，本文的攻击与防御均在关联矩阵表示下进行优化，其可扩展性结论及循环正则项的有效性主要建立在论文所用的合成与真实AML数据集之上，迁移到其他金融网络场景时仍需进一步验证。