[논문 리뷰] Adversarial Recommendation: Attack of the Learned Fake Users

Konstantina Christakopoulou, Arindam Banerjee|arXiv (Cornell University)|2018. 09. 21.

Adversarial Robustness in Machine Learning참고 문헌 28인용 수 3

한 줄 요약

이 논문은 탐지되지 않도록 하면서 추천 시스템을 악성으로 조작할 수 있는 현실적인 가짜 사용자 프로필을 생성하기 위한 기계학습 기반 프레임워크를 제안한다. 추천 시스템과 GAN 기반의 적대적 공격자 간의 이중 플레이어 게임으로 공격를 공식화함으로써, 가짜 프로필의 현실성과 공격 의도를 동시에 최적화한다. 결과적으로 조그만, 학습된 가짜 사용자라도 목표 사용자의 추천 품질을 상당히 떨어뜨릴 수 있음을 입증한다.

ABSTRACT

Can machine learning models for recommendation be easily fooled? While the question has been answered for hand-engineered fake user profiles, it has not been explored for machine learned adversarial attacks. This paper attempts to close this gap. We propose a framework for generating fake user profiles which, when incorporated in the training of a recommendation system, can achieve an adversarial intent, while remaining indistinguishable from real user profiles. We formulate this procedure as a repeated general-sum game between two players: an oblivious recommendation system $R$ and an adversarial fake user generator $A$ with two goals: (G1) the rating distribution of the fake users needs to be close to the real users, and (G2) some objective $f_A$ encoding the attack intent, such as targeting the top-K recommendation quality of $R$ for a subset of users, needs to be optimized. We propose a learning framework to achieve both goals, and offer extensive experiments considering multiple types of attacks highlighting the vulnerability of recommendation systems.

연구 동기 및 목표

• 기계학습 기반 추천 모델이 실제 사용자와 구별되지 않는 적대적 가짜 사용자 프로필에 의해 조작될 수 있는지 조사하기.
• 특정 공격 목표(예: 목표 사용자의 상위-K 추천 품질 저하)를 최적화하면서도 현실적인 평점 분포를 가진 가짜 사용자 프로필을 생성하는 학습 프레임워크 개발하기.
• 기존의 수작업 가짜 프로필 기반 공격(Shilling 공격)과 입력에 대한 변형을 가한 적대적 예제 간의 격차를 추천 시스템 맥락에서 메우기.
• 적대자 지식의 현실적인 가정 하에 저질서 추천 모델이 종단간(end-to-end) 학습된 적대적 공격에 얼마나 취약한지 평가하기.

제안 방법

• 무작위 추천 시스템 $ R $ 과 적대적 가짜 사용자 생성기 $ A $ 간의 반복적인 일반합 게임으로 적대적 추천을 공식화하며, 두 목표를 가진다: (G1) 가짜 사용자 평점의 현실성, (G2) 공격 의도의 최적화.
• 실제 사용자의 평점 분포를 학습하고 이를 모방하는 현실적인 가짜 사용자 프로필을 생성하기 위해 생성적 적대적 네트워크(GANs)를 사용한다.
• 추천 시스템 모델의 기울기 접근이 불가능한 상황에서도 가짜 사용자 프로필을 업데이트하기 위해 0차 최적화를 활용하여 기울기 기반 공격 최적화를 가능하게 한다.
• 실제 평점 분포 및 고유 스펙트럼 유사성 등 현실성과 함께, 목표 사용자나 항목의 예측 평점을 최소화하는 등의 적대적 목표를 동시에 고려하는 손실 함수를 통합한다.
• 적대자가 추천 시스템의 모델 아키텍처를 알고 있으며, 증강된 데이터로 모델을 재학습시킬 수 있어 가짜 프로필의 반복적 개선이 가능하다고 가정한다.
• 가짜 사용자를 학습 데이터에 통합한 후 추천 품질 변화(예: 상위-K 성능)를 측정하여 공격 효과를 평가한다.

실험 결과

연구 질문

• RQ1 기계학습 기반 추천 모델은 실제 사용자와 구별되지 않는 가짜 사용자 프로필에 의해 효과적으로 공격받을 수 있는가?
• RQ2 GAN 기반 생성기는 실제 사용자의 평점 패턴을 모방하면서도 특정 적대적 목표를 달성할 수 있는 정도는 어느 정도인가?
• RQ3 적대자가 추천 시스템 모델의 기울기 접근이 없는 상황에서 0차 최적화 방법이 얼마나 효과적으로 작용하는가?
• RQ4 학습된 가짜 사용자 프로필이 목표 사용자나 항목의 상위-K 추천 품질에 어떤 영향을 미치는가?
• RQ5 예를 들어, 최고 평점을 받는 사용자의 예측 평점을 최소화하는 단일 전략적 조작이 목표 항목의 추천 품질을 광범위하게 악화시킬 수 있는가?

주요 결과

• 제안된 프레임워크는 평점 분포와 고유 스펙트럼 측면에서 실제 사용자와 통계적으로 구별되지 않는 가짜 사용자 프로필을 성공적으로 생성하여 매우 현실적인 수준을 달성한다.
• 공격은 목표 사용자의 상위-K 추천 품질을 상당히 떨어뜨리며, 핵심 발견 중 하나는 목표 항목의 최고 평점을 받는 사용자의 예측 평점을 최소화하는 것으로도 그 항목의 추천 성능을 파손시킬 수 있다는 점이다.
• 다양한 공격 의도(예: 특정 항목의 상승 또는 하락 유도)에 대해 높은 공격 성공률를 기록하며, 추천 시스템 모델에 대한 지식이 제한된 상태에서도 효과적으로 작동한다.
• 실험 결과 GAN 기반 생성기는 수작업 가짜 프로필에 비해 현실성과 공격 효과성 측면에서 뛰어나며, 학습된 접근 방식이 히우리스틱 기반 접근보다 열등하지 않음을 확인한다.
• 이 프레임워크는 적대자가 모델의 기울기를 접근할 수 없더라도, 현실적이고 학습된 가짜 사용자를 통해 데이터 오염 공격에 취약한 추천 시스템임을 드러낸다.
• 결과적으로 현재 추천 시스템은 데이터 수준의 적대적 공격에 대해 충분히 강건하지 않으며, 적대자 인식 기반 방어 기법의 필요성을 시사한다.