[论文解读] Attacking Black-box Recommendations via Copying Cross-domain User Profiles

Wenqi Fan, Tyler Derr+6 more|arXiv (Cornell University)|May 17, 2020

Recommender Systems and Techniques参考文献 30被引用 6

一句话总结

该论文提出 CopyAttack，一种基于强化学习的黑盒攻击框架，通过从源域复制真实用户画像至目标域，以在推荐系统中推广特定项目。通过利用层次聚类与策略梯度网络，CopyAttack 选择并优化跨域用户画像，以最大化目标项目的命中率，在更低的攻击预算下表现更优，且对检测更具鲁棒性。

ABSTRACT

Recently, recommender systems that aim to suggest personalized lists of items for users to interact with online have drawn a lot of attention. In fact, many of these state-of-the-art techniques have been deep learning based. Recent studies have shown that these deep learning models (in particular for recommendation systems) are vulnerable to attacks, such as data poisoning, which generates users to promote a selected set of items. However, more recently, defense strategies have been developed to detect these generated users with fake profiles. Thus, advanced injection attacks of creating more `realistic' user profiles to promote a set of items is still a key challenge in the domain of deep learning based recommender systems. In this work, we present our framework CopyAttack, which is a reinforcement learning based black-box attack method that harnesses real users from a source domain by copying their profiles into the target domain with the goal of promoting a subset of items. CopyAttack is constructed to both efficiently and effectively learn policy gradient networks that first select, and then further refine/craft, user profiles from the source domain to ultimately copy into the target domain. CopyAttack's goal is to maximize the hit ratio of the targeted items in the Top-$k$ recommendation list of the users in the target domain. We have conducted experiments on two real-world datasets and have empirically verified the effectiveness of our proposed framework and furthermore performed a thorough model analysis.

研究动机与目标

• 解决在基于深度学习的推荐系统中，为数据污染攻击创建真实用户画像的挑战。
• 克服传统虚假画像生成方法易被现代防御机制识别的局限。
• 开发一种仅需查询访问目标推荐系统、无需模型或数据知识的黑盒攻击策略。
• 通过复制并优化来自源域的真实用户画像，最大化目标项目在 Top-k 推荐中的命中率。
• 通过引入层次聚类与画像构建机制，降低噪声与项目预算，提升攻击效率与有效性。

提出的方法

• 利用层次聚类树根据项目交互模式对源域用户进行分组，实现用户画像的结构化探索。
• 采用多级策略梯度网络选择有潜力的源用户进行复制，不同层级聚类结构对应独立策略。
• 应用画像构建机制，通过掩码或增强交互等方式修改选定用户画像，使其更契合目标域动态。
• 使用掩码机制通过隐藏或修改特定交互，模拟真实用户行为，提升画像真实性。
• 在黑盒设置中，从查询反馈（Top-k 推荐结果）中学习，通过策略梯度优化更新策略网络。
• 基于 Top-k 推荐中目标项目的命中率设计奖励函数，引导攻击向最大化推广成功率方向优化。

实验结果

研究问题

• RQ1 能否有效将源域的真实用户画像复制到目标域，以成功发起针对基于深度学习的推荐系统的黑盒攻击？
• RQ2 层次聚类树结构在攻击过程中如何影响源用户画像的选择与优化？
• RQ3 画像构建与掩码机制在多大程度上提升攻击性能并减少所需项目预算？
• RQ4 哪些类型的项目（如热门 vs. 小众）最易受此跨域复制攻击影响？
• RQ5 随着攻击预算增加，攻击性能如何变化？CopyAttack 在资源受限条件下是否持续优于基线方法？

主要发现

• 在 ML10M-FX 和 ML20-NF 数据集上，CopyAttack 在命中率（HR@20）与归一化折损累计增益（NDCG@20）方面显著优于 RandomAttack、TargetAttack 与 PolicyNetwork 等基线方法。
• 层次聚类树显著提升攻击性能，最优深度分别为 ML10M-FX 的 d=3 与 ML20-NF 的 d=6，平衡了聚类粒度与训练效率。
• 移除画像构建或掩码组件将导致攻击有效性大幅下降，且所需项目预算急剧上升，证实二者在降噪与提升真实性方面具有关键作用。
• 目标域中排名前 30% 热门度的项目最易受攻击，表明高需求项目可通过复制画像更易被推广。
• 随着预算增加，CopyAttack 性能持续提升，而其他方法趋于饱和，表明其具备良好的可扩展性与通过持续查询反馈实现持续学习的能力。
• PolicyNetwork 基线在 ML20M-NF 数据集上 48 小时内未能收敛，凸显 CopyAttack 层次化与模块化设计在效率上的优势。