[论文解读] Data Poisoning Attacks on Factorization-Based Collaborative Filtering

Bo Li, Yining Wang+2 more|arXiv (Cornell University)|Aug 29, 2016

Adversarial Robustness in Machine Learning参考文献 7被引用 154

一句话总结

该论文针对基于因子分解的协同过滤提出数据污染攻击，推导两种算法（alternating minimization 和 nuclear norm minimization）的近似最优恶意数据，以及模仿正常用户行为以避免检测的方法。

ABSTRACT

Recommendation and collaborative filtering systems are important in modern information and e-commerce applications. As these systems are becoming increasingly popular in the industry, their outputs could affect business decision making, introducing incentives for an adversarial party to compromise the availability or integrity of such systems. We introduce a data poisoning attack on collaborative filtering systems. We demonstrate how a powerful attacker with full knowledge of the learner can generate malicious data so as to maximize his/her malicious objectives, while at the same time mimicking normal user behavior to avoid being detected. While the complete knowledge assumption seems extreme, it enables a robust assessment of the vulnerability of collaborative filtering schemes to highly motivated attacks. We present efficient solutions for two popular factorization-based collaborative filtering algorithms: the \emph{alternative minimization} formulation and the \emph{nuclear norm minimization} method. Finally, we test the effectiveness of our proposed algorithms on real-world data and discuss potential defensive strategies.

研究动机与目标

• 由于对推荐的可用性和完整性产生影响，推动对协同过滤中数据污染的研究。
• 在最坏情况知识假设（Kerckhoffs’ 原则）下，开发近似最优的攻击策略。
• 提供梯度基和概率方法，为两种流行的CF算法生成被污染的数据。
• 在真实数据上演示攻击并讨论潜在的防御策略。

提出的方法

• 将污染建模为优化问题，在可行的恶意配置集合下选择恶意数据以最大化攻击者效用。
• 利用一阶KKT条件推导对恶意数据的攻击者梯度计算，适用于交替最小化和核范数最小化。
• 提出投影梯度上升法和基于SGLD的方法来生成模仿正常用户的恶意配置。
• 提供面向缓解的讨论，检测特征相关性的偏离并使用集成方法。

实验结果

研究问题

• RQ1 攻击者在现实约束下如何最优地注入数据以降低基于因子分解的协同过滤的性能？
• RQ2 攻击者在模仿正常用户行为的前提下，是否能够最大化可用性、完整性或两者的组合而不被检测？
• RQ3 哪些基于梯度的策略能够有效地计算出交替最小化和核范数方法的近似最优污染？
• RQ4 像SGLD这样的检测规避策略在生成真实的恶意配置方面有多大效果？

主要发现

• 在统一优化框架下，可以为可用性和完整性效用计算出最优攻击策略。
• 利用KKT条件的梯度方法能够在近似意义上计算攻击对象对被污染数据的导数，适用于交替最小化和核范数形成。
• 攻击可以显著降低RMSE并改变物品评分，针对性完整性攻击对操控特定物品更有效。
• 通过SGLD模仿正常用户行为可产生高检测规避性的被污染配置，且攻击性能与随机攻击相竞争。
• PGA在RMSE影响上更强，但攻击者配置的可行性较差；而SGLD在检测规避方面具有优势。