[论文解读] Influence Function based Data Poisoning Attacks to Top-N Recommender Systems

Minghong Fang, Neil Zhenqiang Gong+1 more|arXiv (Cornell University)|Feb 19, 2020

Stochastic Gradient Optimization Techniques参考文献 35被引用 6

一句话总结

本文提出了一种基于影响函数的数据中毒攻击方法，通过注入精心设计评分的虚假用户，操纵基于矩阵分解的Top-N推荐系统。通过识别具有影响力的正常用户并使用基于梯度的方法优化评分，该攻击在仅使用0.5%的虚假用户的情况下，使Yelp平台上的目标项目曝光度提升了150倍，优于先前的方法，并且在对抗检测机制时仍保持有效性。

ABSTRACT

Recommender system is an essential component of web services to engage users. Popular recommender systems model user preferences and item properties using a large amount of crowdsourced user-item interaction data, e.g., rating scores; then top-$N$ items that match the best with a user's preference are recommended to the user. In this work, we show that an attacker can launch a data poisoning attack to a recommender system to make recommendations as the attacker desires via injecting fake users with carefully crafted user-item interaction data. Specifically, an attacker can trick a recommender system to recommend a target item to as many normal users as possible. We focus on matrix factorization based recommender systems because they have been widely deployed in industry. Given the number of fake users the attacker can inject, we formulate the crafting of rating scores for the fake users as an optimization problem. However, this optimization problem is challenging to solve as it is a non-convex integer programming problem. To address the challenge, we develop several techniques to approximately solve the optimization problem. For instance, we leverage influence function to select a subset of normal users who are influential to the recommendations and solve our formulated optimization problem based on these influential users. Our results show that our attacks are effective and outperform existing methods.

研究动机与目标

• 填补针对基于矩阵分解的Top-N推荐系统设计有效数据中毒攻击的空白。
• 将选择最优虚假用户评分的问题形式化为非凸整数规划问题。
• 开发高效的近似技术以解决具有挑战性的优化问题。
• 通过利用影响函数识别关键影响力用户，提升攻击的隐蔽性和有效性。
• 评估攻击在对抗虚假用户检测机制时的鲁棒性。

提出的方法

• 将攻击形式化为优化问题，以最大化在正常用户Top-N推荐中接收到目标项目的用户数量。
• 采用整数评分的连续松弛，并应用可微损失函数以近似受影响用户的数量。
• 应用影响函数理论，识别对目标项目推荐影响最大的一组有影响力的正常用户。
• 利用有影响力用户选择的子模性质，通过贪心算法确保(1−1/e)的近似比。
• 开发基于梯度的优化算法，根据有影响力用户集合计算虚假用户的最优评分。
• 将方法扩展至对所有正常用户按影响力加权，从而在子集选择之外进一步提升攻击效果。

实验结果

研究问题

• RQ1 基于影响函数的有影响力用户选择是否能提升在基于矩阵分解的Top-N推荐系统中数据中毒攻击的有效性？
• RQ2 与现有数据 poisoning 方法相比，所提出的攻击在目标项目曝光度和隐蔽性方面表现如何？
• RQ3 当推荐系统包含虚假用户检测机制时，该攻击的效能还能在多大程度上保持？
• RQ4 影响函数框架能否推广至对所有正常用户加权而非仅选择子集？这种推广是否能进一步提升攻击性能？
• RQ5 相同的影响函数方法是否可应用于增强对基于图的Top-N推荐系统的攻击？

主要发现

• 在Yelp数据集上，仅注入0.5%的虚假用户，所提攻击使目标项目曝光度提升了150倍。
• 在Yelp数据集上，攻击规模为5%时，命中率达到了0.6924，显著优于基线方法。
• 基于影响函数的攻击在对抗训练有二分类器检测虚假用户的场景下依然有效，表明其具备强大的隐蔽性特征。
• 通过对所有正常用户按影响力加权，攻击性能优于仅选择子集的方法，在Yelp数据集上攻击规模为5%时命中率达到0.6924。
• 该方法在基于图的推荐系统中也表现出良好的泛化能力，相较于先前工作提升了攻击成功率。
• 基于影响函数的方法在有影响力用户选择中实现了(1−1/e)的近似比，确保了理论性能保障。