[论文解读] Manipulating Federated Recommender Systems: Poisoning with Synthetic Users and Its Countermeasures

Wei Yuan, Quoc Viet Hung Nguyen+3 more|arXiv (Cornell University)|Apr 6, 2023

Privacy-Preserving Technologies in Data被引用 4

一句话总结

该论文提出PSMU，一种新颖的梯度中毒攻击方法，通过使用合成恶意用户在无需事先掌握信息的情况下，提升目标项目的曝光率，从而操纵联邦推荐系统。该方法在极少恶意用户和较少训练轮次下即展现出高效率，同时引入HiCS——一种分层梯度裁剪结合稀疏化更新的防御机制——以在攻击下保持推荐性能的稳健性。

ABSTRACT

Federated Recommender Systems (FedRecs) are considered privacy-preserving techniques to collaboratively learn a recommendation model without sharing user data. Since all participants can directly influence the systems by uploading gradients, FedRecs are vulnerable to poisoning attacks of malicious clients. However, most existing poisoning attacks on FedRecs are either based on some prior knowledge or with less effectiveness. To reveal the real vulnerability of FedRecs, in this paper, we present a new poisoning attack method to manipulate target items' ranks and exposure rates effectively in the top-$K$ recommendation without relying on any prior knowledge. Specifically, our attack manipulates target items' exposure rate by a group of synthetic malicious users who upload poisoned gradients considering target items' alternative products. We conduct extensive experiments with two widely used FedRecs (Fed-NCF and Fed-LightGCN) on two real-world recommendation datasets. The experimental results show that our attack can significantly improve the exposure rate of unpopular target items with extremely fewer malicious users and fewer global epochs than state-of-the-art attacks. In addition to disclosing the security hole, we design a novel countermeasure for poisoning attacks on FedRecs. Specifically, we propose a hierarchical gradient clipping with sparsified updating to defend against existing poisoning attacks. The empirical results demonstrate that the proposed defending mechanism improves the robustness of FedRecs.

研究动机与目标

• 通过消除对不切实际的先验知识的依赖，揭示联邦推荐系统（FedRecs）在梯度中毒攻击下的真实世界漏洞。
• 设计一种高效中毒攻击，通过极少的恶意用户和训练轮次显著提升不受欢迎目标项目的曝光率。
• 提出一种新颖的防御机制HiCS，有效抵御中毒攻击，同时不降低推荐性能。
• 通过实证验证攻击的有效性以及防御机制的鲁棒性，涵盖两种广泛使用的FedRecs和两个真实世界数据集。

提出的方法

• PSMU构建合成用户，随机选择项目作为交互行为，并基于与真实用户Top-K推荐的相似性，优化梯度以提升目标项目的排名。
• 通过引入目标项目的替代项目来增强竞争，确保目标项目的预测得分超过竞争集合中的其他项目。
• 利用流行度偏差，即合成用户的推荐行为与真实用户高度相似，从而放大攻击对实际系统行为的影响。
• 防御机制HiCS采用分层梯度裁剪结合稀疏化更新，以过滤恶意梯度，同时保留良性模型更新。
• 稀疏化更新通过聚焦于高幅值梯度分量，减少噪声并提升防御效率。
• HiCS通过最小化对合法训练的副作用，确保在攻击下仍能维持推荐性能。

实验结果

研究问题

• RQ1 在不依赖项目流行度或用户数据先验知识的情况下，联邦推荐系统的中毒攻击是否仍具有效性？
• RQ2 成功攻击需多少恶意用户及多少全局训练轮次，才能显著提升目标项目的曝光率？
• RQ3 一种防御机制能否在不降低推荐系统性能的前提下，有效中和此类攻击？
• RQ4 在恶意用户数量不断增加的情况下，所提出的防御机制HiCS与现有防御基线相比表现如何？

主要发现

• 在ML数据集上使用Fed-NCF时，PSMU仅用3名恶意用户即实现目标项目100%的曝光率（ER@5）；在AZ数据集上使用Fed-LightGCN时，仅需2名恶意用户。
• 当恶意用户比例为0.1%时，攻击仍具有效性，ML和AZ数据集分别仅需6名和16名恶意用户。
• HiCS在恶意用户比例高达10%时仍能有效防御PSMU，优于所有基线方法，包括ℓ₂裁剪和截断均值。
• 尽管ℓ₂裁剪和稀疏化更新提升了防御效果，但仅HiCS在所有攻击规模和数据集上均保持一致的有效性。
• 防御机制对推荐性能无显著副作用，表现为正常与攻击条件下性能指标保持不变。
• 攻击成功归因于流行度偏差：合成用户的推荐行为与真实用户高度一致，从而显著放大了攻击对真实系统行为的影响。