[论文解读] Membership Inference Attacks Against Recommender Systems

Minxing Zhang, Zhaochun Ren+5 more|arXiv (Cornell University)|Sep 16, 2021

Privacy-Preserving Technologies in Data参考文献 48被引用 8

一句话总结

本文提出了首个针对推荐系统的成员推理攻击框架，目标为用户级别的隐私泄露，而非数据样本级别。该方法提出一种新颖的用户交互模式分析方法，并结合影子推荐系统生成攻击训练数据，在真实世界数据集上实现了高达0.873的AUC性能。此外，本文引入了流行度随机化（Popularity Randomization）作为有效的防御机制。

ABSTRACT

Recently, recommender systems have achieved promising performances and become one of the most widely used web applications. However, recommender systems are often trained on highly sensitive user data, thus potential data leakage from recommender systems may lead to severe privacy problems. In this paper, we make the first attempt on quantifying the privacy leakage of recommender systems through the lens of membership inference. In contrast with traditional membership inference against machine learning classifiers, our attack faces two main differences. First, our attack is on the user-level but not on the data sample-level. Second, the adversary can only observe the ordered recommended items from a recommender system instead of prediction results in the form of posterior probabilities. To address the above challenges, we propose a novel method by representing users from relevant items. Moreover, a shadow recommender is established to derive the labeled training data for training the attack model. Extensive experimental results show that our attack framework achieves a strong performance. In addition, we design a defense mechanism to effectively mitigate the membership inference threat of recommender systems.

研究动机与目标

• 量化推荐系统中通过用户级别成员推理攻击导致的隐私泄露。
• 解决对手访问受限的问题——仅能观察到排序后的推荐列表，无法获取后验概率。
• 开发一种方法，用于推断某用户的数据是否被用于目标推荐系统的训练。
• 设计一种防御机制，有效缓解推荐系统中的成员推理威胁。
• 评估数据集密度、推荐算法复杂度以及特征分布相似性对攻击性能的影响。

提出的方法

• 通过用户与物品的交互模式构建用户级别特征向量，基于观察到的推荐列表进行表示。
• 使用与目标系统相同的算法和数据分布训练影子推荐系统，以生成攻击模型的标注训练数据。
• 利用影子系统输出，模拟成员身份状态（是否在训练集中），以构建成员推理模型。
• 设计攻击模型时充分利用推荐列表中的排序信息，捕捉对推理至关重要的偏好模式。
• 提出流行度随机化作为防御机制：在训练过程中对物品流行度分数进行扰动，以隐藏成员信号。
• 利用从影子系统输出中提取的特征向量训练攻击模型，从而实现对未见过的目标系统的泛化能力。

实验结果

研究问题

• RQ1 当仅暴露排序后的推荐列表时，能否在推荐系统上有效实施成员推理攻击？
• RQ2 与传统的样本级别攻击相比，用户级别成员推理攻击在可行性与影响范围上有哪些不同？
• RQ3 影子系统与目标系统之间推荐系统分布的相似性在攻击成功中起到何种作用？
• RQ4 数据集密度与推荐算法复杂度如何影响成员推理攻击的有效性？
• RQ5 流行度随机化能否在不降低推荐质量的前提下有效缓解成员推理攻击？

主要发现

• 所提出的攻击在ml-1m数据集上实现了平均AUC为0.873，表明在真实黑盒环境下具备强大性能。
• 攻击性能在用户-物品矩阵更密集的数据集（如ml-1m）上表现最佳，因为其提供了更丰富的交互信号以支持特征学习。
• 如基于物品的协同过滤等较简单的推荐算法对成员推理攻击更为脆弱，即使在防御机制下仍表现出较高的攻击成功率。
• 攻击性能强烈依赖于影子系统与目标系统之间特征分布的相似性。
• 流行度随机化防御显著降低了攻击成功率，在多个数据集与算法上均展现出强大的缓解潜力。
• 该攻击在不同推荐算法与数据集间具有良好的泛化能力，表明所提框架具备广泛适用性与鲁棒性。