[论文解读] Poisoning Attacks and Defenses in Recommender Systems: A Survey

Zongwei Wang, Junliang Yu+5 more|arXiv (Cornell University)|Jun 3, 2024

Spam and Phishing Detection被引用 4

一句话总结

本综述提出了一种推荐系统中毒攻击的系统化流程，将攻击划分为四个阶段：定义目标、评估能力、分析目标系统架构以及实施策略。同时，将防御方法分类为数据过滤与鲁棒训练，提供了一个全面的分类体系，以指导针对不断演变威胁的推荐系统安全研究。

ABSTRACT

Modern recommender systems (RS) have profoundly enhanced user experience across digital platforms, yet they face significant threats from poisoning attacks. These attacks, aimed at manipulating recommendation outputs for unethical gains, exploit vulnerabilities in RS through injecting malicious data or intervening model training. This survey presents a unique perspective by examining these threats through the lens of an attacker, offering fresh insights into their mechanics and impacts. Concretely, we detail a systematic pipeline that encompasses four stages of a poisoning attack: setting attack goals, assessing attacker capabilities, analyzing victim architecture, and implementing poisoning strategies. The pipeline not only aligns with various attack tactics but also serves as a comprehensive taxonomy to pinpoint focuses of distinct poisoning attacks. Correspondingly, we further classify defensive strategies into two main categories: poisoning data filtering and robust training from the defender's perspective. Finally, we highlight existing limitations and suggest innovative directions for further exploration in this field.

研究动机与目标

• 为应对日益增长的中毒攻击威胁，即利用推荐系统谋取不道德利益。
• 通过将攻击组织为系统化的四阶段流程，提供统一框架以理解攻击者策略。
• 将现有防御机制分类并分析为两大类：中毒数据过滤与鲁棒训练。
• 识别关键研究空白，并提出未来方向，以应对复杂且不断演变的攻击，保障推荐系统安全。

提出的方法

• 提出四阶段攻击流程：(1) 设定攻击目标，(2) 评估攻击者能力（例如，数据访问权限、模型知识），(3) 分析目标系统架构（例如，协同过滤、深度学习），(4) 实施定制化中毒策略。
• 基于攻击流程的各个阶段对中毒攻击进行分类，实现对现有攻击方法的结构化分类体系。
• 将防御策略分为两大类：(1) 毒中毒数据过滤（例如，基于监督、无监督或置信度的异常检测），(2) 鲁棒训练（例如，多模型互增强、自适应置信度学习、数据增强）。
• 基于数据操纵与梯度修改分析攻击策略，突出显示架构依赖性与隐蔽性之间的权衡。
• 引入“数据中和”概念——通过注入对抗性数据以抵消中毒影响——作为一项新颖但尚未充分探索的防御方向。
• 倡导在攻防协同演化中采用自适应学习，模拟真实世界网络军备竞赛动态，以提升系统韧性。

实验结果

研究问题

• RQ1 如何基于攻击者意图、能力与系统架构，对推荐系统中的中毒攻击进行系统化分类？
• RQ2 集中式与去中心化推荐系统架构中的关键漏洞是什么，使得有效中毒攻击成为可能？
• RQ3 经济约束与隐蔽性要求如何影响中毒攻击的设计与有效性？
• RQ4 在现实世界推荐系统部署中，检测与缓解中毒攻击的最有效防御机制是什么？
• RQ5 如何对演化推荐系统中中毒数据的长期与累积影响进行建模与分析？

主要发现

• 四阶段攻击流程提供了一个全面的分类体系，与多样化的攻击战术保持一致，支持对中毒威胁的系统化分析。
• 基于启发式方法的传统攻击（例如，从众攻击、关系攻击）由于其静态、可预测的模式，正变得越来越容易被检测。
• 现代攻击正转向架构感知策略，利用集中式与去中心化推荐系统设计中的特定漏洞。
• 基于数据过滤（如异常检测）与鲁棒训练（如置信度感知学习）的防御策略虽有效，但在可扩展性与适应性方面仍面临挑战。
• 由于模型重训练与数据漂移，中毒数据的长期影响可能随时间减弱，提示需要开展纵向漏洞分析。
• 数据中和——即利用对抗性数据抵消中毒影响——仍属研究空白，但作为新型防御机制具有潜在前景。