[论文解读] Untargeted Attack against Federated Recommendation Systems via Poisonous Item Embeddings and the Defense

Yang Yu, Qi Liu+4 more|arXiv (Cornell University)|Dec 11, 2022

Privacy-Preserving Technologies in Data被引用 6

一句话总结

本文提出 ClusterAttack，一种针对联邦推荐（FedRec）系统的新型非目标中毒攻击，通过将物品嵌入聚类为密集簇群来降低模型性能；同时提出 UNION，一种基于一致性的防御机制，利用对比学习检测并过滤恶意梯度。实验表明，ClusterAttack 能有效破坏 FedRec 系统且规避检测，而 UNION 显著提升了系统对这类攻击的鲁棒性。

ABSTRACT

Federated recommendation (FedRec) can train personalized recommenders without collecting user data, but the decentralized nature makes it susceptible to poisoning attacks. Most previous studies focus on the targeted attack to promote certain items, while the untargeted attack that aims to degrade the overall performance of the FedRec system remains less explored. In fact, untargeted attacks can disrupt the user experience and bring severe financial loss to the service provider. However, existing untargeted attack methods are either inapplicable or ineffective against FedRec systems. In this paper, we delve into the untargeted attack and its defense for FedRec systems. (i) We propose ClusterAttack, a novel untargeted attack method. It uploads poisonous gradients that converge the item embeddings into several dense clusters, which make the recommender generate similar scores for these items in the same cluster and perturb the ranking order. (ii) We propose a uniformity-based defense mechanism (UNION) to protect FedRec systems from such attacks. We design a contrastive learning task that regularizes the item embeddings toward a uniform distribution. Then the server filters out these malicious gradients by estimating the uniformity of updated item embeddings. Experiments on two public datasets show that ClusterAttack can effectively degrade the performance of FedRec systems while circumventing many defense methods, and UNION can improve the resistance of the system against various untargeted attacks, including our ClusterAttack.

研究动机与目标

• 为解决联邦推荐系统中非目标中毒攻击这一尚未充分探索的威胁，该威胁会降低整体系统性能并损害用户体验。
• 设计一种高效且仅需少量恶意客户端和有限数据访问的非目标攻击，克服非独立同分布（non-IID）数据和模型鲁棒性带来的挑战。
• 设计一种防御机制，可在不依赖攻击模式先验知识的前提下检测并过滤恶意梯度。
• 确保该防御机制与现有 Byzantine-robust 联邦学习方法兼容，以支持实际部署。

提出的方法

• ClusterAttack 使用自适应聚类机制，通过计算最小化簇内方差的恶意梯度，将物品嵌入聚类为密集簇群。
• 通过使用从良性梯度中估计的范数边界裁剪上传的梯度，以降低可检测性并模仿正常训练行为。
• UNION 在所有客户端引入对比学习任务，以在嵌入空间中将物品嵌入正则化为均匀分布。
• 服务器估计更新后物品嵌入的一致性，并过滤掉与均匀性显著偏离的梯度，从而识别恶意更新。
• 该防御机制与现有 Byzantine-robust 聚合方法兼容，增强了整体系统的抗脆弱性。
• 该方法利用核密度估计（KDE）分析一致性分布，检测梯度更新中的异常情况。

实验结果

研究问题

• RQ1 仅使用少量恶意客户端，非目标中毒攻击是否能有效降低联邦推荐系统的整体性能？
• RQ2 如何设计一种非目标攻击，使其在通过物品嵌入聚类扰动模型行为的同时保持隐蔽性？
• RQ3 基于一致性的防御机制是否能在不依赖攻击先验知识的前提下检测并过滤 FedRec 中的恶意梯度？
• RQ4 所提出的防御机制在多大程度上提升了系统对各类非目标攻击（包括所提出的 ClusterAttack）的鲁棒性？

主要发现

• 在 ML-1M 和 Gowalla 数据集上，ClusterAttack 在最优攻击条件下使 AUC 最高下降 12.3%，NDCG 最高下降 15.7%，实现显著的性能退化。
• 自适应聚类机制提升了攻击效果，并降低了对初始簇数的敏感性，优于固定 K 的方法。
• 若不引入对比学习任务，良性与恶意客户端的嵌入一致性分布显著重叠，导致检测困难。
• 引入对比学习任务后，一致性分布形成两个明显分离的簇，使服务器能够准确过滤恶意梯度。
• UNION 显著提升了 FedRec 系统对多种非目标攻击（包括 ClusterAttack）的鲁棒性，增强了系统对基于梯度中毒的抵抗能力。
• 该防御机制在高攻击比例下仍保持高模型准确率和泛化性能，展现出实际可行性。