核心发现
方法论
本文提出了一种名为Sharpness-Aware Poisoning（SharpAP）的新型攻击方法，旨在提高注入攻击在推荐系统中的可转移性。该方法基于尖锐度感知最小化原则，通过寻找近似最坏情况的受害者模型来优化毒化数据。SharpAP将毒化攻击问题形式化为一个三层的最小-最大-最小优化问题，通过在攻击迭代过程中整合SharpAP方法，生成更具鲁棒性的毒化数据，降低对代理模型结构变化的敏感性。
关键结果
- 在MovieLens-1M数据集上，使用SharpAP方法的RevAdv攻击在WRMF模型上的H@10指标从32%提高到64%，在BPR、LightGCN和SGL模型上的转移性分别提高了16%、22%和18%。
- 在Gowalla数据集上，SharpAP方法显著提高了攻击的转移性，尤其是在SimGCL模型上，H@20指标提升了约30%。
- 通过对比实验，SharpAP方法在多个真实数据集上均表现出优于现有方法的攻击性能，尤其是在结构差异较大的模型之间，转移性提升尤为显著。
研究意义
本研究在推荐系统的安全性领域具有重要意义。随着推荐系统在各类平台上的广泛应用，其安全性问题愈发引人关注。SharpAP方法通过提高注入攻击的转移性，揭示了现有推荐系统在面对复杂攻击时的脆弱性。这一发现不仅对学术界在理解和改进推荐系统的安全性方面具有推动作用，也为工业界在设计更安全的推荐系统时提供了参考。
技术贡献
本文的技术贡献在于提出了一个新的优化框架SharpAP，该框架通过引入尖锐度感知最小化原则，解决了现有方法在模型结构转移性上的局限性。SharpAP方法通过三层优化策略，显著提高了毒化数据的鲁棒性和攻击的转移性。此外，本文还提供了理论分析，证明了在最坏情况模型下优化毒化数据能够改善攻击转移性的理论基础。
新颖性
SharpAP方法首次将尖锐度感知最小化原则应用于推荐系统的注入攻击中，通过三层优化框架，解决了代理模型与受害者模型之间结构差异导致的转移性问题。与以往方法相比，SharpAP在生成毒化数据时考虑了模型结构的变化，显著提高了攻击的有效性。
局限性
- SharpAP方法在计算复杂度上有所增加，尤其是在处理大规模数据集时，优化过程可能需要更多的计算资源。
- 该方法依赖于对代理模型的良好选择，如果代理模型与受害者模型的结构差异过大，可能会影响攻击效果。
- 在某些特定的推荐系统架构中，SharpAP方法的优势可能不如在其他架构中明显。
未来方向
未来的研究方向包括探索SharpAP方法在其他类型的机器学习模型中的应用，尤其是在深度学习模型中的可转移性。此外，研究如何在不增加计算复杂度的情况下进一步提高攻击的转移性也是一个重要的研究课题。
AI 总览摘要
在信息过载的数字时代，推荐系统已成为各类平台的重要工具。然而，这些系统的安全性问题也逐渐显现，尤其是面对注入攻击时。传统的注入攻击方法通常依赖于一个固定的代理模型来模拟可能的受害者模型，但这种方法忽视了代理模型与受害者模型之间的结构差异，导致攻击的转移性受限。
本文提出了一种名为Sharpness-Aware Poisoning（SharpAP）的新型攻击方法，通过引入尖锐度感知最小化原则，寻找近似最坏情况的受害者模型，并针对该模型优化毒化数据。SharpAP方法将毒化攻击问题形式化为一个三层的最小-最大-最小优化问题，通过在攻击迭代过程中整合SharpAP方法，生成更具鲁棒性的毒化数据，降低对代理模型结构变化的敏感性。
SharpAP方法在多个真实数据集上进行了验证，结果显示在不同的推荐系统模型上均表现出优于现有方法的攻击性能。尤其是在结构差异较大的模型之间，SharpAP方法显著提高了攻击的转移性。例如，在MovieLens-1M数据集上，使用SharpAP方法的RevAdv攻击在WRMF模型上的H@10指标从32%提高到64%。
这一发现不仅对学术界在理解和改进推荐系统的安全性方面具有推动作用，也为工业界在设计更安全的推荐系统时提供了参考。通过提高注入攻击的转移性，SharpAP方法揭示了现有推荐系统在面对复杂攻击时的脆弱性。
然而，SharpAP方法在计算复杂度上有所增加，尤其是在处理大规模数据集时，优化过程可能需要更多的计算资源。未来的研究方向包括探索SharpAP方法在其他类型的机器学习模型中的应用，尤其是在深度学习模型中的可转移性。此外，研究如何在不增加计算复杂度的情况下进一步提高攻击的转移性也是一个重要的研究课题。
深度分析
研究背景
推荐系统在现代信息技术中扮演着关键角色，广泛应用于电子商务、社交媒体等领域。随着其重要性的提升，安全性问题也逐渐成为关注的焦点。注入攻击是其中一种常见的攻击方式，攻击者通过注入虚假用户资料来影响推荐结果，从而达到不道德的目的。现有的注入攻击方法通常依赖于固定的代理模型来模拟可能的受害者模型，但这种方法忽视了代理模型与受害者模型之间的结构差异，导致攻击的转移性受限。近年来，研究者们开始关注如何提高注入攻击的转移性，以便在不同的模型结构下仍能保持攻击效果。
核心问题
推荐系统的注入攻击面临的核心问题在于攻击的转移性。传统方法假设为代理模型生成的毒化数据可以用于攻击其他受害者模型，但在代理模型与受害者模型结构差异较大的情况下，这一假设往往不成立。这种转移性问题限制了注入攻击在实际应用中的有效性。因此，如何在不完全了解受害者模型的情况下，提高攻击的转移性，成为一个亟待解决的难题。
核心创新
本文的核心创新在于提出了Sharpness-Aware Poisoning（SharpAP）方法，通过引入尖锐度感知最小化原则，解决了代理模型与受害者模型之间结构差异导致的转移性问题。SharpAP方法通过三层优化框架，寻找近似最坏情况的受害者模型，并针对该模型优化毒化数据。与以往方法相比，SharpAP在生成毒化数据时考虑了模型结构的变化，显著提高了攻击的有效性。这一创新为推荐系统的安全性研究提供了新的视角。
方法详解
SharpAP方法的具体实现过程如下：
- �� 首先，定义推荐系统中的受害者模型空间，确保在毒化数据上的推荐损失不超过预设阈值。
- �� 其次，利用尖锐度感知最小化原则，通过在代理模型参数的局部邻域内进行搜索，近似寻找最坏情况模型。
- �� 然后，将毒化攻击问题形式化为一个三层的最小-最大-最小优化问题，通过在攻击迭代过程中整合SharpAP方法，生成更具鲁棒性的毒化数据。
- �� 最后，通过实验验证SharpAP方法在不同推荐系统模型上的转移性表现，评估其在真实数据集上的攻击效果。
实验设计
实验设计包括在三个真实数据集上验证SharpAP方法的有效性：MovieLens-1M、Amazon-book和Gowalla。实验中使用的基线方法包括RevAdv、RAPU和DADA等，评价指标为H@10和N@10。实验还进行了消融研究，以评估SharpAP方法中各个组件的贡献。关键超参数设置包括学习率、最大迭代次数等，以确保实验结果的可靠性和可重复性。
结果分析
实验结果显示，SharpAP方法在多个数据集上均表现出优于现有方法的攻击性能。在MovieLens-1M数据集上，使用SharpAP方法的RevAdv攻击在WRMF模型上的H@10指标从32%提高到64%。在Gowalla数据集上，SharpAP方法显著提高了攻击的转移性，尤其是在SimGCL模型上，H@20指标提升了约30%。通过对比实验，SharpAP方法在多个真实数据集上均表现出优于现有方法的攻击性能，尤其是在结构差异较大的模型之间，转移性提升尤为显著。
应用场景
SharpAP方法在推荐系统的安全性研究中具有广泛的应用潜力。其直接应用场景包括电子商务平台和社交媒体中的推荐系统安全性评估。通过提高注入攻击的转移性，SharpAP方法可以帮助研究人员和工程师更好地理解和改进推荐系统的安全性。此外，该方法还可以用于设计更安全的推荐系统，以抵御潜在的复杂攻击。
局限与展望
尽管SharpAP方法在提高攻击转移性方面表现出色，但其在计算复杂度上的增加是一个不可忽视的问题。尤其是在处理大规模数据集时，优化过程可能需要更多的计算资源。此外，该方法依赖于对代理模型的良好选择，如果代理模型与受害者模型的结构差异过大，可能会影响攻击效果。未来的研究方向包括探索SharpAP方法在其他类型的机器学习模型中的应用，尤其是在深度学习模型中的可转移性。
通俗解读 非专业人士也能看懂
想象你在厨房里做饭。推荐系统就像一个厨师，它根据你的口味和喜好推荐菜谱。但有时候，坏人会偷偷往厨房里放一些假食材（虚假用户资料），让厨师做出他们想要的菜（推荐结果）。传统的方法就像是用一个固定的菜谱来模拟厨师，但如果厨师换了，菜谱就不一定管用了。SharpAP方法就像是一个聪明的助手，它能根据不同厨师的风格调整食材，让菜谱在不同的厨房都能奏效。通过这种方法，SharpAP提高了假食材在不同厨师间的适用性，就像是让假食材在不同的厨房里都能发挥作用一样。
简单解释 像给14岁少年讲一样
嘿，小伙伴们！你们知道吗，推荐系统就像是你在网上购物时的私人助手，它会根据你的喜好推荐商品。但是，有些坏人会试图欺骗这个助手，让它推荐他们想要的东西。SharpAP就是一种新方法，能让这些坏人的伎俩在不同的助手面前都奏效。想象一下，你在玩游戏时，有人偷偷改了游戏规则，但SharpAP就像是一个聪明的玩家，它能识别出这些变化，并继续赢得比赛！这就是SharpAP的厉害之处，它能让坏人的攻击在不同的游戏规则下都有效。是不是很酷？
术语表
Sharpness-Aware Poisoning (尖锐度感知毒化)
一种通过尖锐度感知最小化原则优化毒化数据的攻击方法，旨在提高注入攻击的转移性。
在本文中用于提高推荐系统注入攻击的转移性。
Recommender System (推荐系统)
一种通过分析用户行为数据，为用户推荐可能感兴趣的项目的系统。
本文讨论了推荐系统在注入攻击下的安全性问题。
Injective Attack (注入攻击)
攻击者通过注入虚假用户资料来影响推荐系统的推荐结果。
本文研究了如何提高注入攻击在推荐系统中的转移性。
Surrogate Model (代理模型)
用于模拟可能的受害者模型的固定模型，帮助攻击者生成毒化数据。
本文提出的SharpAP方法通过优化代理模型来提高攻击转移性。
Victim Model (受害者模型)
推荐系统中被攻击的目标模型，攻击者通常对其结构和参数不完全了解。
SharpAP方法通过寻找最坏情况的受害者模型来优化毒化数据。
Tri-level Optimization (三层优化)
一种包含最小化、最大化和再次最小化步骤的优化框架，用于解决复杂的优化问题。
SharpAP方法将毒化攻击问题形式化为一个三层优化问题。
Hit Ratio (命中率)
一种评估推荐系统性能的指标，表示目标项目在推荐列表中出现的频率。
本文使用命中率作为评价SharpAP方法攻击效果的指标。
Collaborative Filtering (协同过滤)
一种基于用户和项目之间的交互数据进行推荐的技术。
推荐系统通常使用协同过滤技术来提高推荐准确性。
Gradient-based Attack (基于梯度的攻击)
通过优化参数化的虚假用户资料来实现攻击目标的方法。
本文比较了基于梯度的攻击与SharpAP方法的性能。
Sharpness-aware Minimization (尖锐度感知最小化)
一种通过在模型参数的局部邻域内寻找最大损失并最小化它的优化策略。
SharpAP方法利用尖锐度感知最小化原则来优化毒化数据。
开放问题 这项研究留下的未解疑问
- 1 如何在不增加计算复杂度的情况下进一步提高SharpAP方法的攻击转移性？现有方法在处理大规模数据集时，计算资源需求较高，未来研究需要探索更高效的优化策略。
- 2 SharpAP方法在深度学习模型中的应用效果如何？虽然本文在推荐系统中验证了其有效性，但在其他类型的机器学习模型中是否同样有效仍需进一步研究。
- 3 在代理模型与受害者模型结构差异极大的情况下，SharpAP方法的攻击效果如何？现有研究主要集中在结构差异较小的模型上，未来需要探索更广泛的应用场景。
- 4 如何选择合适的代理模型以最大化SharpAP方法的攻击效果？代理模型的选择对攻击效果有显著影响，未来研究需要提供更系统的选择策略。
- 5 SharpAP方法在实际应用中的安全性如何保障？虽然提高了攻击转移性，但如何防止其被恶意利用也是一个值得关注的问题。
应用场景
近期应用
电子商务平台安全性评估
SharpAP方法可以用于评估电子商务平台推荐系统的安全性，通过模拟复杂攻击场景，帮助平台识别潜在的安全漏洞。
社交媒体推荐系统优化
通过提高注入攻击的转移性，SharpAP方法可以帮助社交媒体平台优化其推荐系统的安全性，防止恶意攻击者操控推荐结果。
推荐系统安全性研究
研究人员可以利用SharpAP方法进行推荐系统安全性研究，探索不同模型结构下的攻击效果，为设计更安全的系统提供参考。
远期愿景
跨平台推荐系统安全性标准制定
随着SharpAP方法的应用，未来可以制定跨平台的推荐系统安全性标准，确保不同平台间的推荐系统在面对复杂攻击时具有一致的安全性。
智能推荐系统的自适应安全机制
通过引入SharpAP方法，未来的智能推荐系统可以实现自适应的安全机制，根据不同的攻击场景动态调整防御策略，提高系统的整体安全性。
原文摘要
Recommender Systems~(RS) have been shown to be vulnerable to injective attacks, where attackers inject limited fake user profiles to promote the exposure of target items to real users for unethical gains (e.g., economic or political advantages). Since attackers typically lack knowledge of the victim model deployed in the target RS, existing methods resort to using a fixed surrogate model to mimic the potential victim model. Despite considerable progress, we argue that the assumption that \textit{poisoned data generated for the surrogate model can be used to attack other victim models} is wishful. When there are significant structural discrepancies between the surrogate and victim models, the attack transferability inevitably suffers. Intuitively, if we can identify the worst-case victim model and iteratively optimize the poisoning effect specifically against it, then the generated poisoned data would be better transferred to other victim models. However, exactly identifying the worst-case victim model during the attack process is challenging due to the large space of victim models. To this end, in this work, we propose a novel attack method called Sharpness-Aware Poisoning (\textit{SharpAP}). Specifically, it employs the sharpness-aware minimization principle to seek the approximately worst-case victim model and optimizes the poisoned data specifically for this worst-case model. The poisoning attack with SharpAP is formulated as a min-max-min tri-level optimization problem. By integrating SharpAP into the iterative process for attacks, our method can generate more robust poisoned data which is less sensitive to the shift of model structure, mitigating the overfitting to the surrogate model. Comprehensive experimental comparisons on three real-world datasets demonstrate that \name~can significantly enhance the attack transferability.
参考文献 (20)
Attacking Recommender Systems with Augmented User Profiles
Chen Lin, Si Chen, Hui Li 等
Data Poisoning Attack against Recommender System Using Incomplete and Perturbed Data
Hengtong Zhang, Changxin Tian, Yaliang Li 等
Sharpness-Aware Minimization for Efficiently Improving Generalization
Pierre Foret, Ariel Kleiner, H. Mobahi 等
Revisiting Adversarially Learned Injection Attacks Against Recommender Systems
Jiaxi Tang, Hongyi Wen, Ke Wang
LightGCN: Simplifying and Powering Graph Convolution Network for Recommendation
Xiangnan He, Kuan Deng, Xiang Wang 等
Unveiling Vulnerabilities of Contrastive Recommender Systems to Poisoning Attacks
Zongwei Wang, Junliang Yu, Min Gao 等
Uplift Modeling for Target User Attacks on Recommender Systems
Wenjie Wang, Changsheng Wang, Fuli Feng 等
Matrix Factorization Techniques for Recommender Systems
Y. Koren, Robert M. Bell, C. Volinsky
BPR: Bayesian Personalized Ranking from Implicit Feedback
Steffen Rendle, Christoph Freudenthaler, Zeno Gantner 等
Revisiting Injective Attacks on Recommender Systems
Haoyang Li, Shimin Di, Lei Chen
On Large-Batch Training for Deep Learning: Generalization Gap and Sharp Minima
N. Keskar, Dheevatsa Mudigere, J. Nocedal 等
Gray-Box Shilling Attack: An Adversarial Learning Approach
Zongwei Wang, Min Gao, Jundong Li 等
Adversarial Weight Perturbation Helps Robust Generalization
Dongxian Wu, Shutao Xia, Yisen Wang
An automatic weighting scheme for collaborative filtering
Rong Jin, J. Chai, Luo Si
Poisoning Attacks and Defenses in Recommender Systems: A Survey
Zongwei Wang, Junliang Yu, Min Gao 等
Generative-Contrastive Graph Learning for Recommendation
Yonghui Yang, Zhengwei Wu, Le Wu 等
Improving the Shortest Plank: Vulnerability-Aware Adversarial Training for Robust Recommender System
Kaike Zhang, Qi Cao, Yunfan Wu 等
Toward trustworthy recommender systems: An analysis of attack models and algorithm robustness
B. Mobasher, R. Burke, Runa Bhaumik 等
Targeted Shilling Attacks on GNN-based Recommender Systems
Sihang Guo, Ting Bai, Weihong Deng