💻 computer science

Fairness Attacks on Recommender Systems

Dieses Paper schlägt eine neuartige, strukturbewusste, auf Reinforcement Learning basierende Angriffsmethode vor, die die Auswahlpolitiken für Artikel und Geschlecht gemeinsam optimiert, um gefälschte Nutzerprofile zu generieren, wodurch die Unfairness von Ziel-Empfehlungssystemen, einschließlich derer, die mit Fairness-Mechanismen konzipiert wurden, effektiv verschärft wird.

Ursprüngliche Autoren: Yanan Wang, Yong Ge

Veröffentlicht 2026-06-30

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Yanan Wang, Yong Ge

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich ein Empfehlungssystem (wie das von Netflix, Amazon oder YouTube) als einen sehr intelligenten, aber leicht voreingenommenen persönlichen Einkaufsberater vor. Seine Aufgabe ist es, zu schauen, was Ihnen in der Vergangenheit gefallen hat, und neue Dinge vorzuschlagen, die Ihnen gefallen könnten. Das Ziel ist es, sicherzustellen, dass jeder eine faire Chance bekommt, interessante Produkte zu sehen, egal ob er männlich, weiblich oder einer anderen Gruppe angehört.

Dieses Paper stellt jedoch eine beängstigende Frage: Was wäre, wenn ein böswilliger Akteur diesen persönlichen Einkaufsberater manipulieren könnte, um ihn noch unfairer zu machen?

Die Autoren nennen dies einen „Fairness-Angriff“ (Fairness Attack). Anstatt zu versuchen, dem Einkaufsberater zu helfen, bessere Filme zu empfehlen (was die meisten Hacker versuchen), wollen sie den Einkaufsberater dazu bringen, verschiedene Gruppen von Menschen schlechter zu behandeln als zuvor.

So haben sie es gemacht, unterteilt in einfache Konzepte:

1. Das Ziel: Die Lücke vergrößern

Stellen Sie sich einen Spielplatz vor, auf dem Jungen und Mädchen beide versuchen, die besten Spielzeuge zu bekommen. Der „persönliche Einkaufsberater“ versucht normalerweise, beiden Gruppen eine faire Menge an guten Spielzeugen zu geben.
Das Ziel des Angreifers ist es, die Lücke zu vergrößern. Er möchte, dass die Jungen etwas bessere Spielzeuge bekommen und die Mädchen signifikant schlechtere (oder umgekehrt), sodass das System sehr unfair wirkt.

2. Die Waffe: Fake-Profile (Die „Trojanisches Pferd“-Armee)

Um das System zu täuschen, erstellt der Angreifer tausende von falschen Nutzerprofilen.

Der alte Weg: Frühere Hacker wählten einfach zufällige Artikel aus, die sie „mochten“, um ein bestimmtes Produkt zu pushen. Es war, als würde man mit verbundenen Augen Dartpfeile werfen.
Der neue Weg (Dieses Paper): Die Autoren haben eine intelligentere Waffe namens SRLFA gebaut. Denken Sie an SRLFA als an einen Meister-Schachspieler, der nicht nur eine Figur bewegt, sondern das gesamte Spielfeld im Blick hat.

3. Wie die „intelligente Waffe“ funktioniert

Das Paper nutzt zwei Haupt-„Superkräfte“, um diese Fake-Profile zu erstellen:

Superkraft A: Der Kartenleser (Strukturbewusst/Structure-Aware)
Stellen Sie sich die echten Nutzer und Artikel als ein riesiges Netz von Verbindungen (einen Graphen) vor. Wenn der Angreifer einen Fake-Nutzer hinzufügt, lässt er ihn nicht einfach nur wie einen Stein in einen Teich fallen; er platziert ihn sorgfältig dort, wo er auf eine ganz bestimmte Weise Wellen durch das gesamte Netz schlagen wird.
- Die Analogie: Es ist wie ein Spion, der genau weiß, welche Freunde eines Ziels er anfreunden muss, um die Meinung des Ziels zu beeinflussen, anstatt nur durch ein Megafon zu schreien. Das System nutzt einen „Graph Encoder“, um zu verstehen, wie diese gefälschten Verbindungen die Form des gesamten Netzwerks verändern.
Superkraft B: Der Geschichtenerzähler (Sequenzbewusst/Sequence-Aware)
Der Angreifer wählt Artikel nicht einfach zufällig aus; er wählt sie in einer bestimmten Reihenfolge aus, als würde er eine Geschichte schreiben.
- Die Analogie: Wenn man vorgibt, ein Musikfan zu sein, listet man nicht einfach 100 zufällige Songs auf. Man hört erst einen Rock-Song, dann einen Pop-Song, dann einen Jazz-Song, um eine „Persönlichkeit“ aufzubauen. Das System nutzt ein „Rekurrentes Neuronales Netz“ (ähnlich einem Gedächtnis), um sich die Reihenfolge der bereits „gelikten“ Artikel zu merken, damit das Fake-Profil echt und strategisch wirkt.

4. Die Geheimzutat: Die Wahl des Geschlechts

Dies ist der einzigartigste Teil des Papers. Der Angreifer entscheidet nicht nur, was der Fake-Nutzer mag; er entscheidet auch, wer der Fake-Nutzer ist.

Die Analogie: Stellen Sie sich vor, der Angreifer besetzt Schauspieler für ein Theaterstück. Er muss entscheiden: „Soll dieser Fake-Schauspieler ein Mann oder eine Frau sein?“
Das System besitzt eine spezielle „Geschlechtswahl-Strategie“ (Gender Selection Policy). Es berechnet: „Wenn ich diesen Fake-Nutzer als Frau anlege, werde ich den Fairness-Score dann stärker schädigen?“ Dann weist es dem Fake-Profil ein Geschlecht zu, um den Schaden an der Fairness zu maximieren.

5. Das Trainingsgelände: Der „Surrogat“-Einkaufsberater

Der Angreifer kennt den geheimen Code des echten Systems nicht (es ist eine „Black Box“). Also baut er in seinem eigenen Labor eine Fake-Version des Systems (einen „Surrogat“) nach.

Er trainiert seine Fake-Armee auf diesem Übungssystem.
Er lässt sein Übungssystem sogar versuchen, „fair“ zu sein (genau wie das echte System es vielleicht auch tut), damit er lernt, wie man faire Systeme bricht, nicht nur unfaire.
Sobald die Fake-Armee gelernt hat, das Übungssystem zu knacken, wird sie auf das echte System losgelassen.

Was haben sie herausgefunden?

Die Autoren testeten diese Methode mit echten Daten (wie Filmbewertungen und Musik-Streaming-Gewohnheiten).

Das Ergebnis: Ihre Methode war weita viel besser darin, das System unfair zu machen, als jede bisherige Methode.
Der Schock: Selbst wenn das Zielsystem bereits versuchte, fair zu sein (durch spezielles „Fairness-Training“), konnte der Angreifer es dennoch brechen und die Lücke zwischen den Gruppen viel größer machen.
Die Erkenntnis: Es ist, als würde man feststellen, dass selbst ein „fairer“ Spielplatz eine geheime Hintertür hat, die ein geschickter Hacker nutzen kann, um das Spiel zu manipulieren.

Zusammenfassung

Dieses Paper führt eine neue Art ein, Empfehlungssysteme zu hacken. Anstatt nur zu versuchen, ein bestimmtes Produkt zu verkaufen, nutzt der Hacker eine intelligente, KI-gesteuerte Strategie, um Fake-Nutzer zu erstellen, die echt wirken, in einer spezifischen Reihenfolge agieren und einem bestimmten Geschlecht zugeordnet sind. Das Ziel ist es, die Fairness des Systems zu brechen, was beweist, dass selbst Systeme, die auf Fairness ausgelegt sind, gegenüber diesen hochentwickelten Angriffen verwundbar sind.

Technisches Resümee: Fairness-Angriffe auf Empfehlungssysteme

Problemstellung
Empfehlungssysteme sind zwar essenziell, um Informationsüberlastung zu mildern, stehen jedoch vor der kritischen Herausforderung der Unfairness, bei der bestimmte Nutzergruppen (z. B. basierend auf Geschlecht oder Herkunft) systematisch diskriminiert werden. Während die bestehende Forschung intensiv die Untersuchung von adversariellen Angriffen betrieben hat, die auf die Manipulation der Empfehlungs-Performance abzielen (z. B. Promotions- oder Demotions-Angriffe), bleibt die Anfälligkeit der Empfehlungs-Fairness gegenüber solchen Angriffen weitgehend unterforscht. Dieses Paper adressiert das Problem der „Fairness-Angriffe“, bei denen ein Angreifer darauf abzielt, die inhärente Unfairness eines Ziel-Empfehlungssystems zu verschärfen. Die Kernherausforderung besteht darin, dass Zielsysteme Fairness-bewusste Trainingsverfahren anwenden und sensible Attribute (wie das Geschlecht) nutzen können. Folglich muss ein effektiver Angreifer nicht nur entscheiden, welche gefälschten Artikel er injiziert, sondern auch das sensible Attribut (Geschlecht) der gefälschten Nutzerprofile bestimmen, um die Verschlechterung der Fairness zu maximieren.

Methodik: Struktur-bewusster Reinforcement Learning-basierter Fairness-Angriff (SRLFA)
Die Autoren schlagen eine neuartige Methode namens SRLFA vor, die die Generierung gefälschter Nutzerprofile als einen sequentiellen Entscheidungsprozess modelliert, der als Markov-Entscheidungsprozess (MDP) dargestellt wird. Das Framework operiert in einem Black-Box-Szenario, in dem der Angreifer die Parameter des Zielmodells nicht kennt, aber Zugriff auf die Trainingsdaten hat. Um den Angriff zu optimieren, verwenden die Autoren ein lokales Ersatz-Empfehlungssystem (Surrogate Recommender), das mit Fairness-bewussten Zielsetzungen trainiert wurde, um Feedback in Form von Belohnungen (Rewards) zu liefern.

Das SRLFA-Framework besteht aus fünf Schlüsselmodulen:

Graph-basierter Struktur-Encoder: Da die Nutzer-Item-Interaktionen einen bipartiten Graphen bilden, verwendet die Methode ein Graph Convolutional Network (GCN), um die strukturellen Abhängigkeiten zwischen den injizierten gefälschten Nutzer-Item-Interaktionen und dem ursprünglichen Interaktionsgraphen zu modellieren. Dieser Encoder lernt struktur-bewusste Repräsentationen sowohl für gefälschte Nutzer als auch für gefälschte Items, indem er erfasst, wie neue Kanten die globale Graphstruktur verändern.
Sequentieller Encoder: Da gefälschte Items innerhalb eines Nutzerprofils sequentiell generiert werden, wird ein Rekurrentes Neuronales Netz (speziell LSTM) eingesetzt, um die sequentiellen Abhängigkeiten zwischen den generierten gefälschten Items zu modellieren und eine sequenz-bewusste Repräsentation zu lernen.
Item-Selektions-Policy: Basierend auf den kombinierten struktur- und sequenz-bewussten Repräsentationen bestimmt ein Masked-Attention-Mechanismus das nächste einzufügende gefälschte Item. Diese Policy stellt sicher, dass die Items innerhalb eines einzelnen gefälschten Nutzerprofils distinkt sind.
Geschlechts-Selektions-Policy: Um die Herausforderung der sensiblen Attribute zu adressieren, entscheidet ein separates Policy-Netzwerk über das Geschlecht (z. B. männlich oder weiblich) für jedes gefälschte Nutzerprofil. Diese Entscheidung erfolgt auf Profilebene (alle $M$ Schritte) unter Verwendung der aggregierten strukturellen und sequentiellen Repräsentationen des Profils.
Ersatz-Empfehlungssystem & Training: Der Angreifer nutzt ein Ersatzmodell (Matrixfaktorisierung mit Bayesian Personalized Ranking), das einen Fairness-Regularisierungsterm enthält, um ein potenzielles Fairness-bewusstes Training im Zielsystem zu simulieren. Sowohl die Item-Selektions- als auch die Geschlechts-Selektions-Policy werden gemeinsam mittels Proximal Policy Optimization (PPO) trainiert, um die kumulative Belohnung zu maximieren, welche als Zunahme der Unfairness-Metrik ( $Unfair_F$ ) definiert ist.

Wesentliche Beiträge

Erkundung eines neuartigen Problems: Das Paper identifiziert und untersucht das bisher wenig erforschte Gebiet der Angriffe auf die Fairness von Empfehlungssystemen und hebt die gesellschaftlichen Auswirkungen solcher Schwachstellen hervor.
Struktur-bewusste Angriffsmethode: Im Gegensatz zu bisherigen RL-basierten Performance-Angriffen, die die Graph-Topologie vernachlässigen, modelliert SRLFA explizit die strukturelle Abhängigkeit zwischen injizierten gefälschten Interaktionen und dem ursprünglichen Nutzer-Item-Graphen mittels eines Graph-Encoders.
Gemeinsames Lernen von Items und Attributen: Die Methode führt eine hierarchische Policy ein, die die Auswahl gefälschter Items und die Zuweisung sensibler Attribute (Geschlecht) in einer End-to-End-Art und Weise gemeinsam lernt und so die spezifischen Anforderungen von Fairness-Angriffen erfüllt.
Umfassende Evaluierung: Die Studie evaluiert die Methode gegen vier Zielmodelle (NCF, LightGCN und deren Fairness-bewusste Varianten) auf zwei realen Datensätzen (MovieLens und Last.fm) und demonstriert die Effektivität der Methode sowohl in Standard- als auch in Fairness-bewussten Szenarien.

Experimentelle Ergebnisse
Umfangreiche Experimente zeigen, dass SRLFA andere Baseline-Methoden (einschließlich adaptierter Performance-Angriffe und Einfluss-basierter Fairness-Angriffe) bei der Verschärfung von Unfairness signifikant übertrifft:

Standard-Empfehlungssysteme: SRLFA steigerte die Unfairness-Metrik ( $Unfair_{NDCG}$ ) über verschiedene Modelle und Datensätze hinweg um durchschnittlich 297,24 % und übertraf damit die Baselines deutlich. Es reduzierte zudem die Empfehlungs-Performance für benachteiligte Gruppen (z. B. weibliche Nutzer) erheblich, wodurch sich die Performance-Lücke vergrößerte.
Fairness-bewusste Empfehlungssysteme: Selbst wenn das Zielsystem ein Fairness-bewusstes Training (Regularisierung) einsetzt, konnte SRLFA die Unfairness erfolgreich intensivieren und steigerte $Unfair_{NDCG}$ auf Fairness-bewussten Modellen im Durchschnitt um 1259,66 %.
Robustheit: Die Methode blieb auch dann effektiv, wenn der Angreifer nur Zugriff auf einen Teilbereich (z. B. 30 %) der Trainingsdaten hatte.
Parameter-Sensitivität: Die Angriffsleistung erwies sich als sensitiv gegenüber der Anzahl der gefälschten Profile ( $N$ ) und der Interaktionen pro Profil ( $M$ ), wobei optimale Ergebnisse bei mittleren Werten von $N$ und $M$ erzielt wurden, die den durchschnittlichen Nutzerinteraktionszahlen entsprechen.

Bedeutung und Behauptungen
Das Paper postuliert, dass die Entwicklung fortgeschrittener Fairness-Angriffs-Algorithmen eine Voraussetzung für das „Red-Teaming“ von Empfehlungssystemen ist. Die Autoren argumentieren, dass ohne aggressive Angriffssimulationen die Robustheit von Fairness-Mechanismen erheblich unterschätzt werden könnte, was zu einem trügerischen Gefühl der Sicherheit führt. Durch den Nachweis, dass selbst Fairness-bewusste Systeme anfällig für strukturelle und attributbasierte adversarielle Injektionen sind, unterstreicht das Paper die dringende Notwendigkeit einer proaktiven Identifizierung von Schwachstellen und der Entwicklung resilienterer Strategien zur Sicherung der Fairness. Die Arbeit dient als grundlegender Schritt zum Verständnis der spezifischen Vulnerabilitäten der Empfehlungs-Fairness.