Sharpness-Aware Poisoning: Enhancing Transferability of Injective Attacks on Recommender Systems

तकनीकी सारांश: शार्पनेस-अवेयर पॉइज़निंग (SharpAP)

1. समस्या विवरण

अनुशंसा प्रणाली (Recommender Systems - RS) इन्जेक्टिव हमलों (injective attacks) के प्रति संवेदनशील होती है, जहाँ हमलावर विशिष्ट "लक्ष्य वस्तुओं" (target items) को बढ़ावा देने के लिए सिस्टम को हेरफेर करने हेतु नकली उपयोगकर्ता प्रोफाइल पंजीकृत करते हैं। वास्तविक दुनिया के "ग्रे-बॉक्स" परिदृश्यों में, हमलावरों को पीड़ित मॉडल (victim model) की सटीक वास्तुकला (architecture) का पता नहीं होता है (जैसे कि क्या यह मैट्रिक्स फैक्टराइजेशन, GCNs, या रैंकिंग-आधारित लॉस का उपयोग करता है)।

वर्तमान अत्याधुनिक ग्रेडिएंट-आधारित हमले एक निश्चित सरोगेट मॉडल (fixed surrogate model) पर आधारित जहरीले डेटा (poisoned data) को उत्पन्न करने पर निर्भर करते हैं। लेखक इस दृष्टिकोण में एक महत्वपूर्ण दोष की पहचान करते हैं: सरोगेट मॉडल पर ओवरफिटिंग (overfitting to the surrogate model)। क्योंकि सरोगेट मॉडल की संरचना वास्तविक पीड़ित मॉडल से भिन्न होती है, इसलिए जहरीला डेटा प्रभावी रूप से स्थानांतरित (transfer) नहीं हो पाता है, जिससे पीड़ित मॉडल बदलने पर हमले की सफलता दर में भारी गिरावट आती है।

2. कार्यप्रणाली (Methodology)

यह शोध पत्र शार्पनेस-अवेयर पॉइज़निंग (SharpAP) प्रस्तावित करता है, जो एक ऐसी विधि है जिसे मॉडल संरचना के बदलावों के प्रति सुदृढ़ (robust) जहरीला डेटा उत्पन्न करने के लिए डिज़ाइन किया गया है।

• मूल अंतर्ज्ञान (Core Intuition): एक एकल निश्चित सरोगेट मॉडल के विरुद्ध अनुकूलन (optimize) करने के बजाय, हमले को सबसे खराब स्थिति वाले पीड़ित मॉडल (worst-case victim model) के विरुद्ध अनुकूलित होना चाहिए (वह मॉडल जो एक संभावित पैरामीटर स्पेस के भीतर सबसे कम हमला सफलता प्रदान करता है)।
• गणितीय सूत्रण (Mathematical Formulation): लेखक हमले को एक मानक द्वि-स्तरीय अनुकूलन (bi-level optimization) समस्या से एक शार्पनेस-अवेयर मिन-मैक्स-मिन त्रि-स्तरीय अनुकूलन (tri-level optimization) समस्या में पुनर्गठित करते हैं:
  1. इनर मिन (Inner Min): जहरीले डेटा पर सरोगेट मॉडल की पुन: प्रशिक्षण (retraining) प्रक्रिया की नकल करना।
  2. मैक्स (The Sharpness Step): सरोगेट मॉडल के मापदंडों (parameters) पर एक सीमित विक्षेपण ($\theta_\Delta$) करना ताकि सबसे "शार्प" या "सबसे खराब स्थिति वाले" स्थानीय क्षेत्र को खोजा जा सके। यह उस सबसे कठिन पीड़ित मॉडल का अनुमान लगाता है जिसका सामना हमलावर को करना पड़ सकता है।
  3. आउटर मिन (Outer Min): विशेष रूप से इस सबसे खराब स्थिति वाले मॉडल के विरुद्ध हमले के नुकसान (loss) को कम करने के लिए नकली उपयोगकर्ता प्रोफाइल ($R_f$) को अनुकूलित करना।
• अनुकूलन तकनीक (Optimization Technique): कंप्यूटेशनल लागत को कम रखने के लिए, लेखक मैक्सिमाइजेशन स्टेप का अनुमान लगाने के लिए प्रथम-क्रम टेलर विस्तार (first-order Taylor expansion) का उपयोग करते हैं, जिससे यह विधि मौजूदा ग्रेडिएंट-आधारित हमलों के लगभग समान कुशल हो जाती है।

3. प्रमुख योगदान

• ओवरफिटिंग की पहचान: वे औपचारिक रूप से यह बताने वाले पहले व्यक्ति हैं कि संरचनात्मक विसंगतियों के कारण इन्जेक्टिव हमले सरोगेट मॉडल्स पर ओवरफिटिंग से ग्रस्त होते हैं।
• नवीन अनुकूलन ढांचा: वे शार्पनेस-अवेयर मिनिमाइजेशन (SAM) सिद्धांत का उपयोग करते हुए एक त्रि-स्तरीय अनुकूलन ढांचे को पेश करते हैं, जिसे अनुशंसा प्रणालियों की असतत (discrete) और जटिल प्रकृति के लिए अनुकूलित किया गया है।
• सैद्धांतिक गारंटी: वे लिप्सचिट्ज़ स्मूथनेस (Lipschitz smoothness) और टेलर विस्तार के माध्यम से एक गणितीय प्रमाण प्रदान करते हैं, जो यह दर्शाता है कि सबसे खराब स्थिति वाले विक्षेपित मॉडल के विरुद्ध नुकसान को कम करना, किसी भी अनदेखे पीड़ित मॉडल पर हमले के नुकसान के ऊपरी स्तर (upper bound) को प्रभावी ढंग से कम करता है।
• निर्बाक एकीकरण (Seamless Integration): SharpAP को एक प्लग-एंड-प्ले मॉड्यूल के रूप में डिज़ाइन किया गया है जिसे ट्रांसफर क्षमता बढ़ाने के लिए मौजूदा हमलों (जैसे RevAdv, RAPU, या DADA) में एकीकृत किया जा सकता है।

4. प्रयोगात्मक परिणाम

इस विधि का मूल्यांकन तीन वास्तविक दुनिया के डेटासेट्स (MovieLens-1M, Gowalla, और Amazon-book) पर विभिन्न पीड़ित मॉडलों (WRMF, BPR, LightGCN, SGL, SimGCL) के विरुद्ध किया गया।

• बेहतर हस्तांतरणीयता (Enhanced Transferability): Sharp-AP ने सभी डेटासेट्स में सभी बेसलाइन हमलों को लगातार पछाड़ दिया। विशेष रूप से, जब इसे RevAdv बैकबोन पर लागू किया गया, तो इसने BPR और LightGCN जैसे मॉडलों पर प्रदर्शन को काफी बढ़ाया, जहाँ पहले लाभ कम हो जाता था।
• बहुमुखी प्रतिभा (Versatility): यह विधि फुल-यूज़र हमलों (सभी उपयोगकर्ताओं को आइटमों को बढ़ावा देना) और ग्रुप हमलों (विशिष्ट जनसांख्यिकी, जैसे लिंग, को लक्षित करना) दोनों के लिए प्रभावी सिद्ध हुई।
• रक्षा तंत्र के प्रति सुदृढ़ता (Robustness to Defenses): भले ही पीड़ित मॉडल रक्षा तंत्र (जैसे PCA या PamaCF) का उपयोग कर रहे थे, SharpAP ने मानक तरीकों की तुलना में उच्च हमला सफलता दर बनाए रखी।
• दक्षता (Efficiency): इसका कंप्यूटेशनल ओवरहेड मामूली है (चलने के समय में लगभग 5% की वृद्धि), जो इसे वास्तविक दुनिया के उपयोग के लिए व्यावहारिक बनाता है।
• लॉस लैंडस्केप (Loss Landscape): विज़ुअलाइज़ेशन ने पुष्टि की कि SharpAP एक अधिक सुचारू लॉस लैंडस्केप (smoother loss landscape) बनाता है, जिसका अर्थ है कि हमला तब भी प्रभावी रहता है जब पीड़ित मॉडल के पैरामीटर सरोगेट से विचलित होते हैं।

5. महत्व

यह कार्य अनुशंसा प्रणालियों (RS) में पॉइज़निंग हमलों के प्रतिमान को "एक विशिष्ट मॉडल के लिए अनुकूलन" से बदलकर "मॉडल सुदृढ़ता/सामान्यीकरण (robustness/generalization) के लिए अनुकूलन" में बदल देता है। हमले की हस्तांतरणीयता को एक लर्निंग ऑब्जेक्टिव के रूप में मानकर, SharpAP एक अधिक यथार्थवादी और शक्तिशाली मॉडल प्रदान करता है कि कैसे प्रतिकूल संस्थाएं (adversarial entities) ब्लैक-बॉक्स अनुशंसा प्लेटफार्मों का शोषण कर सकती हैं। यह वर्तमान RS आर्किटेक्चर में एक महत्वपूर्ण सुरक्षा अंतराल को उजागर करता है और सरोगेट-आधारित हमलों की सीमाओं को समझने के लिए एक सैद्धांतिक आधार प्रदान करता है।