🤖 machine learning

Sharpness-Aware Poisoning: Enhancing Transferability of Injective Attacks on Recommender Systems

이 논문은 추천 시스템에 대한 주입 공격(injective attack) 시 대리 모델(surrogate model)과 실제 피해 모델(victim model) 간의 구조적 차이로 인한 전이성 저하 문제를 해결하기 위해, 샤프니스 인식 최소화(sharpness-aware minimization) 원리를 활용하여 최악의 피해 모델에 대응하는 강건한 독성 데이터를 생성하는 'SharpAP' 기법을 제안합니다.

원저자: Junsong Xie, Yonghui Yang, Pengyang Shao, Le Wu

게시일 2026-04-27

📖 2 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Junsong Xie, Yonghui Yang, Pengyang Shao, Le Wu

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

1. 배경: 추천 시스템의 약점 (가짜 리뷰어의 등장)

우리가 쇼핑몰에서 물건을 살 때, "이 제품은 1,000명이 구매했습니다"라는 문구를 보고 믿음을 갖죠? 공격자들은 이 점을 이용합니다. 수백 개의 가짜 계정을 만들어 특정 상품에 "좋아요"를 누르거나 구매하는 척을 해서, 그 상품이 마치 인기 있는 것처럼 시스템을 속이는 것이죠. 이것을 **'주입 공격(Injective Attack)'**이라고 합니다.

2. 기존 공격의 문제점: "한 놈만 패면 다른 놈은 안 맞는다?"

공격자들은 보통 타겟 시스템(예: 아마존)이 어떤 알고리즘을 쓰는지 모릅니다. 그래서 공격자들은 자기만의 **'연습용 모델(대리 모델)'**을 하나 만듭니다.

비유하자면: 어떤 성벽을 무너뜨리고 싶은 공격자가 있습니다. 그런데 성벽의 설계도를 모르니, 일단 자기 집 마당에 **'가짜 성벽(연습용 모델)'**을 하나 쌓아놓고, 망치로 때려보며 가장 잘 무너지는 지점을 찾아냅니다. 그리고 "아하! 여기를 때리면 무너지겠구나!" 하고 실제 성벽을 공격하러 가는 거죠.
문제는 여기서 발생합니다: 공격자가 연습한 가짜 성벽은 돌로 만들었는데, 실제 성벽은 철로 만들어져 있다면? 연습할 때 찾은 약점이 실제 성벽에서는 전혀 통하지 않겠죠. 이것을 논문에서는 '전이성(Transferability)이 낮다' 혹은 **'연습 모델에 과적합(Overfitting)되었다'**고 표현합니다.

3. 이 논문의 해결책: SharpAP (최악의 상황을 대비하는 전략)

연구팀은 생각을 바꿨습니다. "연습용 모델 하나만 완벽하게 공략할 게 아니라, **세상에 존재할 수 있는 가장 까다로운 성벽(최악의 모델)**을 가정하고 연습하자!"라고 말이죠.

이것이 바로 **SharpAP(Sharpness-Aware Poisoning)**입니다.

비유하자면 (전략의 변화):
- 기존 방식: "내 가짜 성벽을 무너뜨리는 가장 쉬운 방법을 찾자."
- SharpAP 방식: "내 가짜 성벽을 무너뜨리려고 할 때, **조금만 설계가 바뀌어도(성벽 재질이 바뀌어도) 가장 골치 아프게 굴 법한 '가장 단단하고 까다로운 상태'**를 가정하고, 그 상태에서도 통할 수 있는 강력한 망치질 지점을 찾자!"

즉, 단순히 한 모델을 맞추는 게 아니라, **모델의 구조가 조금 변하더라도(예: 맷집이 강해지거나 재질이 바뀌어도) 여전히 효과가 있는 '범용적인 약점'**을 찾아내는 기술입니다.

4. 결과: "어디에 던져도 통한다!"

실험 결과, SharpAP를 사용한 공격은 기존 방식보다 훨씬 강력했습니다.

적응력 만렙: 연습할 때 썼던 모델과 전혀 다른 방식의 추천 시스템(알고리즘)을 만나도, 공격이 아주 잘 먹혔습니다.
숨기기 달인: 가짜 계정들이 너무 튀지 않게, 실제 사용자들 사이에 자연스럽게 섞여 들어가면서도 공격 효과는 확실하게 냈습니다. (마치 스파이가 군중 속에 자연스럽게 섞여 있는 것과 같습니다.)

요약하자면...

이 논문은 **"공격용 가짜 데이터를 만들 때, 특정 모델에만 딱 맞는 '맞춤형'이 아니라, 어떤 모델을 만나도 통하는 '범용적인 약점'을 찾는 수학적 방법(Sharpness-Aware)을 개발했다"**는 내용입니다.

이 연구는 역설적으로 추천 시스템을 더 안전하게 방어하기 위해, 공격자가 어떤 식으로 '범용적인 약점'을 파고드는지 이해하는 데 매우 중요한 밑거름이 됩니다.

[기술 요약] Sharpness-Aware Poisoning (SharpAP)

1. 문제 정의 (Problem Statement)

추천 시스템(RS)에 대한 **주입 공격(Injective Attack)**은 공격자가 가짜 사용자 프로필을 생성하여 특정 타겟 아이템의 노출 빈도를 인위적으로 높이는 공격입니다.

기존의 그래디언트 기반(Gradient-based) 공격 방식은 공격 대상인 '희생 모델(Victim Model)'을 알 수 없는 블랙박스 환경이기 때문에, 공격자는 보통 **고정된 대리 모델(Fixed Surrogate Model)**을 사용하여 오염된 데이터(Poisoned Data)를 생성합니다. 그러나 이 방식은 다음과 같은 치명적인 한계가 있습니다.

과적합(Overfitting) 문제: 생성된 데이터가 대리 모델의 구조에만 최적화되어, 실제 희생 모델의 구조(예: Matrix Factorization vs. GCN 기반 모델)가 다를 경우 공격 효과가 급격히 떨어지는 낮은 전이성(Poor Transferability) 문제를 보입니다.
구조적 불일치: 대리 모델과 희생 모델 사이의 구조적 차이를 고려하지 못하는 "One poisons all" 전략의 한계가 존재합니다.

2. 제안 방법론 (Methodology: SharpAP)

본 논문은 공격의 전이성을 높이기 위해 Sharpness-Aware Minimization (SAM) 원리를 공격 과정에 도입한 SharpAP를 제안합니다.

핵심 아이디어: 고정된 대리 모델 하나에 최적화하는 대신, **"최악의 경우의 희생 모델(Worst-case Victim Model)"**을 찾아 그 모델에 대해 공격 효과를 극대화하도록 데이터를 최적화합니다. 이를 통해 모델 구조 변화에 강건한(Robust) 데이터를 생성합니다.
수학적 정식화 (Tri-level Optimization): 기존의 이중 최적화(Bi-level) 문제를 확장하여 삼중 최적화(Tri-level Optimization) 문제로 재정의합니다.
1. Inner Min: 오염된 데이터를 포함하여 대리 모델의 추천 손실( $L_{rec}$ )을 최소화 (모델 학습 단계).
2. Middle Max (Sharpness-aware): 대리 모델의 파라미터 주변에 유계된 섭동(Bounded Perturbation, $\theta_\Delta$ )을 가하여 공격 손실( $L_{atk}$ )이 최대가 되는 지점(최악의 모델 근사치)을 탐색.
3. Outer Min: 위에서 찾은 최악의 모델에 대해 공격 손실( $L_{atk}$ )을 최소화하도록 가짜 사용자 프로필( $R_f$ )을 최적화.
최적화 기법: 1차 테일러 전개(First-order Taylor expansion)를 사용하여 계산 복잡도를 낮추었으며, 투영 경사 하강법(Projected Gradient Descent)을 통해 가짜 사용자의 아이템 개수 제한 조건을 준수합니다.

3. 주요 기여 (Key Contributions)

문제 제기: 주입 공격에서 대리 모델에 대한 과적합 문제와 그로 인한 전이성 저하 문제를 최초로 지적했습니다.
새로운 프레임워크: SAM 원리를 활용하여 최악의 모델을 근사하고, 이를 통해 전이성을 높이는 SharpAP 프레임워크를 제안했습니다.
이론적 증명: Sharpness-aware 공격이 최악의 모델을 최적화함으로써 희생 모델의 공격 손실 상한선(Upper bound)을 낮추어 전이성을 향상시킨다는 것을 수학적으로 증명했습니다.
범용성: 기존의 다양한 그래디언트 기반 공격 방법론(RevAdv, RAPU, DADA 등)에 SharpAP를 결합하여 성능을 즉각적으로 향상시킬 수 있는 통합 구조를 제공합니다.

4. 실험 결과 (Results)

MovieLens-1M, Gowalla, Amazon-book 등 3개의 실제 데이터셋을 통해 검증한 결과는 다음과 같습니다.

전이성 향상: 기존 공격 방식(RevAdv 등)에 SharpAP를 결합했을 때, 대리 모델(WRMF)뿐만 아니라 전혀 다른 구조를 가진 희생 모델(BPR, LightGCN, SGL 등)에서도 공격 성공률(Hit Ratio)이 비약적으로 상승했습니다.
공격 유형 대응: 전체 사용자 대상 공격(Full-user attack)과 특정 그룹 대상 공격(Group attack) 모두에서 탁월한 성능을 보였습니다. 특히 공격하기 어려운 **비인기 아이템(Unpopular items)**에 대한 공격 성능을 크게 개선했습니다.
방어 모델에 대한 강건성: PCA, APT, PamaCF와 같은 기존의 추천 시스템 방어 기법이 적용된 환경에서도 SharpAP는 기존 공격자들보다 높은 공격 성공률을 유지하며 방어 체계를 우회했습니다.
효율성: 계산 복잡도 증가가 미미하여(기존 대비 약 5%의 시간 증가), 실용적인 공격 방법임을 입증했습니다.

5. 의의 (Significance)

본 연구는 추천 시스템의 보안 취약점을 깊이 있게 분석하고, **"모델의 날카로움(Sharpness)을 제어함으로써 공격의 일반화 성능을 높일 수 있다"**는 새로운 관점을 제시했습니다. 이는 향후 더 강력한 적대적 공격을 이해하고, 이에 대응하는 더 견고한(Robust) 추천 시스템 방어 메커니즘을 설계하는 데 중요한 기초 자료가 될 것입니다.