Fairness Attacks on Recommender Systems

기술 요약: 추천 시스템에 대한 공정성 공격 (Fairness Attacks on Recommender Systems)

문제 정의
정보 과부하를 완화하기 위해 필수적인 추천 시스템은 특정 사용자 그룹(예: 성별 또는 인종 기반)이 체계적으로 차별받는 불공정성(unfairness)이라는 중대한 문제에 직면해 있다. 기존 연구들은 추천 성능(예: 프로모션 또는 디모션 공격)을 조작하기 위한 적대적 공격을 광범적으로 연구해 왔으나, 추천 공정성(recommendation fairness)의 이러한 공격에 대한 취약성은 여전히 미개척 영역으로 남아 있다. 본 논문은 공격자가 대상 추천 시스템의 고유한 불공정성을 악화시키는 것을 목표로 하는 "공정성 공격(fairness attacks)" 문제를 다룬다. 핵심적인 도전 과제는 대상 시스템이 공정성 인식 학습(fairness-aware training)을 채택하고 민감한 속성(예: 성별)을 활용할 수 있다는 점이다. 따라서 효과적인 공격자는 주입할 가짜 아이템을 선택할 뿐만 아니라, 불공정성의 저하를 극대화하기 위해 가짜 사용자 프로필의 민감한 속성(성별)을 결정해야 한다.

방법론: 구조 인식 강화 학습 기반 공정성 공격 (SRLFA)
저자들은 SRLFA라는 새로운 방법을 제안하며, 이는 가짜 사용자 프로필 생성을 마르코프 결정 과정(MDP)으로 모델링된 순차적 의사결정 과정으로 프레임워크화한다. 이 프레임워크는 공격자가 대상 모델의 파라미터를 알지 못하지만 훈련 데이터에는 접근할 수 있는 블랙박스 설정 하에서 작동한다. 공격을 최적화하기 위해, 저자들은 공정성 인식 목적 함수를 사용하여 훈련된 로컬 대리 추천 시스템(local surrogate recommender)을 사용하여 보상 피드백을 제공한다.

SRLFA 프레임워크는 다섯 가지 핵심 모듈로 구성된다:

1. 그래프 기반 구조 인코더 (Graph-based Structure Encoder): 사용자-아이템 상호작용이 이분 그래프(bipartite graph)를 형성한다는 점을 인식하여, 주입된 가짜 사용자-아이템 상호작용과 원래의 상호작용 그래프 사이의 구조적 의존성을 모델링하기 위해 그래프 합성곱 신경망(GCN)을 사용한다. 이 인코더는 가짜 사용자와 가짜 아이템 모두에 대해 구조 인식 표현을 학습하여, 새로운 엣지가 글로벌 그래프 구조를 어떻게 변화시키는지 포착한다.
2. 순차 인코더 (Sequential Encoder): 가짜 아이템이 하나의 사용자 프로필 내에서 순차적으로 생성되므로, LSTM(Recurrent Neural Network의 일종)을 사용하여 생성된 가짜 아이템 간의 순차적 의존성을 모델링하고 순차 인식 표현을 학습한다.
3. 아이템 선택 정책 (Item Selection Policy): 결합된 구조 인식 및 순차 인식 표현을 바탕으로, 마스크드 어텐션(masked attention) 메커니즘이 다음에 주입할 가짜 아이템을 결정한다. 이 정책은 단일 가짜 사용자 프로필 내의 아이템들이 서로 중복되지 않도록 보장한다.
4. 성별 선택 정책 (Gender Selection Policy): 민감한 속성 문제를 해결하기 위해, 별도의 정책 네트워크가 각 가짜 사용자 프로필에 대한 성별(예: 남성 또는 여성)을 결정한다. 이 결정은 프로필의 통합된 구조적 및 순차적 표현을 사용하여 프로필 단위(매 $M$ 단계마다)로 이루어진다.
5. 대리 추천 시스템 및 훈련 (Surrogate Recommender & Training): 공격자는 대상 시스템의 잠재적인 공정성 인식 훈련을 시뮬레이션하기 위해 공정성 정규화 항이 포함된 행렬 분해(Matrix Factorization with Bayesian Personalized Ranking) 모델을 활용한다. 아이템 선택 및 성별 선택 정책은 불공정성 지표($Unfair_F$)의 증가를 최대화하도록 근사 정책 최적화(PPO)를 사용하여 공동으로 훈련된다.

주요 기여

• 새로운 문제 탐구: 본 논문은 추천 시스템의 공정성을 구체적으로 겨냥한 적대적 공격이라는 미개척 영역을 식별하고 조사하며, 이러한 취약성의 사회적 함의를 강조한다.
• 구조 인식 공격 방법: 그래프 토폴로지를 간과하는 기존의 RL 기반 성능 공격과 달리, SRLFA는 그래프 인코더를 사용하여 주입된 가짜 상호작용과 원래의 사용자-아이템 그래프 사이의 구조적 의존성을 명시적으로 모델링한다.
• 아이템 및 속성의 공동 학습: 본 방법은 가짜 아이템 선택과 민감한 속성(성별) 할당을 계층적 정책을 통해 엔드투엔드 방식으로 공동 학습함으로써, 공정성 공격의 고유한 요구 사항을 해결한다.
• 포괄적인 평가: 본 연구는 두 개의 실제 데이터셋(MovieLens 및 Last.fm)에 대해 네 가지 대상 모델(NCF, LightGCN 및 그 공정성 인식 변형 모델들)을 대상으로 해당 방법을 평가하여, 다양한 표준 및 공정성 인식 시나리오에서의 효능을 입증하였다.

실험 결과
광범위한 실험 결과, SRLFA는 불공정성을 악화시키는 데 있어 기존 베이스라인 방법들(적응된 성능 공격 및 영향력 기반 공정성 공격 포함)을 크게 능가하였다:

• 표준 추천 시스템: SRLFA는 다양한 모델과 데이터셋에 걸쳐 불공정성 지표($Unfair_{NDDC}$)를 평균 297.24% 증가시켰으며, 이는 베이스라인을 크게 상회하는 수치이다. 또한 소외된 그룹(예: 여성 사용자)에 대한 추천 성능을 눈에 띄게 감소시켜 성능 격차를 벌렸다.
• 공정성 인식 추천 시스템: 대상 시스템이 공정성 인식 훈련(정규화)을 수행하더라도, SRLFA는 공정성 인식 모델에서 $Unfair_{NDCG}$를 평균 1259.66% 증가시키며 성공적으로 불공정성을 심화시켰다.
• 강건성: 공격자가 훈련 데이터의 일부(예: 30%)에만 접근할 수 있는 상황에서도 이 방법은 효과적이었다.
• 파라미터 민감도: 공격 성능은 가짜 프로필의 수($N$)와 프로필당 상호작용 수($M$)에 민감한 것으로 나타났으며, $N$과 $M$이 평균 사용자 상호작용 수를 근사하는 중간 값일 때 최적의 결과가 관찰되었다.

의의 및 주장
본 논문은 고급 공정성 공격 알고리즘의 개발이 추천 시스템의 "레드팀(red-teaming)" 수행을 위한 전제 조건이라고 주장한다. 저자들은 공격적인 공격 시뮬레이션 없이는 공정성 메커니즘의 강건성이 상당히 과소평가될 수 있으며, 이는 잘못된 보안 신뢰(false sense of security)로 이어질 수 있다고 강조한다. 공정성 인식 시스템이 여전히 구조적 및 속성 기반의 적대적 주입에 취약하다는 것을 입증함으로써, 본 논문은 선제적인 취약점 식별과 더 회복력 있는 공정성 완화 전략 개발의 중요성을 역설한다. 이 연구는 추천 공정성의 구체적인 취약성을 이해하는 데 있어 기초적인 단계 역할을 한다.