Fairness Attacks on Recommender Systems

Technische Samenvatting: Fairness Attacks op Aanbevelingssystemen

Probleemstelling
Aanbevelingssystemen, hoewel essentieel voor het verminderen van informatieoverload, worden geconfronteerd met een kritieke uitdaging met betrekking tot onrechtvaardigheid (unfairness), waarbij specifieke gebruikersgroepen (bijv. op basis van geslacht of ras) systematisch worden gediscrimineerd. Terwijl bestaand onderzoek uitgebreid heeft gestudeerd naar adversariële aanvallen gericht op het manipuleren van de prestaties van aanbevelingen (bijv. promotie- of demotie-aanvallen), blijft de kwetsbaarheid van de rechtvaardigheid (fairness) van aanbevelingen voor dergelijke aanvallen grotendeels onderbelicht. Dit artikel behandelt het probleem van "fairness attacks", waarbij een aanvaller probeert de inherente onrechtvaardigheid van een doel-aanbevelingssysteem te verergeren. De kernuitdaging ligt in het feit dat doelsystemen rechtvaardigheidsbewuste training kunnen toepassen en gevoelige attributen (zoals geslacht) kunnen gebruiken. Een effectieve aanvaller moet daarom niet alleen nepitems selecteren om te injecteren, maar ook het gevoelige attribuut (geslacht) van de nepgebruikersprofielen bepalen om de degradatie van de rechtvaardigheid te maximaliseren.

Methodologie: Structure-Aware Reinforcement Learning-based Fairness Attack (SRLFA)
De auteurs stellen een nieuwe methode voor, SRLFA, die de generatie van nepgebruikersprofielen frameert als een sequentieel beslissingsproces gemodelleerd als een Markov Decision Process (MDP). Het framework opereert onder een black-box setting, waarbij de aanvaller de parameters van het doelmodel niet kent, maar wel toegang heeft tot de trainingsdata. Om de aanval te optimaliseren, maken de auteurs gebruik van een lokale surrogaat-aanbeveler die getraind is met rechtvaardigheidsbewuste doelstellingen om beloningsfeedback te geven.

Het SRLFA-framework bestaat uit vijf sleutelmodules:

1. Graph-gebaseerde Structure Encoder: Omdat gebruikers-item interacties een bipartiete graaf vormen, gebruikt de methode een Graph Convolutional Network (GCN) om de structurele afhankelijkheden tussen de geïnjecteerde nepgebruikers-item interacties en de oorspronkelijke interactiegraaf te modelleren. Deze encoder leert structure-bewuste representaties voor zowel nepgebruikers als nepitems, waarbij wordt vastgelegd hoe nieuwe randen de globale grafstructuur veranderen.
2. Sequential Encoder: Omdat nepitems sequentieel binnen een gebruikersprofiel worden gegenereerd, wordt een Recurrent Neural Network (specifiek LSTM) gebruikt om de sequentiële afhankelijkheden tussen de gegenereerde nepitems te modelleren en een sequentie-bewuste representatie te leren.
3. Item Selection Policy: Op basis van de gecombineerde structure-bewuste en sequentie-bewuste representaties bepaalt een masked attention mechanisme het volgende te injecteren nepitem. Deze policy zorgt ervoor dat items binnen één enkel nepgebruikersprofiel verschillend zijn.
4. Gender Selection Policy: Om het probleem van gevoelige attributen aan te pakken, beslist een apart policy netwerk over het geslacht (bijv. man of vrouw) voor elk nepgebruikersprofiel. Deze beslissing wordt op profielniveau gemaakt (elke $M$ stappen) met behulp van de geaggregeerde structurele en sequentiële representaties van het profiel.
5. Surrogate Recommender & Training: De aanvaller maakt gebruik van een surrogaatmodel (Matrix Factorization met Bayesian Personalized Ranking) dat een rechtvaardigheidsregularisatieterm bevat om potentiële rechtvaardigheidsbewuste training in het doelsysteem te simuleren. Zowel de item selectie- als de gender selectie-policies worden gezamenlijk getraind met Proximal Policy Optimization (PPO) om de cumulatieve beloning te maximaliseren, gedefinieerd als de toename van de onrechtvaardigheidsmetriek ($Unfair_F$).

Belangrijkste Bijdragen

• Nieuwe Verkenning van het Probleem: Het artikel identificeert en onderzoekt het onderbelichte domein van adversariële aanvallen die specifiek gericht zijn op de rechtvaardigheid van aanbevelingssystemen, waarbij de sociale implicaties van dergelijke kwetsbaarheden worden benadrukt.
• Structure-Aware Aanvallingsmethode: In tegenstelling tot eerdere RL-gebaseerde prestatie-aanvallen die de graaftopologie negeren, modelleert SRLFA expliciet de structurele afhankelijkheid tussen geïnjecteerde nepinteracties en de oorspronkelijke gebruikers-item graaf met behulp van een graph encoder.
• Gezamenlijke Leerproces van Items en Attributen: De methode introduceert een hiërarchische policy die de selectie van nepitems en de toewijzing van gevoelige attributen (geslacht) gezamenlijk en end-to-end leert, wat voldoet aan de unieke vereisten van fairness attacks.
• Uitgebreide Evaluatie: De studie evalueert de methode tegen vier doelmodellen (NCF, LightGCN, en hun rechtvaardigheidsbewuste varianten) op twee real-world datasets (MovieLens en Last.fm), wat de effectiviteit van de methode aantoont in zowel standaard als rechtvaardigheidsbewuste scenario's.

Experimentele Resultaten
Uit uitgebreide experimenten blijkt dat SRLFA de baseline methoden (inclusclusief aangepaste prestatie-aanvallen en invloedsgebaseerde fairness attacks) aanzienlijk overtreft in het verergeren van onrechtvaardigheid:

• Standaard Aanbevelers: SRLFA verhoogde de onrechtvaardigheidsmetriek ($Unfair_{NDCG}$) met gemiddeld 297,24% over verschillende modellen en datasets, waarmee het de baselines aanzienlijk overtrof. Het verminderde ook opmerkelijk de aanbevelingsprestaties voor benadeelde groepen (bijv. vrouwelijke gebruikers), waardoor de prestatiekloof werd vergroot.
• Rechtvaardigheidsbewuste Aanbevelers: Zelfs wanneer het doelsysteem rechtvaardigheidsbewuste training (regularisatie) toepast, slaagde SRLFA erin de onrechtvaardigheid te intensiveren, met een gemiddelde toename van $Unfair_{NDCG}$ van 1259,66% op rechtvaardigheidsbewuste modellen.
• Robuustheid: De methode bleef effectief, zelfs wanneer de aanvaller slechts toegang had tot een deelverzameling (bijv. 30%) van de trainingsdata.
• Parametergevoeligheid: De prestaties van de aanval bleken gevoelig voor het aantal nepprofielen ($N$) en het aantal interacties per profiel ($M$), waarbij optimale resultaten werden waargenomen bij gemiddelde waarden van $N$ en $M$ die de gemiddelde interactieaantallen van gebruikers benaderen.

Betekenis en Claims
Het artikel stelt dat de ontwikkeling van geavanceerde algoritmen voor fairness attacks een vereiste is voor het "red-teaming" van aanbevelingssystemen. De auteurs argumenteren dat zonder agressieve aanvalssimulaties de robuustheid van rechtvaardigheidsmechanismen aanzienlijk onderschat kan worden, wat leidt tot een vals gevoel van veiligheid. Door aan te tonen dat rechtvaardigheidsbewuste systemen nog steeds kwetsbaar zijn voor structurele en attribuut-gebaseerde adversariële injecties, benadrukt het artikel de kritieke noodzaak voor proactieve identificatie van kwetsbaarheden en de ontwikkeling van meer veerkrachtige strategieën voor het mitigeren van onrechtvaardigheid. Dit werk dient als een fundamentele stap in het begrijpen van de specifieke kwetsbaarheden van de rechtvaardigheid van aanbevelingen.