Sharpness-Aware Poisoning: Enhancing Transferability of Injective Attacks on Recommender Systems

Resumo Técnico: Sharpness-Aware Poisoning (SharpAP)

1. O Problema: Falta de Transferibilidade em Ataques de Envenenamento

Os Sistemas de Recomendação (RS) são vulneráveis a ataques injetivos, nos quais um atacante cria perfis de usuários falsos para promover itens específicos (ganhos econômicos ou políticos). Como o atacante geralmente não conhece o modelo exato usado pela plataforma (cenário de "caixa-cinza"), ele utiliza um modelo substituto (surrogate model) fixo para gerar os dados envenenados.

O problema central identificado pelos autores é que os métodos atuais sofrem de overfitting ao modelo substituto. Quando o modelo real da vítima possui uma estrutura diferente (ex: um modelo baseado em grafos vs. um baseado em fatoração de matrizes), os dados gerados para o substituto perdem eficácia. Em suma, a suposição de que dados otimizados para um modelo fixo funcionarão em qualquer outro é falha devido às discrepâncias estruturais entre os modelos.

2. Metodologia: Otimização Tri-nível Baseada em Sharpness

Para mitigar o overfitting, os autores propõem o Sharpness-Aware Poisoning (SharpAP). A ideia intuitiva é: em vez de otimizar o ataque para um modelo fixo, deve-se otimizar para o pior caso de modelo vítima (aquele que minimiza o efeito do ataque).

A abordagem técnica envolve:

• Princípio de Minimização Consciente da Nitidez (Sharpness-Aware Minimization - SAM): Inspirado em técnicas de generalização de aprendizado profundo, o SharpAP busca não apenas o ponto de perda mínima, mas um ponto onde a perda seja baixa mesmo em uma vizinhança de parâmetros. Isso evita "vales" muito estreitos e agudos na paisagem de perda (loss landscape), que são altamente sensíveis a mudanças de modelo.
• Problema de Otimização Tri-nível (Min-Max-Min): O ataque é formulado matematicamente como:
  1. Min (Externo): Minimizar a perda do ataque ($L_{atk}$) através da otimização dos perfis dos usuários falsos ($R_f$).
  2. Max (Intermediário): Maximizar a perda do ataque dentro de uma perturbação limitada ($\theta_\Delta$) em torno dos parâmetros do modelo substituto para encontrar o "pior caso" de modelo vítima.
  3. Min (Interno): Minimizar a perda de recomendação ($L_{rec}$) para treinar o modelo substituto com os dados envenenados.
• Implementação: O método utiliza uma expansão de Taylor de primeira ordem para aproximar o passo de maximização, tornando o custo computacional marginalmente maior (apenas cerca de 5% de overhead) em comparação aos ataques base.

3. Principais Contribuições

• Identificação do Overfitting de Substitutos: Foi o primeiro trabalho a demonstrar formalmente que a falta de transferibilidade em ataques injetivos decorre do overfitting à estrutura do modelo substituto.
• Novo Paradigma de Ataque: Introdução do SharpAP, que transforma ataques bi-níveis tradicionais em problemas de otimização tri-nível conscientes da "nitidez" (sharpness).
• Análise Teórica: Fornecimento de uma prova matemática (limite de transferibilidade) que demonstra que otimizar contra o pior caso de modelo reduz o limite superior da perda de ataque em modelos vítimas desconhecidos.
• Versatilidade: O SharpAP pode ser integrado como um módulo de melhoria a diversos ataques existentes (como RevAdv, RAPU, DADA, etc.).

4. Resultados Experimentais

Os autores testaram o método em três datasets reais (MovieLens-1M, Gowalla, Amazon-book) contra diversos modelos de recomendação (WRMF, BPR, LightGCN, SGL, SimGCL).

• Melhoria na Transferibilidade: O SharpAP superou consistentemente todos os baselines em ataques de usuário total (full-user) e ataques de grupo (group attacks).
• Robustez contra Defesas: Mesmo quando modelos de defesa (como PCA, APT e PamaCF) eram aplicados, o SharpAP manteve uma performance de ataque significativamente superior aos métodos tradicionais.
• Suavização da Paisagem de Perda: Visualizações de t-SNE e de loss landscape confirmaram que o SharpAP gera perfis de usuários falsos que são mais "dispersos" e menos detectáveis estatisticamente, além de criar uma paisagem de perda mais suave, o que explica a maior transferência entre modelos.
• Desempenho em Itens "Frios": O método mostrou-se particularmente eficaz ao atacar itens pouco populares (unpopular items), que são tradicionalmente mais difíceis de promover.

5. Significância

Este trabalho é significativo para a segurança de sistemas de recomendação pois altera o foco do ataque: de "como enganar este modelo específico" para "como criar dados que enganem qualquer modelo dentro de uma classe de estruturas". Isso eleva o nível de ameaça que os desenvolvedores de RS devem considerar, exigindo defesas mais robustas que não dependam apenas da detecção de anomalias estatísticas simples.