针对基于扩散模型的推荐系统的反去噪配置文件污染攻击

《Neurocomputing》：Anti-denoising profile pollution attacks on diffusion model-based recommender systems

　　

摘要近年来，基于扩散模型的推荐系统显著提升了推荐性能。由于具有优异的结构去噪机制，它们对传统的数据投毒攻击也表现出强大的鲁棒性。现有的攻击方法主要依赖于虚假用户注入。由于这些方法构建的虚假节点和离散边缺乏固有的逻辑一致性，通常会被识别为异常数据并由扩散过程平滑掉。为了突破这一防御，我们提出了一种名为RMGAE的反去噪用户画像污染攻击。与传统虚假用户注入不同，RMGAE旨在通过在真实用户历史记录中植入少量逻辑一致的对抗性交互序列，隐蔽地绕过扩散模型的结构去噪机制。首先，我们利用知识图谱中的语义关联构建中间桥接物品，从而增强目标物品与热门物品簇之间的逻辑连通性。随后，我们将对抗性交互序列的构建建模为双层组合优化问题，并设计了一种融合强化学习（RL）和进化算法（EA）的协同搜索策略。该策略利用RL模块动态捕获目标模型的梯度反馈，精确引导EA即使在大规模离散搜索空间中也能绕过去噪过滤。通过自适应搜索符合正常用户行为分布同时保持高攻击效力的对抗性交互序列，该方法最终构建了高度隐蔽的污染用户画像。在三个真实数据集上的大量实验表明，RMGAE优于12个现有基线方法。

引言随着在线信息的指数级增长，推荐系统[1]已演变为用户与海量信息或物品之间的核心连接枢纽。为了实现更精准的用户偏好捕捉，推荐算法从协同过滤发展到图神经网络（GNNs）[2]，最近又进入了以扩散模型为代表的生成式推荐新时代。近期的研究，如DiffKG [3]，将推荐过程建模为从噪声中生成并恢复真实用户-物品交互图。通过融入知识图谱（KGs）中的语义信息，这些模型展示了卓越的推荐性能。更重要的是，扩散模型固有的主动去噪机制能够有效识别并过滤掉缺乏逻辑关联的异常交互记录。这不仅提高了推荐准确率，还为系统建立了内在的防御屏障。

然而，这种内在防御屏障的存在直接暴露了现有数据投毒攻击[4]对推荐系统的局限性。长期以来，此类攻击主要依赖于虚假用户注入。然而，现有攻击方法在扩散模型面前失效，其根本原因在于攻击生成范式与扩散去噪机制之间的深层冲突。从攻击数据特征来看，无论是基于全局统计的启发式攻击[5]、基于GAN和梯度的生成式攻击[6]、[7]，还是侧重于优化拓扑结构的优化类攻击[8]、[9]、[10]和强化学习攻击[11]，其实质都是在全局交互图中注入孤立的虚假用户节点或局部密集子图。从扩散模型的防御机制来看，前向过程通过逐步注入噪声来破坏这些人工构建的连接；而在反向去噪过程中，模型严格遵循真实交互数据的全局流形进行结构重建。由于现有方法生成的虚假交互与真实用户兴趣分布缺乏深层语义对齐，它们在扩散模型中表现为分布外异常。因此，在迭代去噪过程中，这些对抗性连接无法获得全局协同信号的支持，最终被识别为结构噪声并由去噪网络过滤掉。这种基于生成式重建机制的过滤能力使得传统虚假用户注入攻击失效。

为了突破扩散模型独特的去噪防御屏障，我们从序列推荐系统中研究的用户画像污染攻击[12]、[13]中获得灵感。与构建缺乏逻辑连贯性的传统虚假用户不同，用户画像污染攻击假设攻击者可以控制少量真实用户。通过在他们的实际历史序列中植入逻辑一致的局部对抗性交互，被污染的用户画像保留了绝大部分真实语义特征。通过依赖真实的历史偏好并维持正常的行为分布，这种攻击模式绕过了异常检测过滤器，有效克服了导致纯虚假用户被丢弃的固有内部逻辑缺失问题，为隐蔽地绕过扩散模型的去噪机制提供了有效途径。

尽管用户画像污染攻击通过维持真实用户行为分布实现了更好的隐蔽性，但将这种模式应用于突破扩散模型推荐系统仍面临严峻挑战：如何在大规模离散物品组合空间中生成最优的对抗性交互序列。最优攻击序列的生成通常严重依赖目标模型的梯度引导。然而，扩散模型独特的迭代去噪机制使得从推荐结果到输入交互数据的反向传播路径极其漫长且充满随机性。这阻碍了梯度的有效反向传播（即梯度遮蔽效应）。由于传统的基于连续松弛和梯度的优化方法（如投影梯度下降[14]）受到此类推荐系统的限制，在大规模离散物品空间中寻找最优对抗序列通常需要不依赖梯度信息的启发式搜索或智能学习算法。然而，这些算法在面对扩散模型的结构去噪机制时也暴露出某些局限性。一方面，传统进化算法（EAs）[15]、[16]、[17]无法从目标模型的去噪逻辑中获得方向性引导，其随机变异操作容易破坏交互序列的逻辑一致性，从而触发模型的分布外过滤机制。另一方面，虽然端到端强化学习（RL）[18]擅长序列决策，但它受限于大规模离散物品空间带来的极度奖励稀疏性和频繁重训练带来的高评估成本，因此在有限预算下难以有效收敛。

鉴于孤立智能算法的缺陷，结合进化算法与强化学习的混合优化框架（ERL）在对抗生成领域展现出了潜力。然而，现有的标准ERL方法仍然无法直接突破扩散模型推荐系统的防线。这主要归因于两点：首先，扩散模型极其漫长的迭代去噪链导致攻击评估的奖励信号极度滞后和稀疏，完全失效了传统依赖密集即时奖励的RL引导机制；其次，常规ERL变异操作缺乏对图拓扑的语义约束，生成的离散扰动会破坏局部逻辑关联，随后被扩散模型的一致性验证机制识别并平滑掉。

因此，为了成功穿透扩散模型独特的去噪防御屏障，亟需设计一种新型协同搜索策略。与现有在空间中执行无约束搜索或依赖端到端稀疏反馈的混合方法不同，本文提出的RMGAE架构的创新性体现在两个针对扩散去噪机制专门设计的维度改进上。首先，在搜索空间方面，我们利用知识图谱的语义和图结构特征构建高质量候选池，为ERL提供拓扑和语义约束，确保变异操作在逻辑一致的边界内进行，从而规避结构平滑过滤。其次，在反馈机制方面，我们构建局部代理模型，并通过单步对抗性梯度更新将深层去噪逻辑转化为即时可靠的局部适应度奖励。该机制完美规避了与目标模型频繁交互带来的计算成本和奖励滞后问题。通过上述设计，RMGAE成功有效地将EA的宏观全局探索与RL的微观精确引导相结合，从而在离散空间中高效隐蔽地找到最优的对抗性交互组合。

基于上述背景，本文提出了一种面向扩散模型推荐系统的反去噪用户画像污染攻击方法——RMGAE（强化变异引导的对抗性进化）。为克服经典虚假用户注入因缺乏逻辑连贯性而容易被去噪机制过滤的局限性，RMGAE放弃了生成纯虚假用户的传统方法。该方法的核心理念在于实施"逻辑性画像污染"：在受控真实用户的历史记录中注入符合正常行为分布的连贯交互序列，从而隐蔽地规避扩散模型的异常筛选。RMGAE并非现有技术（KG、EA、RL）的简单拼接，而是一个专门针对扩散去噪机制设计的元优化框架。这三种技术的引入直接对应并解决了攻击扩散模型时的三个核心技术瓶颈。我们利用KG提取协同先验信息构建候选池并定义安全攻击边界，确保注入的数据符合真实图结构特征，从而抵御扩散模型的结构平滑效应。面对多步去噪导致的梯度遮蔽问题，我们将攻击转化为离散组合优化任务，并利用进化算法在大规模空间中进行全局搜索。为解决传统进化算法随机变异容易破坏图拓扑的问题，我们引入强化学习智能体作为导航模块，动态捕获代理模型的梯度反馈，从而精确引导变异方向。这三种技术相互依存，共同确保攻击数据能够隐蔽地穿透扩散模型的防御屏障。

本文的主要贡献总结如下：

- 我们提出了一种基于语义桥接的画像污染机制。针对扩散模型容易平滑掉异常交互的防御特征，该机制依赖知识图谱中的实体关联，在真实用户历史偏好与目标物品之间构建逻辑合理的语义路径。该方法有效克服了经典虚假用户注入的局限性，为构建高隐蔽性攻击数据奠定了基础。

- 我们提出了RMGAE反去噪攻击方法并设计了融合RL与EA的协同搜索策略。为应对大规模离散物品组合空间中的梯度遮蔽和盲目探索挑战，该策略利用RL模块动态感知模型的去噪反馈，通过精确引导来引导进化变异，使算法能够在构建的语义路径中自适应地定位高效果的对抗序列。

- 我们在三个真实数据集上进行了广泛的实证研究，验证了RMGAE的综合攻击性能。多维度实验不仅验证了该方法在低预算下提升目标物品推荐排名的能力，还进一步展示了其对异常检测算法的隐蔽性以及跨异构推荐架构的有效迁移攻击能力。

本文其余部分组织如下：第2节回顾相关工作与背景知识；第3节形式化定义推荐场景与威胁模型，分析离散空间中的双层优化挑战；第4节详细介绍所提出的RMGAE方法及其核心技术框架；第5节通过系统性实验全面评估该方法的攻击有效性、迁移性、隐蔽性和参数敏感性；第6节总结全文并展望未来工作。

章节摘要

基于扩散模型的推荐系统

在推荐系统领域，将知识图谱与图神经网络相结合已成为缓解数据稀疏性的主流范式。早期研究主要通过注意力机制（如KGAT [19]）或感受野扩展（如KGCN [20]）来提取知识图谱中的高阶实体连接。随后，研究人员进一步在用户-物品二部图上优化消息传递机制（如NGCF [21]、LightGCN [22]），证明显式建模拓扑结构可以有效……

预备知识与问题定义

在本节中，我们首先从数学角度描述基于扩散模型的推荐场景及DiffKG模型的生成机制。在此基础上，我们定义了针对此类系统的画像污染攻击，并将攻击者的目标抽象为受约束的双层组合优化问题。

最后，我们深入分析了在扩散去噪环境下求解此优化问题所面临的挑战。

**提出的攻击方法**

面对扩散模型强大的结构去噪机制，缺乏逻辑一致性的对抗交互在反向去噪过程中极易被平滑和过滤，从而导致现有攻击方法失效。为了突破这一防御屏障，本文提出了RMGAE方法。该方法摒弃了经典的假用户注入模式，将攻击任务转化为一个离散对抗序列组合优化问题。

**实验与分析**

为了评估RMGAE方法的攻击性能，本节在三个真实世界数据集上进行了大量实验，以回答以下五个核心研究问题（RQs）：

- **RQ1（攻击有效性与优越性）**：与现有基线攻击方法相比，RMGAE能否有效突破DiffKG的结构去噪屏障，显著提升目标物品的曝光率及其在Top-K推荐列表中的排名？
- **RQ2（消融研究）**：各组成部分带来了多少性能提升？

**结论**

针对基于扩散模型的推荐系统独特的结构去噪防御屏障，本文提出了一种名为RMGAE的反去噪画像污染攻击方法。为了突破扩散模型对缺乏逻辑一致性的异常交互的平滑过滤机制，RMGAE摒弃了经典的假用户注入技术，转而利用知识图谱中的语义关联来构建中间桥接物品，隐蔽地建立逻辑一致的对抗交互序列，从而有效地将对抗信号注入目标用户的画像中。

**代码可用性声明**

所提出方法的源代码可在 https://github.com/yangtx-crypto/RMGAE 获取。

**作者贡献声明（CRediT）**

周全强：写作—审阅与编辑，写作—初稿撰写，监督，资源，项目管理，资金获取，概念化。

杨同雪：写作—审阅与编辑，写作—初稿撰写，可视化，验证，软件，资源，方法学，调查，形式化分析，数据整理。

王珂珂：写作—审阅与编辑，可视化，验证。

**利益冲突声明**

作者声明他们不存在可能影响本文报告工作的已知竞争性经济利益或个人关系。

周全强于2014年获得燕山大学信息科学与工程博士学位。现为青岛理工大学信息与控制工程学院副教授。其主要研究方向包括：推荐系统、机器学习和信息安全。

周全强 | 杨同雪 | 王珂珂

青岛理工大学 信息管理系，山东 青岛 266520，中国