【RS-Attack】攻击MF：Data Poisoning Attacks on Factorization-Based Collaborative Filtering (NIPS‘16)

Data Poisoning Attacks on Factorization-Based Collaborative Filtering NIPS’16

针对矩阵分解的投毒攻击。文章针对两个矩阵分解算法，提出了三类攻击目标，设计了两种攻击方法，以及逃避检测的方法。

问题定义

推荐系统的本质是一个矩阵补全。矩阵分解是实现矩阵分解的一种方法。目标是补全矩阵$M$，那么不断训练矩阵$U,V$，使$U{V}^T$尽可能拟合$M$中已经观测到了的值${\mathbf{M}}_{\Omega }$，那么就认为$U{V}^T$可以已经补全了$M$。数学表达：
$$\underset{\mathbf{U}\in {\mathbb{R}}^{m\times k},\mathbf{V}\in {\mathbb{R}}^{n\times k}}{\min }\left\{{\Vert {\mathcal{R}}_{\Omega }\left(\mathbf{M}-\mathbf{U}{\mathbf{V}}^{\top }\right)\Vert }_F^2+2{\lambda }_U\Vert \mathbf{U}{\Vert }_F^2+2{\lambda }_V\Vert \mathbf{V}{\Vert }_F^2\right\}$$
现在添加一部分假用户$m^{{}^{\prime }}=\alpha m$，矩阵变成了$M$和$\tilde{M}$，参数变成了$U,\tilde{U},V$。这个时候优化目标为：
Θ λ ( M ~ ; M ) = arg ⁡ min ⁡ U ,