随着电商、短视频、直播内容平台的迅猛发展，推荐算法已经成为互联网最重要的内容分发方式之一。我们每天看到的商品推荐、视频推送、新闻资讯，其实都是一套复杂算法在后台动态计算的结果。然而，推荐系统并不是绝对安全的，它也可能被攻击、操纵，甚至被黑灰产利用来获利。

为了系统梳理这一领域的发展与挑战，长安大学数据科学与人工智能研究院网络空间安全研究中心在国际顶级期刊 IEEE Transactions on Knowledge and Data Engineering（TKDE、中科院一区TOP、CCF A） 上发表了最新综述论文《Attacks and Detections in Recommender Systems: A Comprehensive Analysis for Models, Progresses, and Trends》。这篇论文被认为是近年来推荐系统安全领域最全面的攻防总结之一。论文和代码均已Open Access，欢迎批评指正。

论文链接：https://ieeexplore.ieee.org/document/11271869

存储库：https://github.com/xiaofengbbb/RS-Papers

团队针对 2018–2025 年期间超过 230 篇论文进行全面整理，从攻击方法、检测策略、系统脆弱性、隐私风险等多个方面构建了推荐系统安全的完整框架。

文章的贡献点

1. 系统地探讨推荐系统的攻击与防御：文章讨论了针对推荐系统的现有攻击模型，并深入分析了攻击原理以及防御的可能性。此外，作者还讨论了现有的检测方法，并对其有效性和局限性进行了评估。
2. 从防御角度重新审视攻击行为：通过比较攻击和防御工作，文章揭示了两者之间的关联。对于已被防御的攻击，作者讨论了这些防御措施的优缺点。对于尚未被防御的攻击，作者探讨了防御的可行性和潜在方向。
3. 针对真实未标记数据的异常发现和取证：文章讨论了针对真实未标记数据的异常取证和有趣发现的防御方法。这一讨论为防御方法在实际场景中的应用提供了定性分析。
4. 选择比较方法的建议：文章提出了一条选择基准方法的建议。该建议为研究人员选择与其实验方法相关的基准方法提供了指导。
5. 开源库的创建：为了促进推荐系统安全领域的研究与合作，文章设计了一个存储库，整合了各种攻击和防御方法的实现。
6. 最后，文章探讨了推荐系统安全领域的潜在研究方向。这一讨论为未来的研究开辟了新的途径。

针对推荐系统的攻击策略

作者从四个维度总结了攻击方面的研究：（1）基于目标的攻击策略；（2）针对安全和隐私的攻击策略；（3）基于先验知识的攻击策略；（4）针对其他推荐系统的攻击策略。如图所示，作者展示了每个维度研究的具体比例。同时，文章探讨了为每个维度设计防御方法的可能性，并提出了潜在的研究方向。此外，图中还展示了当前流行的基于隐藏的攻击策略。

针对推荐系统的检测与异常取证

作者从五个维度总结了防御方法：（1）基于统计的行为表示；（2）基于隐藏特征的检测；（3）针对隐私攻击的检测；（4）基于关联挖掘的异常发现；（5）针对现实世界数据的异常取证。如图所示，作者展示了每个维度中防御方法的具体比例。同时，文章讨论了检测方法当前存在的问题，并提出了潜在的研究方向。

总结

在这篇综述中，长安大学团队系统地梳理了针对推荐系统的现有攻击和防御方法，旨在为深入理解推荐系统的安全性提供全面的发展视角。首先，作者介绍了推荐系统的威胁模型，为分析推荐系统的安全问题奠定了理论基础。随后，作者分别提出了全新的攻击和防御分类方法。通过这一分类框架，团队系统地总结了文献中描述的 95 种攻击和 130 种相应的防御方法。接着，通过对攻击与防御的相关讨论，作者揭示了两者之间的内在联系，并获得了更深入的研究见解。

此外，为了便于实验的可重复性和比较研究，团队还提供了一个开源库。该库涵盖了多种攻击和防御模型以及基准数据集，期望能够拓展推荐系统安全研究的深度和广度。最后，团队总结了当前研究的局限性，并提出了未来的研究方向，旨在为研究人员提供指导和参考。

相关工作

Z. Yang, Y. Feng, J. Li, P. Wang and Z. Liu, “Meet Trick With Trick: Revealing Collusion Intentions in Highly Concealed Poisoning Behavior,” in IEEE TDSC, doi: 10.1109/TDSC.2025.3613425.
论文链接：https://ieeexplore.ieee.org/abstract/document/11176436

该团队针对高度隐蔽或小规模的数据投毒攻击，提出了一种名为METT的分而治之的检测方法。首先，作者提出利用基于群体和个体层面不公平序列的因果推断来增强用户-物品共生关联的可靠性。然后，作者开发了一种名为ideaT的新型攻击目标早期检测方法。最后，利用一种在行为边界模糊的情况下具有抗干扰能力的机制，进一步区分虚假注入。