The Like Trap: Multi-Stage Poisoning against Agents in Similarity-based Recommendation Systems
Yue Xing, Pengfei He, Zitao Li
cs.CR · cs.AI · cs.LG · stat.ML
Quick verdict
声称多阶段中毒劫持了 like-score 循环以操纵 agent feed；有理论支持，消融实验充分，但成功仅衡量了暴露程度，而非对 agent 的实际危害。
Summary
该论文研究了攻击者如何通过操纵推荐系统本身来破坏管理社交媒体账户的 LLM agent，而不是直接将 agent 暴露给中毒内容。基于 OASIS 的基于相似度的管道和 TwHIN-BERT 嵌入，作者分析了 like-score 反馈循环（推荐分数 = 用户-帖子余弦相似度乘以一个由与最近点赞窗口相似度导出的乘数），并证明了充分条件（定理 4.1，C1–C4）：在该条件下，一个具有严格递减相似度调度 σ1>…>σM 的阶段性帖子序列会被依次点赞，将后续、相似度较低的阶段拉入 feed 中；命题 4.1 限制了最小阶段数，命题 4.2 限制了当 feed 小于候选池时所需的每阶段帖子数量。算法 1 使用 LLM 生成候选帖子，将其修复以达到各阶段目标相似度（带宽 0.015），筛选链的一致性，并添加五种参与偏差。在 50 个 OASIS 配置文件、五个帖子语料库、六种受害者模型以及 400 轮 OpenClaw 重放实验中，中毒帖子大量出现（例如，对于 gpt-5.4-mini，可信度触发产生 18.4% 的点赞率，而干净内容为 6.0%）。局限性：单 agent 简化模拟、无置信区间或显著性检验、结果衡量为 feed 暴露和点赞而非下游行为损害，且未声明代码发布。
Review complete
Assessment at a glance
5
risk flags identified
● high 0
● medium 3
● low 2
4 strengths · 5 weaknesses · 5 author questions
AI text signal = Binoculars zero-shot detector score over 20 sampled passages (Fast-DetectGPT co-reported) — absence does not prove human authorship, and a flag does not imply misconduct.
Levels reflect verification complexity — not a quality score. Evolve never rates your paper.
Key claims under review
- OASIS 基于相似度的推荐器中的 like-score 反馈循环可被利用，因此点赞早期阶段的中毒帖子会逐渐显露后续、相似度较低的中毒帖子（定理 4.1，条件 C1–C4）。
- 完全链式成功的充分条件包括最后阶段的相似度下限 σM ≥ σ*/(2−σ*²)，低于该下限时中毒帖子无法胜过干净内容。
- 一种由 LLM 驱动的生成管道，具有阶段性相似度修复（带宽 0.015）、一致性筛选和五种参与偏差，产生的帖子会被推荐器显露，甚至低于前 100 的相似度边界。
- 一个真实的基于 OpenClaw 的 agent 受害者在 400 轮模拟中显示出相同的漏洞，表明 agent 即用户的威胁面超越了模拟用户。
Strengths
新颖且动机明确的威胁面
§1–§2 阐明了一个具体空白：shilling 攻击将用户视为被动的，而 agent 中毒工作假设直接暴露；推荐器作为投递渠道的问题确实未被充分探索。
紧密的理论–消融循环
定理 4.1 的条件对应设计见解（I1）–（I3），每个都有专门的实验：通过图 5 进行阶段实验（M=1 时 50 个用户中有 40 个达到最后阶段毒药；M>1 时在 50 个达到饱和），通过图 6 展示 like-score 机制，通过表 3–5 展示相似度端点。
现实的实例化和广度
带有明确护栏的可操作化算法
Weaknesses
结果有效性差距：暴露 ≠ 投毒
未提供不确定性下的统计报告
理想化的受害者和未定价的攻击者能力
单 agent、简化的模拟器限制了外部有效性
清晰度缺陷阻碍了精确复现
Full Review Report
$1.99 · one-timeUnlock the complete preliminary analysis Evolve produced for this paper.
- All 4 strengths & 5 weaknesses, analyzed in detail
- 5 risk flags with severity, section & reviewer questions
- Methods & statistical evidence assessment
- 5 questions a peer reviewer would ask
- Full six-dimension evaluation report & recommendations
One-time purchase · this paper only
One-time purchase, this paper only. AI-generated preliminary analysis — not peer review.
Frequently asked questions
什么是 'Like Trap' 攻击？
攻击者发布一链条帖子，其与目标 agent 个人资料的相似度逐阶段递减。一旦该 agent 点赞了早期阶段的帖子，平台的 like-score 反馈就会放大与被点赞帖子相似的后续帖子，因此即使其相似度低于正常检索阈值，中毒内容仍会持续进入该 agent 的 feed。
哪种推荐系统会受到攻击？
来自开源社交 agent 模拟器 OASIS 的基于相似度的推荐管道，使用 TwHIN-BERT 嵌入和基于用户近期点赞历史的 like score。作者引用了真实系统（例如 Pinterest 和 Twitter 工程博客）中基于点赞的评分组件，但实验仅限于模拟环境。
这种攻击会影响实际部署的 agent 吗？
未在实时平台上演示。最接近的证据是实验室重放：一个 OpenClaw 管理的 agent（DeepSeek-V4-Flash）在 50 个用户的 400 轮模拟中行动，点赞了很大一部分中毒帖子。生产环境的 feed 结合了论文未建模的更多信号。
论文是否提出了防御措施？
没有。这是一篇攻击分析论文；防御措施被作为相关工作引用，留待未来研究。作者指出其他推荐器系列（基于图的、transformer-sequential 的）需要单独分析。
About this review
This is an AI-generated preliminary review by Evolve.Pub, produced from the openly available text of the paper. It is not peer review and does not represent the authors' views. The canonical record of the paper is at the publisher link above.
- 提取内容严重截断：§3–4、§5.1–5.2、§7 和附录部分缺失；指标定义（Rndi 5/10, Cnt100, Like100）仅部分可恢复。
- 文本中不包含图表；关于图 5–7、10–11 的陈述依赖于周围的说明文字和叙述。
- like-score 的默认权重显示为 'w = 14'，几乎可以肯定是 'w = 1' 加上脚注标记被合并了；若干公式（C2、Prop 4.1）存在 OCR 识别错误。
- 提取的文本中没有代码/数据可用性声明；codeAvailable=false 反映的是缺乏证据，而非确认未发布。
Go deeper on this paper
Wrote a paper? Stress-test it before reviewers do.
Upload your manuscript for the same structured scrutiny — reasoning, statistics, evidence, figures, and reproducibility.