生成式推荐器被不到1%的假交互带偏：短前缀对齐解码，目标曝光最高抬升16.3个百分点

生成式推荐器在条件式定向投毒下是脆弱的：攻击者只需注入少量合成交互，就能让目标商品在指定触发商品出现的历史里被更频繁地推荐。 此前的投毒研究主要针对排序式、表示式或基于大语言模型的推荐器，这些系统对固定候选集打分或匹配向量，而端到端生成式推荐器直接自回归解码语义物品标识，其抗投毒能力此前基本未被考察。 在固定投毒比例下，把触发商品插在目标商品之前的条件式注入比随机注入带来更大提升，例如在 Industrial 数据集上相差43.2个百分点；命中率按同一批以触发商品结尾的测试历史在投毒模型与干净模型之间的差值计算。

有效前缀要同时满足两个可观测条件：在干净解码器下触发商品的排名靠前，以及在接口返回结果中出现得足够频繁。 随机前缀或单纯堆热门商品的前缀都没有利用解码器自身的转移倾向，因此提升有限。 在 Office 数据集上，两个信号合并打分取得16.6个百分点的 ASR 提升，而只用流行度得4.8个百分点、只用排名得11.2个百分点，同一排序在另一投毒比例下依然成立。

攻击者只用接口输出就能发现并采样这些前缀，再把有限的投毒预算按闭式分布分配到各前缀上。 此前缺少在黑盒条件下针对语义标识解码过程的投毒方法，攻击者拿不到模型参数、梯度、分词器和语料级流行度统计。 在 MicroLens 上把接口查询预算限制到20次时，ASR 提升在3/10/50截断上分别为17.1/22.5/23.7个百分点，仅比用完整候选池低0.7/0.7/0.4个百分点。

该方法在单模态与多模态生成式推荐基准上都优于被改造过的交互投毒基线，同时基本保持正常推荐质量。 基线包括随机前缀、热门商品前缀、与目标共现的前缀以及把优化扰动向量映射到最近邻商品的 DDSP 前缀，它们都保留各自的前缀构造并接上同一固定后缀。 在 Industrial 数据集投毒比例0.5%时，ASR@10 提升36.7个百分点，比最强基线高14.0个百分点；在无触发商品的测试集上，Office 与 Industrial 的正常推荐质量保持稳定，MicroLens 仅有小幅下降。

报告覆盖的是公开基准上的模拟投毒实验：两个 Amazon 商品数据集和一个多模态微视频数据集，攻击者只能注入有限比例的合成交互、查询推荐接口并查看物品目录，不能改动物品元数据、提示词或系统指令。目标商品取自长尾，触发商品取自已公开可见的热门商品，评测时每条历史以指定触发商品结尾，投毒模型与干净模型接收同一条历史。适合关注推荐系统安全与鲁棒性评测的研究人员和平台工程师阅读。

攻击成立的前提是攻击者能对推荐接口做足够多的查询以完成前缀发现，如何放宽这一假设仍需进一步研究。该工作聚焦攻击设计，系统的防御研究不在其范围内。检测评估只用了欺诈行为传播和基于隐状态马氏距离的两类检测器，在评测设置下注入用户未被识别，但这不构成对所有检测手段的结论。