EMPRA: Embedding Perturbation Rank Attack against Neural Ranking Models
本文提出EMPRA方法，通过操纵句子级嵌入对黑盒神经排序模型进行对抗性攻击，在MS MARCO V1上实现近96%目标文档从51-100名提升至前十，且无需替代模型。
2025-02-26 cs.IR
RobustMask: Certified Robustness against Adversarial Neural Ranking Attack via Randomized Masking
Wuhan University（武汉大学）；Yale University（耶鲁大学）；Nanyang Technological University（南洋理工大学）
RobustMask通过结合预训练语言模型和随机掩码机制，提升神经排序模型对对抗扰动的鲁棒性，认证top-K鲁棒性并有效增强实际检索系统的安全性。
2025-12-29 cs.CR cs.IR
Adversarial Personalized Ranking for Recommendation
National University of Singapore（新加坡国立大学）；Fudan University（复旦大学）；Chengdu University of Information Technology（成都信息工程大学）
项目推荐是一个个性化的排序任务。为此，许多推荐系统使用成对排序目标来优化模型，例如贝叶斯个性化排名（BPR）。使用矩阵分解（MF）-推荐中最广泛使用的模型-作为示范，我们表明，优化它与BPR导致推荐模型是不稳健的。特别是，我们发现，由此产生的模型是非常容易受到对抗性扰动的模型参数，这意味着可能很大的误差推广。为了增强推荐模型的鲁棒性，从而提高其泛化性能，我们提出了一个新的优化框架，即对抗个性化排名（APR）。简而言之，我们的APR通过执行对抗训练来增强成对排名方法BPR。它可以被解释为玩一个极大极小博弈，其中BPR目标函数的最小化同时防御对手，这增加了对模型参数的对抗性扰动以最大化BPR目标函数。为了说明它是如何工作的，我们通过在用户和项目的嵌入向量上添加对抗扰动来实现MF上的APR。在三个公开的真实数据集上进行的大量实验证明了APR的有效性--通过使用APR优化MF，它比BPR平均提高了11.2%，并实现了最先进的项目推荐性能。我们的实现可以在https://github.com/hexiangnan/adversarial_personalized_ranking上获得。
2018-08-12 cs.IR cs.LG stat.ML
Order-Disorder: Imitation Adversarial Attacks for Black-box Neural Ranking Models
Wuhan University（武汉大学）；Alibaba Group（阿里巴巴集团）；Indiana University Bloomington（印第安纳大学伯明顿分校）；Northeastern University（东北大学）；Worcester Polytechnic Institute（伍斯特理工学院）
本文提出针对黑盒神经排序模型的模仿对抗攻击方法，通过训练排序模仿模型并生成带伪装的对抗触发器，以极少词元实现排序操纵，并验证其对多种SOTA模型的有效性。
2023-04-18 cs.CL cs.CR cs.IR
An Axiomatic Approach to Regularizing Neural Ranking Models
公理化信息检索（IR）寻求一组理想的IR模型的原则属性。当正式表达这些属性时，在搜索更好的相关性估计函数时提供指导。神经排序模型通常包含大量参数。这些模型的训练涉及基于大量标记示例搜索适当的参数值。直觉上，可以指导搜索更好的传统IR模型的公理也应该有助于基于机器学习的排名器的更好的参数估计。这项工作探讨了使用IR公理来增强对训练神经排名模型的标记数据的直接监督。我们在训练过程中沿着众所周知的公理修改数据集中的文档，并根据排名模型和公理之间的一致性添加正则化损失，其中文档的版本-原始或扰动-应该是首选的。实验结果表明，公理化正则化后的神经网络排序模型具有更快的收敛速度和更好的泛化能力。
2019-04-15 cs.IR
Adversarial Attacks against Neural Ranking Models via In-Context Learning
University of Waterloo（多伦多大学）；University of California, Berkeley（加州大学伯克利分校）；University of Toronto（多伦多大学）
本文提出少样本对抗提示（FSAP）黑盒攻击框架，利用LLM上下文学习生成高排名对抗文档，实验证明其能持续超越可信文档并具有低可检测性。
2025-08-21 cs.CL cs.IR
Defense of Adversarial Ranking Attack in Text Retrieval: Benchmark and Baseline via Detection
University of Chinese Academy of Sciences（中国科学院大学）；Institute of Software, Chinese Academy of Sciences（中国科学院软件研究所）
本文针对神经排序模型的对抗性文档篡改攻击，构建了防御基准数据集并引入两类检测任务，实验发现有监督分类器对已知攻击有效但对未知攻击表现差，且应避免使用查询文本以防误弃相关文档。
2023-07-31 cs.CL cs.IR
SentAttack: A Sentence-Level Black-Box Adversarial Attack Method for Dense Retrieval Models
School of Computer Science and Technology, Harbin Institute of Technology, Shenzhen（哈尔滨工业大学（深圳）计算机科学与技术学院）
针对密集检索模型对抗攻击问题，提出SentAttack句子级黑盒攻击方法。先通过与黑盒系统交互收集训练代理模型数据，再用代理模型聚类相关文档生成对抗候选句，经优化提升攻击效果。
2026-07-07 cs.IR
SPLADE: Sparse Lexical and Expansion Model for First Stage Ranking
在神经信息检索中，正在进行的研究是针对改进排名管道中的第一检索器。学习密集嵌入进行检索使用有效的近似最近邻方法已被证明工作良好。与此同时，人们对学习文档和查询的稀疏表示越来越感兴趣，这可以继承词袋模型的理想属性，例如术语的精确匹配和倒排索引的效率。在这项工作中，我们提出了一个新的第一阶段排名的基础上显式稀疏正则化和对数饱和效应的长期权重，导致高度稀疏表示和竞争力的结果相对于国家的最先进的密集和稀疏的方法。我们的方法很简单，在单个阶段进行端到端培训。我们还探讨了有效性和效率之间的权衡，通过控制稀疏正则化的贡献。
2021-07-12 cs.IR
Led to Mislead: Adversarial Content Injection for Attacks on Neural Ranking Models
University of Waterloo（滑铁卢大学）；University of Toronto（多伦多大学）；Mila – Quebec AI Institute（魁北克AI研究院）；Toronto Metropolitan University（多伦多 Metropolitan 大学）
本文提出CRAFT框架，通过生成对抗性数据集、监督微调和偏好引导优化，提升对抗性攻击效果，验证了生成式AI在排序操纵中的风险。
2026-05-02 cs.CL cs.IR
Beyond Self-Consistency: Loss-Balanced Perturbation-Based Regularization Improves Industrial-Scale Ads Ranking
Meta
本文提出损失平衡小扰动正则化（LSPR），在工业级广告排序中首次成功应用扰动正则化，实验表明其优于自一致性方法，并在十亿级系统中验证了可扩展性。
2025-02-05 cs.AI cs.IR cs.LG
Fairness Through Regularization for Learning to Rank
IST Austria（奥地利科学技术研究所）
鉴于近年来大量的排名应用，解决自动排名系统的公平性问题对于增加最终用户之间的信任是必要的。以前关于公平排名的工作主要集中在应用程序特定的公平概念上，通常是针对在线广告的，很少考虑学习作为过程的一部分。在这项工作中，我们将展示如何将众多的公平性概念从二进制分类转移到学习排序设置。我们的形式主义使我们能够设计方法，将公平性目标与可证明的泛化保证。一个广泛的实验评估表明，我们的方法可以大大提高排名的公平性，没有或只有很少的损失模型的质量。
2021-06-07 cs.IR cs.LG stat.ML
VerTox: Verifiable Reward-Guided Corpus Poisoning Against Neural Ranking Models
Capital One；University of Utah（犹他大学）；Snowflake Inc.（Snowflake公司）
本研究提出VerTox框架，将语料库污染转化为可验证奖励引导强化学习问题，微调LLM生成高流畅度低困惑度的对抗文档，可高效污染神经排序模型并损害下游RAG应用性能。
2026-09-02 cs.CL cs.IR
Certified Robustness to Word Substitution Ranking Attack for Neural Ranking Models
神经排序模型在信息检索中取得了可喜的成果。非国家机制也被证明容易受到敌对性例子的影响。最近提出了一种典型的针对NRM的单词替换排名攻击（WSRA），攻击者通过向其文本添加人类无法感知的扰动来提升目标文档的排名。这在现实世界的应用中部署NRM时引起了关注。因此，重要的是要开发技术，抵御这种攻击的NRM。在经验防御中，对抗性的例子在训练过程中被发现，并被用来增强训练集。然而，这样的方法并不能保证模型的鲁棒性，最终可能会被其他复杂的WSRA打破。为了避免这种军备竞赛，需要严格和可证明的NRM认证防御方法。为此，我们首先为排名模型定义了\textit{Certified Top-$K$ Robustness}，因为用户主要关心现实场景中排名靠前的结果。当保证在任何攻击下都能使不在顶部$K$的文档远离顶部$K$时，排名模型在排名列表上被称为Certified Top- $K$ Robust。然后，我们介绍了一个认证的防御方法，命名为CertDR，以实现认证的顶级$K$对WSRA的鲁棒性，基于随机平滑的思想。具体来说，我们首先构建一个平滑的排名应用随机字替换的文件，然后利用排名属性与统计属性的合奏证明顶级$K$的鲁棒性。在两个有代表性的网络搜索数据集上进行的大量实验表明，CertDR可以显着优于最先进的排名模型经验防御方法。
2022-09-14 cs.IR
Debiasing Neural Retrieval via In-batch Balancing Regularization
UCLA（加州大学洛杉矶分校）；AWS AI Labs（亚马逊云科技人工智能实验室）
人们经常与信息检索（IR）系统进行交互，然而，IR模型对各种人口统计数据表现出偏见和歧视。处理中公平排序方法通过在损失函数中添加公平性相关的正则化项来提供准确性和公平性之间的折衷。然而，还没有直观的目标函数，依赖于点击概率和用户参与度来直接优化这一点。在这项工作中，我们提出了批量平衡正则化（IBBR），以减轻子组之间的排名差距。特别是，我们开发了一个可微的\textit{normed Pairwise Ranking Fairness}（nPRF），并利用T统计的nPRF上的子群作为一个正规化，以提高公平性。基于BERT的神经排序器在具有人类注释的非性别查询基准\citep{rekabsaz2020neural}的MS MARCO Passage Retrieval数据集上的实证结果表明，与基线相比，我们的IBBR方法与nPRF相比，在排名性能下降最小的情况下，实现了显著更小的偏差。
2022-05-18 cs.AI cs.CY cs.IR
StealthRank: LLM Ranking Manipulation via Stealthy Prompt Optimization
University of Southern California（南加州大学）；Arizona State University（亚利桑那州立大学）
StealthRank提出基于能量优化与Langevin动力学的对抗攻击方法，生成隐蔽提示操纵LLM排名系统，在有效性和隐蔽性上超越现有基线，揭示关键漏洞。
2025-05-23 cs.AI cs.CL cs.IR
Multi-granular Adversarial Attacks against Black-box Neural Ranking Models
ICT, CAS（中国科学院信息技术研究所）；University of Chinese Academy of Sciences（中国科学院大学）；University of Amsterdam（阿姆斯特丹大学）
针对传统单粒度对抗排序攻击灵活性不足的问题，提出将多粒度攻击转化为序列决策过程，用双智能体强化学习实现黑盒神经排序模型的多粒度对抗攻击，在有效性和隐蔽性上均优于主流基线。
2024-04-11 cs.CR cs.IR cs.LG
One Word is Enough: Minimal Adversarial Perturbations for Neural Text Ranking
Indian Statistical Institute, Kolkata, India（印度统计研究院，加尔各答，印度）
本文提出了一种通过插入或替换一个语义对齐的词来提升目标文档排名的最小对抗扰动方法，并展示了其在神经文本排序中的有效性。
2026-01-28 cs.CL cs.IR cs.LG
BERT Rankers are Brittle: a Study using Adversarial Document Perturbations
L3S Research Center（L3S研究中心）
基于BERT的上下文排序模型现在已经很好地建立了广泛的段落和文档排序任务。然而，基于BERT的排名模型在对抗性输入下的鲁棒性尚未得到充分研究。在本文中，我们认为，BERT排名不能免疫对抗攻击针对检索到的文档查询。首先，我们提出了使用基于梯度的优化方法对高度相关和非相关文档进行对抗性扰动的算法。我们的算法的目的是向高度相关或不相关的文档添加/替换少量令牌，以引起大的排名降级或提升。我们的实验表明，少量的令牌已经可以导致文档排名的大幅变化。此外，我们发现BERT排名严重依赖于文件的开始/头部的相关性预测，使文件的初始部分更容易受到对抗攻击。更有趣的是，我们发现了一小部分反复出现的对抗性单词，当它们被添加到文档中时，会分别导致任何相关/不相关文档的成功排名降级/提升。最后，我们的对抗令牌还显示了数据集内和数据集之间的特定主题偏好，暴露了BERT预训练或下游数据集的潜在偏见。
2022-06-23 cs.AI cs.IR
Understanding the Effects of Adversarial Personalized Ranking Optimization Method on Recommendation Quality
Polytechnic University of Bari（巴里理工大学）
推荐系统（RS）采用用户项目反馈，例如，评级，以匹配客户的个性化产品列表。top-k推荐的方法主要依赖于学习排名算法，其中，最广泛采用的是贝叶斯个性化排名（BPR），它基于成对优化方法。最近，BPR已被发现易受其模型参数的对抗性扰动。对抗性个性化排名（APR）通过对抗性训练过程增强BPR来缓解这个问题。APR在BPR上的准确性性能的经验改进导致其在几个推荐模型中的广泛使用。然而，一个被忽视的关键方面是APR的超精度性能，即，新颖性，覆盖率和放大的流行偏见，考虑到最近的结果表明，业务流程再造，APR的基石，是敏感的偏见和减少的建议新颖性的加剧。在这项工作中，我们建模的BPR和APR优化框架的学习特性，给出数学证据，当反馈数据有一个尾部分布，APR放大的流行偏见比BPR由于收到的正面更新短标题项目的数量不平衡。使用矩阵分解（MF），我们通过在两个公共数据集上进行初步实验来实证验证理论结果，以比较BPR-MF和APR-MF在准确度和超准确度指标上的性能。实验结果一致表明，新颖性和覆盖率的措施和令人担忧的放大偏见的退化。
2021-07-29 cs.AI cs.CR cs.IR
Societal Biases in Retrieved Contents: Measurement Framework and Adversarial Mitigation for BERT Rankers
Johannes Kepler University Linz（约翰内斯·开普勒林茨大学）；Know-Center GmbH（知识中心有限公司）
社会偏见的共鸣，在信息检索（IR）系统检索的内容，从而加强现有的刻板印象。解决这个问题需要针对检索结果中各种社会群体的代表性制定公平性措施，以及减轻此类偏见的方法，特别是考虑到深度排名模型的进步。在这项工作中，我们首先提供了一个新的框架来衡量的公平性检索的文本内容的排名模型。引入一个排名不可知的测量，该框架还可以从排名的公平性收集的影响解开。为了减轻这些偏见，我们提出了AdvBert，这是一种通过适应对抗性偏见减轻IR来实现的排名模型，它联合学习预测相关性并删除受保护的属性。我们对两个段落检索集合（MSMARCO Passage Re-ranking和TREC深度学习2019 Passage Re-ranking）进行了实验，我们通过对有关性别属性的选定查询子集的公平注释进行了扩展。我们在MSMARCO基准测试上的结果表明，（1）与排名不可知的基线相比，所有排名模型都不太公平，（2）当使用建议的AdvBert模型时，BERT排名的公平性显着提高。最后，我们研究了公平和效用之间的权衡，表明我们可以保持公平的显着改善，而不会有任何显着的效用损失。
2021-05-11 cs.AI cs.IR cs.LG
Adversarial Top-$K$ Ranking
Korea Advanced Institute of Science and Technology（韩国科学技术院）；National University of Singapore（新加坡国立大学）
我们研究的顶部- $K$排名的问题，其目标是恢复一组顶部- $K$排名项目出一个大的项目集合的基础上部分显示的偏好。我们考虑一个对抗性众包设置，其中有两个群体集，并且从其中一个群体中抽取的成对比较样本遵循标准Bradley-Terry-Luce模型（即，项目$i$击败项目$j$的机会与项目$i$对项目$j$的相对分数成正比），而在另一个群体中，相应的机会与相对分数成反比。当两个群体的相对大小是已知的，我们的特征所需的样本量的最小最大限度（直到一个常数）可靠地确定前$K$项目，并证明它如何与相对大小的规模。此外，通过利用张量分解方法来消除混合分布的歧义，我们将我们的结果扩展到更现实的情况下，其中的相对人口规模是未知的，从而建立一个上限的基本限制的样本大小恢复顶部$K$集。
2016-02-15 cs.IR cs.IT cs.LG
Adversarial Training for Code Retrieval with Question-Description Relevance Regularization
The Ohio State University（俄亥俄州立大学）
代码检索是自然语言和程序设计语言匹配的关键任务。在这项工作中，我们提出了用于代码检索的对抗学习，即通过问题描述相关性进行正则化。首先，我们采用了一种简单的对抗性学习技术，在给定输入问题的情况下生成困难的代码片段，这可以帮助学习面临双模态和数据稀缺挑战的代码检索。其次，我们建议利用问题描述相关性来规范对抗性学习，这样生成的代码片段应该对代码检索训练损失做出更多贡献，只有当其配对的自然语言描述被预测为与用户给定的问题不太相关时。在两种程序设计语言的大规模代码检索数据集上的实验表明，我们的对抗性学习方法能够提高最先进模型的性能。此外，使用额外的重复问题预测模型来正则化对抗学习进一步提高了性能，这比在强多任务学习基线中使用重复问题更有效
2020-11-10 cs.AI cs.CL cs.IR
Towards Imperceptible Document Manipulations against Neural Ranking Models
University of Chinese Academy of Sciences（中国科学院大学）；Institute of Software, Chinese Academy of Sciences（中国科学院软件研究所）；South-Central University for Nationalities（中南民族大学）
针对现有神经排序模型对抗攻击易被检测、依赖高质量替代模型的问题，提出IDEM框架，通过生成式模型生成衔接句加逐位置合并策略生成难察觉对抗文档，在MS MARCO上效果优于基线且鲁棒性更强。
2023-05-03 cs.CL cs.IR
