Как кластеризовать пользователей в рекомендательных системах для выявления атаки?
среднеквадратичное отклонение
верхний и нижний квартили
и т.д.

обычные статистические методы, ну и просто обрезка по нереальным параметрам, навроде роста 2,5 метра, коммента через минуту после публикации часового ролика и проч
Поделитесь своими мыслями или статьями.
Если не понятен вопрос, могу переформулировать.
Да тут вроде как понятливые собрались, так что можно и не переформулировать. Но если хотите - то конечно можете. А пока вы будете переформулировать отвечу кратко, что знаю.
Лично этой задачей не занимаюсь, но знаю людей, которые ей занимаются профессионально, т.е. для серьезных заказчиков. Так вот никто вам в открытую свои результаты не расскажет - как только такая информация становиться открытой - моментально найдутся особо умственно одаренные, которые будут пытаться это защиту обойти. Кому это надо?
А так, анализ проводится обычными методами из области Fraud Detection. Таких методов и инструментов много, книги на этот счет пишут. Но это все "нежное введение" в тему, далекие подступы к реальным кейсам. Ну как в банковских системах все наслышаны о методах ловли мошеннических операций, о которых пишут. Вроде как и вот-она, информация доступная всем - отклонения, поиск аномалий, 3 сигма, пространственные разрывы и пр. - , а как реально это функционирует в реальных банках - увы "know how" и тайна за семью печатями.