PIDP-Attack: Combining Prompt Injection with Database Poisoning Attacks on Retrieval-Augmented Generation Systems

1. Problemstellung und Motivation

Retrieval-Augmented Generation (RAG) Systeme wurden entwickelt, um Large Language Models (LLMs) mit externen, aktuellen Wissensquellen zu versehen und so Halluzinationen sowie veraltetes Wissen zu reduzieren. Ein RAG-System besteht typischerweise aus einer Datenbank, einem Retriever (der relevante Dokumente findet) und einem Generator (dem LLM).

Trotz ihrer Vorteile weisen RAG-Systeme neue Sicherheitslücken auf. Bisherige Angriffe konzentrierten sich entweder auf:

• Datenvergiftung (Data Poisoning): Angriffe wie PoisonedRAG injizieren bösartige Texte in die Datenbank. Der Nachteil: Der Angreifer muss die spezifischen Benutzeranfragen im Voraus kennen, um passende vergiftete Texte zu erstellen. Dies schränkt die Flexibilität und Anwendbarkeit in dynamischen Szenarien ein.
• Prompt Injection: Angriffe wie GCG oder GGPP fügen bösartige Anweisungen direkt in die Benutzerabfrage ein. Der Nachteil: Ohne unterstützende Beweise aus der Datenbank ignorieren LLMs diese Anweisungen oft, was zu einer geringen Erfolgsrate führt.

Das zentrale Problem, das dieses Paper adressiert, ist die Kombination dieser beiden Angriffsvektoren, um eine flexible, universelle und hochwirksame Attacke zu ermöglichen, die keine Vorabkenntnis der Benutzerabfrage erfordert.

2. Methodik: PIDP-Attack

Die Autoren schlagen PIDP-Attack (Prompt Injection and Database Poisoning Attack) vor, einen neuartigen, zusammengesetzten Black-Box-Angriff. Die Methode operiert in zwei Phasen und nutzt zwei Angriffsflächen gleichzeitig:

A. Datenbankvergiftung (Corpus-Path Manipulation)

• Offline-Vorbereitung: Der Angreifer injiziert eine kleine Anzahl ($n$) von vergifteten Passagen in die Wissensdatenbank.
• Struktur der vergifteten Passage: Jede Passage beginnt mit einer spezifischen Ziel-Frage $S$ (z. B. „Wer ist der Regisseur von Inception?"), gefolgt von einem bösartigen Textkörper, der eine falsche Antwort $a^-$ (z. B. „Michael Bay") plausibel begründet.
• Ziel: Diese Passagen sollen so konstruiert sein, dass sie semantisch mit der Ziel-Frage $S$ übereinstimmen, um vom Retriever gefunden zu werden, sobald die Abfrage manipuliert wird.

B. Prompt Injection zur Laufzeit (Query-Path Manipulation)

• Online-Angriff: Bei jeder Benutzeranfrage $q$ (die dem Angreifer unbekannt sein kann) wird ein kurzer, bösartiger Suffix $\delta(S)$ angehängt.
• Funktion des Suffixes: Der Suffix enthält die Ziel-Frage $S$ und Anweisungen, die das LLM dazu bringen sollen, diese Frage zu beantworten, anstatt die ursprüngliche Benutzerfrage.
• Synergie-Effekt:
  1. Die manipulierte Abfrage $q' = q \oplus \delta(S)$ führt den Retriever dazu, die vergifteten Passagen (die mit $S$ beginnen) als Top-K-Ergebnisse zurückzugeben, da sie semantisch zur manipulierten Abfrage passen.
  2. Das LLM erhält dann den Kontext mit den vergifteten Passagen und die explizite Instruktion im Prompt, die Ziel-Frage $S$ zu beantworten.
  3. Das Ergebnis ist, dass das System für jede beliebige Benutzeranfrage die vom Angreifer gewünschte falsche Antwort $a^-$ generiert.

3. Schlüsselbeiträge

1. Neue Angriffsstrategie: PIDP-Attack ist der erste Ansatz, der Prompt Injection und Datenbankvergiftung kombiniert, um RAG-Systeme ohne Vorwissen über die Benutzerabfrage zu manipulieren.
2. Effizienz: Es werden nur sehr wenige vergiftete Texte benötigt (typischerweise $n$ entspricht dem Wert von $k$, der Anzahl der zurückgegebenen Dokumente), um beliebige Anfragen zu beeinflussen.
3. Robustheit: Die Methode funktioniert auch, wenn sich die Werte für $n$ (Budget für vergiftete Texte) und $k$ (Kontextbudget) ändern.
4. Umfassende Evaluation: Die Autoren testen die Methode auf drei Benchmark-Datensätzen (Natural Questions, HotpotQA, MS-MARCO) und acht verschiedenen LLMs.

4. Ergebnisse

Die experimentellen Evaluierungen zeigen, dass PIDP-Attack signifikant besser abschneidet als bestehende Einzel-Angriffe:

• Erfolgsrate (ASR - Attack Success Rate): PIDP-Attack erreicht eine durchschnittliche Erfolgsrate von 98,125 %. Dies ist deutlich höher als bei reinen Datenbankvergiftungen (PoisonedRAG: ~92 %) oder reinen Prompt-Injection-Angriffen.
• Verbesserung: Auf Open-Domain-QA-Aufgaben (Natural Questions) konnte die Erfolgsrate um 4 % bis 16 % im Vergleich zu PoisonedRAG gesteigert werden.
• Retrieval-Präzision: Die Methode behält eine hohe Retrieval-Präzision bei, was bedeutet, dass die vergifteten Dokumente zuverlässig in den Top-$k$-Kontext gelangen.
• Vergleich mit Baselines:
  • Reine Prompt-Injection (ohne Vergiftung) scheitert oft (<1 % ASR), da das LLM die Anweisung ohne Kontextbeweis ignoriert.
  • Reine Datenbankvergiftung (ohne Prompt-Injection) ist starr und benötigt Kenntnis der Zielabfrage.
  • PIDP kombiniert beide Vorteile: Der Suffix lenkt den Retriever, und die vergifteten Daten liefern den „Beweis" für das LLM.

5. Bedeutung und Implikationen

• Sicherheitsrisiko: Die Arbeit zeigt, dass die Annahme, RAG-Systeme seien sicher, wenn nur die Datenbank oder nur das Modell geschützt ist, falsch ist. Die Integrität des gesamten Systems (Abfragepfad + Datenpfad) muss gewährleistet sein.
• Praktische Relevanz: Da die Attacke keine Kenntnis der Benutzerabfrage voraussetzt und nur minimale Änderungen an der Datenbank erfordert, stellt sie eine reale Bedrohung für produktive RAG-Systeme dar.
• Gegenmaßnahmen: Die Ergebnisse deuten darauf hin, dass einfache Abwehrmaßnahmen (wie das Erhöhen von $k$) nicht ausreichen. Notwendig sind:
  • Validierung und Bereinigung von Benutzerabfragen (Entfernung von verdächtigen Suffixen).
  • Authentifizierung und Herkunftsprüfung (Provenance) bei der Aufnahme neuer Daten in die Datenbank.
  • Überwachung von Retrieval-Ergebnissen auf Anomalien.

Zusammenfassend demonstriert PIDP-Attack, dass eine koordinierte Manipulation von Eingabe und Wissensbasis RAG-Systeme extrem verwundbar macht und dass zukünftige Sicherheitsarchitekturen beide Ebenen gleichzeitig schützen müssen.