💻 computer science

Inference Cost Attacks for Retrieval-Augmented Large Language Models

Dieses Paper führt den Retrieval-Augmented Inference Cost Attack (RA-ICA) ein, ein neuartiges Framework, das LLM-Agenten und einen Memory-Augmented Group Relative Policy Optimization Algorithmus nutzt, um externe Wissensdatenbanken mit bösartigen Dokumenten zu vergiften, die den Token-Verbrauch in RAG-gestützten LLM-Systemen signifikant erhöhen, während die Integrität der Antworten bewahrt bleibt.

Ursprüngliche Autoren: Chengliang Liu, Liangbo Ning, Yujuan Ding, Wenqi Fan

Veröffentlicht 2026-06-03

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Chengliang Liu, Liangbo Ning, Yujuan Ding, Wenqi Fan

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich ein High-End-Restaurant namens „RAG-LLM“ vor. Dieses Restaurant ist berühmt, weil es sich nicht nur auf das Gedächtnis des Küchenchefs verlässt; es hat ein Team von Forschern, die sofort in eine riesige Bibliothek (das Internet) eilen, um die frischesten Fakten zu finden, bevor sie Ihr Essen zubereiten. Dies macht das Essen (die Antworten) sehr genau.

Das Ausführen dieses Bibliotheks-Recherche-Service ist jedoch teuer. Die Restaurantbesitzer bezahlen pro Minute für die Zeit der Forscher und den Strom, um die Computer zu betreiben.

Das Problem: Eine neue Art von „Schockrechnung“

Das Paper argumentiert, dass dieses System zwar großartig ist, aber eine versteckte Schwäche hat. Normalerweise denken die Leute, dass Hacker versuchen könnten, den Koch direkt zu täuschen, indem sie seltsame Anweisungen durch das Küchenfenster rufen (die Frage des Nutzers ändern). Aber die Autoren sagen, es gibt einen klügeren, hinterhältigeren Weg, anzugreifen: die Bibliothek selbst zu vergiften.

Sie nennen diese neue Bedrohung RA-ICA (Retrieval-Augmented Inference Cost Attack).

Stellen Sie sich das so vor: Anstatt dem Koch zuzurufen, schleicht sich der Angreifer in die Bibliothek und platziert dort ein paar gefälschte, verwirrende und übermäßig komplizierte Bücher in den Regalen. Wenn ein Kunde eine einfache Frage stellt wie: „Wer ist die Göttin des Frühlings?“, finden die Forscher nicht nur das richtige Buch, sondern greifen versehentlich auch eines dieser gefälschten Bücher heraus.

Weil das gefälschte Buch auf eine knifflige Weise geschrieben ist, muss der Koch es lesen, es mehrmals lesen, mit ihm debattieren und ein darin verstecktes Rätsel lösen, nur um die einfache Antwort zu finden. Der Koch verbringt am Ende 13-mal länger mit dem Kochen der Mahlzeit als üblich. Der Kunde erhält die richtige Antwort, aber der Restaurantbesitzer erhält eine massive, unerwartete Rechnung für all die zusätzliche Zeit.

Wie der Angriff funktioniert (Das „CREEP“-Framework)

Die Autoren haben ein Werkzeug namens CREEP (Computational Resource Exhaustion via External Poisoning) entwickelt, um dies zu automatisieren. Stellen Sie sich CREEP als einen „Bösewicht-Roboter“ vor, der diese gefälschten Bibliotheksbücher schreibt.

Der Roboter nutzt zwei Hauptwege, um diese Fallen zu schreiben:

Der Umgestaltungs-Künstler (The Rewrite Artist): Er nimmt ein normales, langweiliges Buch und bearbeitet es, um ein verwirrendes Rätsel oder einen Widerspruch hinzuzügen.
Der kreative Schreiber (The Creative Writer): Er schreibt ein völlig neues Buch von Grund auf, das normal aussieht, aber heimlich darauf ausgelegt ist, den Koch härter arbeiten zu lassen.

Der Roboter nutzt drei spezifische Tricks, um den Koch härter arbeiten zu lassen:

Das Ablenkungsmanöver (The Decoy): Er fügt ein gefälschtes, schwieriges Matheproblem oder ein Logikrätsel in den Text ein. Der Koch fühlt sich gezwungen, es zu lösen, bevor er die Frage des Nutzers beantwortet.
Der Widerspruch (The Contradiction): Er schreibt einen Satz, der das Gegenteil der Wahrheit behauptet (z. B. „Frühling ist eigentlich Winter“). Der Koch muss innehalten, nachdenken und zusätzliche Schlussfolgerungen ziehen, um zu entscheiden, welcher Fakt wahr ist.
Die Aufgabenfalle (The Task Trap): Er gibt dem Koch eine vage, offene Anweisung, die ihn dazu zwingt, eine lange, ausschweifende Erklärung zu schreiben, nur um auf der sicheren Seite zu sein.

Die Geheimzutat: Von vergangenen Erfolgen lernen (MA-GRPO)

Ein gefälschtes Buch zu schreiben, das sowohl schwer zu entdecken als auch schwer zu verarbeiten ist, ist sehr schwierig. Wenn das Buch zu seltsam ist, werden die Forscher es nicht aus der Bibliothek herausgreifen. Wenn es zu einfach ist, wird der Koch nicht viel Zeit damit verbringen.

Um dies zu lösen, haben die Autoren ihren „Bösewicht-Roboter“ mit einer speziellen Lernmethode namens MA-GRPO trainiert.

Betrachten Sie dies als ein Videospiel, in dem der Roboter versucht, die perfekte Falle zu schreiben.

Die Gedächtnisbank: Der Roboter führt eine „Hall of Fame“ der besten Fallen, die er je geschrieben hat.
Der Vergleich: Jedes Mal, wenn der Roboter eine neue Falle versucht, vergleicht er sie mit den Gewinnern der „Hall of Fame“.
Die Belohnung: Wenn die neue Falle den Koch länger arbeiten lässt, ohne die endgültige Antwort zu verändern, erhält der Roboter einen „Highscore“ und lernt, dies wieder zu tun. Wenn er scheitert, lernt er, was er nicht tun darf.

Diese „Gedächtnisbank“ hilft dem Roboter, besser und schneller darin zu werden, Fallen zu schreiben, die für das Auge unsichtbar, aber für den Computer erschöpfend sind.

Die Ergebnisse

Die Autoren testeten dies auf drei verschiedenen realen Frage-Antwort-Datensätzen. Sie fanden heraus:

Sie konnten den Computer 13-mal länger arbeiten lassen als normal.
Der Angriff war in über 90 % der Fälle erfolgreich.
Entscheidend ist, dass die endgültige Antwort an den Nutzer immer noch korrekt war. Der Restaurantbesitzer zahlt die Rechnung, aber der Kunde erhält sein Essen pünktlich (nur mit deutlich höheren Kosten im Hintergrund).

Zusammenfassung

Kurz gesagt zeigt dieses Paper, dass wir uns nicht nur Sorgen darüber machen dürfen, ob Hacker ändern, was wir fragen. Wir müssen uns auch Sorgen darüber machen, dass Hacker die Informationsquellen vergiften, denen wir vertrauen. Indem sie „klebrige, verwirrende“ Dokumente in die öffentliche Wissensbasis pflanzen, können Angreifer diese intelligenten KI-Systeme dazu bringen, massive Mengen an Rechenleistung und Geld zu verbrennen, während sie dem Nutzer dennoch die richtige Antwort liefern.

Technisches Resümee: Inference Cost Attacks für Retrieval-Augmented Large Language Models

Problemdefinition

Retrieval-Augmented Generation (RAG)-Systeme erweitern Large Language Models (LLMs), indem sie dynamisch Informationen aus externen Wissensdatenbanken (z. B. Webdaten, domänenspezifische Datenbanken) abrufen, um Antworten zu synthetisieren. Obwohl dies effektiv ist, führt diese Architektur eine mehrstufige Inferenz-Pipeline ein, die die Betriebskosten signifikant erhöht, wobei die Inferenz oft über 90 % der gesamten Rechenleistung der GPUs ausmacht.

Bestehende Forschungen zu Inference Cost Attacks (ICAs) konzentrierten sich primär darauf, Benutzer-Input-Prompts zu manipulieren, um Modelle dazu zu bringen, übermäßig lange oder repetitive Ausgaben zu generieren. Dieser Ansatz beruht jedoch auf der unpraktikablen Annahme, dass ein Angreifer die Eingabeanfragen des Opfers direkt kontrollieren kann.

Dieses Paper identifiziert eine kritische, untererforschte Schwachstelle: Retrieval-Augmented Inference Cost Attacks (RA-ICA). Im Gegensatz zur direkten Prompt-Manipulation zielen RA-ICAs auf die externe Wissensdatenbank selbst ab. Durch das Vergiften der abrufbaren Datenbank (z. B. durch das Einschleusen bösartiger Dokumente in öffentliche Web-Wissensquellen) kann ein Akteur RA-ICAs auslösen, die bei harmlosen Benutzeranfragen eine hohe Inferenzkosten verursachen, ohne eine direkte Interaktion zu benötigen. Die zentrale Herausforderung besteht darin, bösartige Dokumente zu entwerfen, die:

Abrufbar sind: Semantisch relevant genug, um vom Retrieval-Modul für eine Zielanfrage ausgewählt zu werden.
Kosten-verstärkend sind: In der Lage sind, das LLM zu übermäßig langen Reasoning-Traces oder hohem Token-Verbrauch zu verleiten.
Unauffällig sind: Die semantische Korrektheit der endgültigen Antwort beibehalten, um Entdeckung zu vermeiden und den Systemnutzen zu bewahren.

Methodik: Das CREEP-Framework

Um RA-ICA zu operationalisieren, schlagen die Autoren Computational Resource Exhaustion via External Poisoning (CREEP) vor, ein Framework, das LLM-Agenten nutzt, um bösartige Dokumente autonom zu entwerfen und zu verfeinern.

1. Attack Agents und Strategien

Das Framework setzt zwei Arten von Agenten ein – Rewrite-basierte (Modifizierung bestehender abgerufener Dokumente) und Generation-basierte (Erstellung von Dokumenten von Grund auf) – unter Verwendung von drei spezifischen Strategien zur Ressourcenerschöpfung:

Decoy Injection (Lockvogel-Einschleusung): Einschleusen komplexer, mehrstufiger Denkaufgaben (z. B. logische Rätsel oder Planungsaufgaben) in den Dokumentenkontext. Dies zwingt das RAG-System dazu, zusätzliche, rechenintensive Reasoning-Schritte über die ursprünglichen Anforderungen der Anfrage hinaus durchzuführen.
Contradiction Injection (Widerspruchs-Einschleusung): Einführung plausibler, aber faktisch widersprüchlicher Aussagen im Verhältnis zur harmlosen Antwort. Dies zwingt das LLM dazu, zusätzliche Analysen durchzuführen, um Konflikte zwischen den abgerufenen Dokumenten zu entscheiden, wodurch der Token-Verbrauch erhöht wird.
Task-Oriented Manipulation (Aufgabenorientierte Manipulation): Bereitstellung von High-Level-Zielen (Retrieval, Kostenverstärkung, Unauffälligkeit) für den Agenten, ohne spezifische Generierungsverfahren vorzuschreiben, was es dem Agenten ermöglicht, seine vollen Reasoning-Fähigkeiten zu nutzen, um diverse Angriffsmuster zu entdecken.

2. Optimierung via MA-GRPO

Da vortrainierte LLM-Agenten nicht inhärent auf die Maximierung der adversariellen Kosten optimiert sein könnten, führen die Autoren Memory-Augmented Group Relative Policy Optimization (MA-GRPO) ein.

Reward-Formulierung: Die Reward-Funktion ist eine Komposition aus drei Komponenten:
- Retrieval Reward ( $R_{retrieval}$ ): Ein binärer Indikator, der sicherstellt, dass das Dokument tatsächlich abgerufen wird.
- Answer Purity Reward ( $R_{purity}$ ): Eine gewichtete Summe, die sicherstellt, dass die endgültige Antwort mit der harmlosen Wahrheit übereinstimmt und die Ausgabe keine Manipulationsartefakte aufweist.
- Token Consumption Ratio ( $R_{TCR}$ ): Das Verhältnis der angegriffenen Token-Anzahl zur Baseline-Token-Anzahl.
Memory Augmentation (Gedächtniserweiterung): Standardmäßige Group Relative Policy Optimization (GRPO) kann instabil werden, wenn eine Stichprobengruppe nur Outputs mit geringem Reward enthält. MA-GRPO begegnet dem durch die Pflege eines dynamischen Memory-Buffers der Top- $k$ historisch besten adversariellen Dokumente. Während des Trainings wird der Vorteil neuer Kandidaten relativ zu einer Referenzgruppe berechnet, die sowohl aus dem aktuellen Batch als auch aus dem Memory-Buffer besteht. Dies stabilisiert das Training und beschleunigt die Entdeckung potenter Angriffsmuster.

Kernbeiträge

Neues Angriffsparadigma (RA-ICA): Das Paper definiert und untersucht den ersten Inference Cost Attack, der speziell auf RAG-erweiterte LLMs zugeschnitten ist, und verschiebt den Angriffsvektor von Benutzer-Prompts hin zur Vergiftung externer Wissensquellen.
CREEP-Framework: Ein neuartiges Framework, das LLM-Agenten und drei distinkte Strategien (Decoy, Contradiction, Task-Oriented) nutzt, um bösartige Dokumente zu generieren, die den Erfolg des Abrufs mit der rechnerischen Erschöpfung in Einklang bringen.
MA-GRPO-Algorithmus: Ein Reinforcement Learning Algorithmus, der einen dynamischen Memory-Buffer integriert, um Attack-Agenten feinabzustimmen, was die Effizienz und Effektivität bei der Generierung adversarieller Dokumente im Vergleich zur Standard-Policy-Optimierung signifikant verbessert.

Experimentelle Ergebnisse

Die Autoren evaluierten RA-ICA über drei reale Datensätze hinweg: Natural Questions (NQ), HotpotQA und MS MARCO. Die Experimente wurden in einem Black-Box-Szenario unter Verwendung von vier Victim-LLMs (qwen-turbo, GPT-5, claude-sonnet-4 und deepseek-r1) mit einem Contriever-Retriever durchgeführt.

Effektivität: RA-ICA konnte den Token-Verbrauch im Vergleich zur harmlosen Inferenz erfolgreich um bis zu das 13,12-fache steigern.
Erfolgsrate: Der Angriff erreichte eine Erfolgsrate von über 90 % über die Datensätze hinweg.
Unauffälligkeit: Entscheidend ist, dass die Angriffe die Integrität der generierten Antworten beibehielten, was bedeutet, dass das System trotz des massiven Anstiegs der Rechenkosten weiterhin korrekte Antworten lieferte.

Bedeutung und Ansprüche

Das Paper behauptet, die erste Arbeit zu sein, die die Inferenzkosten-Vulnerabilität von RAG-erweiterten LLM-Systemen untersucht. Es argumentiert, dass mit der zunehmenden Integration von Echtzeit-Websuche und externem Wissen in RAG-Systeme die externe Wissensdatenbank zu einer signifikanten praktischen Schwachstelle wird.

Die Bedeutung dieser Arbeit liegt in dem Nachweis, dass:

RAG-Systeme anfällig für Kostenerschöpfungsangriffe durch Wissensvergiftung sind – ein Vektor, der skalierbarer und praktischer ist als direkte Prompt-Manipulation.
Ein einzelnes vergiftetes Dokument eine Vielzahl von Benutzeranfragen beeinflussen kann, was die Auswirkungen auf die Betriebskosten und die Systemverfügbarkeit verstärkt.
Derzeitige Verteidigungsmechanismen, die auf Prompt-Filterung fokussieren, unzureichend sind, da der Angriff die semantische Korrektheit der Ausgabe bewahrt, was eine Detektion über die Standard-Antwortverifizierung erschwert.

Die Autoren positionieren diese Forschung als notwendigen Schritt zum Verständnis der Sicherheit und Zuverlässigkeit vertrauenswürdiger generativer KI und betonen die Notwendigkeit robuster Abwehrmechanismen gegen die Vergiftung externer Wissensquellen in RAG-Architekturen.