Unsupervised Corpus Poisoning Attacks in Continuous Space for Dense Retrieval

1. Planteamiento del Problema

El artículo aborda la vulnerabilidad de los sistemas de recuperación de información densa (Dense Retrieval) ante ataques de envenenamiento de corpus. En este escenario, un adversario inyecta documentos maliciosamente generados en el corpus para comprometer el rendimiento de clasificación del motor de búsqueda, logrando que documentos sin información (no relevantes) aparezcan en los primeros resultados.

El trabajo identifica y busca resolver dos limitaciones críticas en la literatura existente:

1. Desalineación de Espacios: Los métodos actuales (como HotFlip) realizan sustituciones de palabras en el espacio léxico discreto (token a token), mientras que la recuperación densa opera en un espacio de incrustaciones (embedding) continuo. Esta discrepancia genera una complejidad computacional alta y una optimización subóptima.
2. Suposición de Conocimiento de Consultas: La mayoría de los ataques asumen que el adversario conoce de antemano la distribución de consultas (queries) objetivo. El artículo propone un escenario más realista y desafiante: el envenenamiento no supervisado, donde el atacante no tiene conocimiento previo de las consultas, sino que solo tiene acceso al documento objetivo a corromper.

2. Metodología Propuesta

La propuesta central es un método de ataque que opera directamente en el espacio de incrustaciones continuas, evitando la manipulación directa de tokens durante la fase de optimización. El sistema consta de dos componentes principales:

A. Modelo de Reconstrucción (Reconstruction Model)

Dado que los gradientes no pueden calcularse directamente sobre tokens discretos, el autor entrena un modelo de reconstrucción ($R$) capaz de recuperar el texto original a partir de sus incrustaciones contextuales de nivel de token.

• Funcionamiento: Se entrena para minimizar la pérdida de entropía cruzada entre el texto original y el texto reconstruido a partir de las incrustaciones del codificador de recuperación ($E$).
• Objetivo: Permitir que, una vez optimizadas las incrustaciones adversarias, se puedan decodificar de vuelta a texto legible.

B. Modelo de Perturbación (Perturbation Model)

Este modelo ($\phi$) se entrena para transformar las incrustaciones de un documento objetivo ($d$) en incrustaciones adversarias ($\tilde{d}$) que satisfagan dos condiciones simultáneas:

1. Similitud de Incrustación: El documento adversario debe ser geométricamente muy similar al original en el espacio de embedding para mantener un alto puntaje de relevancia.
2. Irrelevancia Semántica: El documento adversario debe ser semánticamente diferente (sin sentido) para un humano.

Función de Pérdida de Ataque ($L_{Attack}$):
La optimización busca minimizar la siguiente función combinada:
$$L_{Attack} = L_{MSE} - \min(L_{CE}, \lambda)$$

• $L_{MSE}$ (Error Cuadrático Medio): Minimiza la distancia euclidiana entre la incrustación original y la perturbada (garantiza similitud en el espacio de recuperación).
• $L_{CE}$ (Entropía Cruzada): Maximiza la disimilitud a nivel de token entre el documento original y el adversario (garantiza irrelevancia semántica).
• $\lambda$: Un hiperparámetro que controla el umbral de la pérdida de entropía cruzada para estabilizar la optimización.

El modelo de perturbación es ligero (una red neuronal de tres capas) y se entrena por documento, lo que permite una generación rápida.

3. Contribuciones Clave

1. Ataque en Espacio Continuo: Es el primer método que realiza la búsqueda de perturbación adversaria directamente en el espacio de embeddings, alineando la generación del ataque con el mecanismo de recuperación.
2. Escenario No Supervisado: Elimina la necesidad de conocer las consultas objetivo, basando el ataque únicamente en el documento a corromper.
3. Eficiencia y Velocidad: El método es 4 veces más rápido que los métodos basados en HotFlip (el estado del arte actual). Genera ejemplos adversarios en menos de 2 minutos por documento, frente a horas en métodos anteriores.
4. Baja Perplejidad (Imperceptibilidad): Los documentos generados imitan la distribución del texto natural con mucha mayor fidelidad (baja perplejidad) que los métodos basados en sustitución de palabras, haciéndolos más difíciles de detectar mediante filtros basados en perplejidad.

4. Resultados Experimentales

Los autores evaluaron su método en conjuntos de datos in-domain (TREC DL 19/20, MS MARCO) y out-of-domain (NQ, Quora, FiQA, Touché-2020) contra modelos de recuperación de vanguardia (SimLM, Contriever, E5, etc.).

• Eficacia del Ataque (White-box y Black-box):
  • En ataques White-box (conocido el modelo), el método propuesto logra tasas de éxito (ASR) comparables o superiores a HotFlip.
  • En ataques Black-box (transferencia a modelos desconocidos como DPR, ColBERTv2, RankLLaMA), el método propuesto supera significativamente a HotFlip, demostrando una mayor capacidad de transferencia.
• Calidad del Texto (Perplejidad):
  • Los documentos generados por el método propuesto tienen una perplejidad significativamente menor (ej. ~180-500) en comparación con HotFlip (ej. >6000), lo que indica que el texto es más fluido y natural, aunque semánticamente incoherente.
• Evaluación Semántica:
  • Tanto evaluaciones con LLMs (GPT-4o-mini) como con expertos humanos confirmaron que los documentos generados son percibidos como irrelevantes o sin sentido, cumpliendo el objetivo del ataque.
• Entrenamiento Adversario:
  • Se demostró que la eficiencia del método permite generar grandes volúmenes de muestras adversarias para el entrenamiento. Al usar estos documentos como negativos duros para afinar (fine-tune) el modelo, la tasa de éxito del ataque disminuyó un 7.9% en promedio, mejorando la robustez del sistema sin degradar su rendimiento normal.

5. Significado e Impacto

Este trabajo es fundamental para el campo de la seguridad en Recuperación de Información (IR) por varias razones:

• Cambio de Paradigma: Demuestra que los ataques en IR no necesitan limitarse al espacio discreto de palabras, sino que pueden aprovechar la continuidad de los espacios vectoriales modernos para ser más eficientes y efectivos.
• Realismo de la Amenaza: Al eliminar la suposición de conocimiento de consultas, el estudio expone una vulnerabilidad realista que afecta a sistemas de búsqueda en producción donde las consultas futuras son impredecibles.
• Detección Difícil: Al generar texto con baja perplejidad, desafía las defensas actuales basadas en detección de anomalías lingüísticas, sugiriendo que las futuras defensas deben centrarse en la robustez del modelo de recuperación en sí mismo (ej. mediante entrenamiento adversario) en lugar de solo filtrar el texto de entrada.
• Herramienta de Defensa: La capacidad de generar rápidamente ejemplos adversarios de alta calidad convierte a este método en una herramienta valiosa para fortalecer los sistemas de recuperación mediante el entrenamiento adversario.

En resumen, el artículo presenta un ataque de envenenamiento de corpus que es rápido, transferible, difícil de detectar y efectivo contra los modelos de recuperación densa más avanzados, estableciendo un nuevo estándar para evaluar la robustez en IR.