PIDP-Attack: Combining Prompt Injection with Database Poisoning Attacks on Retrieval-Augmented Generation Systems

Resumen Técnico: PIDP-Attack

1. El Problema

Los Sistemas de Generación Aumentada por Recuperación (RAG) se han convertido en el paradigma estándar para mitigar las limitaciones de los Modelos de Lenguaje Grandes (LLM), como el conocimiento desactualizado y las alucinaciones. Sin embargo, la arquitectura RAG introduce nuevas superficies de ataque que comprometen su seguridad:

• Vulnerabilidades existentes: Las investigaciones anteriores se han centrado en ataques de envenenamiento de datos (como PoisonedRAG) o inyección de prompts.
• Limitaciones críticas:
  • Los ataques de envenenamiento de datos tradicionales requieren que el atacante conozca de antemano las consultas específicas del usuario para crear pasajes maliciosos personalizados. Esto limita su flexibilidad y escalabilidad en escenarios del mundo real donde las consultas son dinámicas e impredecibles.
  • Los ataques de inyección de prompts por sí solos a menudo carecen de persistencia y son ignorados por el generador si no hay evidencia de recuperación que los respalde.
• Brecha: No existe un método eficaz que pueda manipular la respuesta del sistema RAG a cualquier consulta de usuario (incluso desconocida) sin necesidad de conocimiento previo de la consulta específica, combinando la manipulación de la recuperación con la corrupción de la base de datos.

2. Metodología: PIDP-Attack

Los autores proponen PIDP-Attack (Ataque de Inyección de Prompts y Envenenamiento de Base de Datos), una estrategia de ataque compuesta y de "caja negra" que opera en dos frentes simultáneos:

A. Manipulación de la Ruta de Consulta (Query-Path):

• En el momento de la inferencia, el atacante agrega un sufijo malicioso ligero ($\delta$) a cualquier consulta del usuario ($q$), transformándola en $q' = q \oplus \delta(S)$.
• Este sufijo contiene una instrucción de anulación y una pregunta objetivo específica ($S$) elegida por el atacante.
• Objetivo: Engañar al recuperador para que busque pasajes relacionados con la pregunta objetivo $S$, independientemente de la consulta original del usuario.

B. Manipulación de la Ruta del Corpus (Corpus-Path):

• El atacante inyecta un número limitado de pasajes envenenados ($P$) en la base de datos de recuperación.
• Cada pasaje envenenado se estructura como: $p_i = S \oplus \text{"."} \oplus b_i$, donde $S$ es la pregunta objetivo y $b_i$ es un cuerpo adversario que respalda una respuesta incorrecta específica ($a^-$).
• Objetivo: Asegurar que, cuando el recuperador busque pasajes relacionados con $S$ (impulsado por el sufijo de la consulta), encuentre estos pasajes envenenados que guiarán al LLM hacia la respuesta maliciosa.

Mecanismo de Funcionamiento:

1. Preparación Offline: Se generan $n$ pasajes envenenados basados en una pregunta objetivo $S$ y una respuesta incorrecta deseada $a^-$. Se insertan en la base de datos.
2. Ataque Online: Para cualquier consulta de víctima $q$, se añade el sufijo $\delta(S)$.
3. Recuperación: El recuperador, al procesar $q'$, prioriza los pasajes envenenados que contienen $S$ debido a la similitud semántica/lexical.
4. Generación: El LLM recibe el contexto envenenado junto con la instrucción del sufijo, lo que lo lleva a generar la respuesta incorrecta $a^-$ en lugar de la respuesta correcta para $q$.

3. Contribuciones Clave

• Ataque Compuesto Universal: PIDP-Attack es el primer método que elimina la necesidad de conocer la consulta específica de la víctima. Un solo conjunto de pasajes envenenados y un sufijo de inyección pueden manipular las respuestas a cualquier consulta entrante.
• Eficiencia de Recursos: Solo requiere inyectar un número pequeño de pasajes envenenados ($n$), típicamente igual al valor $k$ del recuperador (los $k$ mejores resultados), para tener éxito.
• Superioridad sobre Baselines: Demuestra que la combinación de inyección de prompts y envenenamiento de base de datos es necesaria y más efectiva que utilizar cualquiera de las dos técnicas por separado.
• Evaluación Exhaustiva: Validación en tres conjuntos de datos de referencia (Natural Questions, HotpotQA, MS-MARCO) y ocho LLMs de última generación.

4. Resultados Experimentales

Los experimentos compararon PIDP-Attack con baselines como PoisonedRAG, Disinformation Attack, GGPP y GCG.

• Tasa de Éxito del Ataque (ASR):
  • PIDP-Attack logró una ASR promedio del 98.125% en todas las pruebas, superando consistentemente a los métodos existentes.
  • En tareas de preguntas y respuestas de dominio abierto, mejoró la tasa de éxito entre un 4% y un 16% en comparación con PoisonedRAG.
  • En conjuntos de datos como Natural Questions, alcanzó una tasa de éxito del 100% en la mayoría de los modelos probados.
• Precisión de Recuperación:
  • El método mantiene una alta precisión de recuperación de los pasajes envenenados (F1 > 0.9 en la mayoría de los casos), asegurando que la evidencia maliciosa esté presente en el contexto del LLM.
• Análisis de Sensibilidad:
  • Presupuesto de Veneno ($n$): Con solo 2-5 pasajes envenenados, el ataque alcanza una saturación de éxito en la mayoría de los casos.
  • Presupuesto de Contexto ($k$): El ataque es robusto, aunque un aumento excesivo en $k$ puede diluir la influencia de los pasajes envenenados en conjuntos de datos ruidosos (como MS-MARCO).
• Estudios de Ablación:
  • Se demostró que la inyección de prompts sola (sin envenenamiento) tiene una tasa de éxito cercana a cero bajo criterios estrictos.
  • La recuperación en consultas limpias (sin envenenamiento) no logra la desviación de objetivos exacta.
  • Conclusión: La sinergia entre la manipulación de la recuperación (para traer el veneno) y la inyección de prompts (para forzar la interpretación) es lo que garantiza el éxito.

5. Significado e Implicaciones

• Nueva Amenaza de Seguridad: PIDP-Attack expone una vulnerabilidad crítica en la suposición de que asegurar solo el modelo o solo la base de datos es suficiente. La integridad del sistema RAG depende de la seguridad end-to-end de la consulta, la recuperación y la generación.
• Realismo del Ataque: Al no requerir conocimiento previo de las consultas de las víctimas, este ataque es mucho más escalable y sigiloso en entornos de producción reales.
• Defensas Necesarias: El artículo sugiere que las defensas deben incluir:
  • Validación de la procedencia (provenance) de las consultas y los pasajes recuperados.
  • Detección de sufijos de inyección anómalos.
  • Auditoría de los pasajes recuperados para identificar patrones de instrucción no solicitados.
• Ética: Los autores enfatizan que el objetivo es la investigación defensiva (red-teaming) para mejorar la seguridad de los sistemas RAG antes de su despliegue masivo, y no han liberado artefactos que puedan ser utilizados directamente para dañar sistemas comerciales específicos.

En resumen, PIDP-Attack representa un avance significativo en la comprensión de las vulnerabilidades de los sistemas RAG, demostrando que la combinación de ataques en la ruta de consulta y en la base de datos crea una amenaza persistente, flexible y altamente efectiva que requiere nuevas estrategias de mitigación holística.