Resumen Técnico: RADAR: Defensa Dinámica de RAG contra la Corrupción de Recuperación

1. Enunciado del Problema

Los sistemas de Generación Aumentada por Recuperación (RAG), especialmente aquellos desplegados en entornos de búsqueda web dinámica, enfrentan vulnerabilidades significativas ante ataques adversarios. Mientras que los primeros sistemas RAG operaban sobre corpus estáticos, las aplicaciones modernas ingieren continuamente información en evolución desde la web. Esta volatilidad temporal amplifica la susceptibilidad a la envenenamiento de corpus (inyección de documentos engañosos) y a los ataques de inyección de prompts (incrustación de instrucciones maliciosas en el texto recuperado).

Los mecanismos de defensa existentes están diseñados en gran medida para entornos estáticos. El filtrado heurístico a menudo incurre en pérdida de utilidad, mientras que la selección de consistencia basada en optimización depende de aproximaciones sin garantías sólidas. Cuando se extienden ingenuamente a entornos dinámicos, estos métodos fallan al no poder manejar amenazas en mutación continua y sufren costos de almacenamiento prohibitivos debido a la necesidad de archivar documentos históricos crudos. El desafío central es mantener la robustez frente a estrategias adversarias en evolución, preservando al mismo tiempo la adaptabilidad a cambios genuinos en el conocimiento (el dilema estabilidad-plasticidad) sin una sobrecarga de almacenamiento excesiva.

2. Metodología: El Marco RADAR

RADAR (Defensa Adaptativa Robusta contra la Corrupción de Recuperación) aborda estos desafíos modelando la selección de contexto confiable como un problema de minimización de energía basado en grafos, resuelto exactamente mediante Flujo Máximo-Corte Mínimo. El marco opera en dos modos principales: estático y dinámico.

2.1. Mecanismo Central: Minimización de Energía mediante Corte Mínimo

RADAR trata la selección de documentos confiables como un problema de etiquetado binario. Dado un conjunto de documentos recuperados $D = \{d_1, ..., d_k\}$, el objetivo es identificar un subconjunto $D_{rel}$ que maximice la consistencia.

• Generación de Respuestas Atómicas: Para cada documento recuperado, el sistema genera una "respuesta atómica" utilizando un LLM.
• Puntuación Semántica: Un modelo de Inferencia de Lenguaje Natural (NLI) calcula dos matrices:
  • Consistencia ($M$): Implicación lógica entre respuestas atómicas.
  • Contradicción ($C$): Conflicto lógico entre respuestas atómicas.
• Construcción del Grafo: Se construye un grafo dirigido $G=(V, E)$ con un nodo fuente $s$, un nodo sumidero $t$ y nodos para cada documento.
  • Potenciales Unitarios (Bordes Terminales): Los bordes desde $s$ hasta $d_i$ ($S_i$) representan el beneficio de retener un documento (basado en centralidad y rango), mientras que los bordes desde $d_i$ hasta $t$ ($F_i$) representan el costo de retenerlo (basado en el conflicto con documentos centrales).
  • Potenciales Pareados (Bordes Inter-documento): Los bordes entre $d_i$ y $d_j$ con capacidad $M_{ij}$ imponen consistencia lógica.
• Inferencia: El algoritmo Corte Mínimo particiona el grafo en un conjunto fuente (documentos confiables) y un conjunto sumidero (documentos filtrados). Esto proporciona una solución exacta al problema de minimización de energía, equilibrando la confianza individual del documento con la consistencia pareada.

2.2. Defensa Dinámica: Nodo de Memoria Bayesiana

Para manejar flujos de evidencia que evolucionan en el tiempo sin almacenar documentos históricos crudos, RADAR introduce un Nodo de Memoria Bayesiana ($a_{t-1}$) que representa el estado de creencia del sistema en el paso de tiempo anterior.

• Actualización Recursiva de Creencias: En lugar de archivar documentos, el sistema actualiza la capacidad de los bordes conectados al nodo de memoria utilizando inferencia bayesiana.
  • Prior: Derivado de la coherencia de la respuesta anterior.
  • Verosimilitud: Calculada basándose en la implicación (apoyo) o contradicción (conflicto) entre la respuesta histórica y la nueva evidencia $D(t)$.
  • Posterior: La capacidad de borde actualizada determina si la respuesta histórica debe retenerse (lado fuente) o descartarse (lado sumidero) en el Corte Mínimo actual.
• Equilibrio Estabilidad-Plasticidad: Este mecanismo permite que el sistema retenga adaptativamente el conocimiento histórico válido cuando la nueva evidencia lo respalda, o lo descarte cuando la nueva evidencia lo contradice, resolviendo efectivamente la compensación entre estabilidad y plasticidad.

2.3. Post-procesamiento

Tras la selección por Corte Mínimo, el sistema realiza un paso de filtrado secundario basado en la similitud coseno pareada de las respuestas atómicas seleccionadas para eliminar valores atípicos aislados, asegurando la coherencia semántica antes del paso de generación final.

3. Contribuciones Clave

1. Marco RADAR: Un marco de defensa novedoso que modela la sanitización del contexto RAG como un problema de Corte Mínimo, ofreciendo inferencia exacta y eficiente con robustez superior frente a ataques basados en corpus.
2. Construcción de Grafo Dinámico con Memoria Bayesiana: El primer enfoque defensivo diseñado explícitamente para ataques en pasos de tiempo continuos. Al mantener un estado de creencia recursivo mediante un nodo de memoria bayesiana, logra un equilibrio efectivo entre la consistencia histórica y la nueva evidencia sin archivar documentos crudos.
3. Construcción de Conjunto de Datos Dinámico: La creación de un conjunto de datos exhaustivo para la seguridad de RAG dinámico, simulando escenarios adversarios en evolución con verdades fundamentales y patrones de ataque variables en el tiempo.

4. Resultados Experimentales

Los experimentos se realizaron en cuatro conjuntos de datos (RealTimeQA, Natural Questions, TriviaQA, Bio) utilizando múltiples LLM (DeepSeek, GPT-4o, Grok-4-fast) y se compararon con líneas base como RobustRAG, AstuteRAG y ReliabilityRAG.

• Rendimiento Estático: RADAR logró compensaciones superiores entre robustez y utilidad. En RealTimeQA (RQA) bajo Ataques de Inyección de Prompts (PIA) en el rango superior (Pos 1), RADAR mantuvo una precisión del 69.0% con una Tasa de Éxito del Ataque (ASR) del 11.0%, superando significativamente a líneas base como AstuteRAG (25.0% de precisión, 1.0% de ASR) y ReliabilityRAG (69.0% de precisión, 15.0% de ASR). En la generación de Bio de formato largo, RADAR alcanzó una precisión máxima del 84.4% bajo ataques de envenenamiento, superando a todas las líneas base.
• Rendimiento Dinámico: En flujos de evidencia en evolución, RADAR demostró una adaptabilidad superior. Bajo configuraciones de instantánea acumulativa con PIA en Pos 1, RADAR logró una precisión del 63.60% con un 17.85% de ASR, superando a RobustRAG (61.29% de precisión) y ReliabilityRAG (53.61% de precisión).
• Eficiencia: RADAR redujo la sobrecarga de almacenamiento de decenas de megabytes (requeridos para el archivo de documentos crudos en otros métodos) a aproximadamente 1 KB por consulta (almacenando solo el estado de creencia). Aunque el tiempo de ejecución está dominado por la generación de respuestas atómicas, la inferencia de Corte Mínimo introduce una sobrecarga insignificante.
• Robustez: El método se mantuvo estable bajo ataques adaptativos diseñados para eludir las verificaciones NLI y mostró baja sensibilidad a la elección del modelo NLI (DeBERTa-v3, BART, ModernBERT).

5. Significado y Afirmaciones

El artículo afirma que RADAR proporciona un mecanismo de resiliencia informada en el tiempo y fundamentado matemáticamente esencial para agentes de IA confiables de próxima generación que operan en tiempo real. Al formular la sanitización del contexto como un problema exacto de Corte Mínimo e integrar un nodo de memoria bayesiana, RADAR equilibra efectivamente la resiliencia adversarial con la adaptación del conocimiento.

Los autores enfatizan que este enfoque reduce significativamente la sobrecarga de almacenamiento mientras mejora la robustez y la precisión de las respuestas bajo ataques en evolución. Plantean que, a medida que el RAG en tiempo real se vuelve integral para los asistentes de IA y los motores de búsqueda, tales defensas dinámicas son vitales para mitigar los riesgos de inyección de prompts y envenenamiento de corpus, promoviendo el despliegue seguro de sistemas impulsados por LLM en entornos del mundo real dinámicos. El trabajo no afirma resolver todas las vulnerabilidades de RAG, sino que se dirige específicamente a la brecha en la defensa contra la corrupción de recuperación dinámica con un costo de almacenamiento mínimo.