Resumen Técnico: SilentRetrieval

Enunciado del Problema

Los sistemas de Generación Aumentada por Recuperación (RAG) dependen de la integridad de sus corpus de conocimiento externos para mitigar las alucinaciones de los Modelos de Lenguaje Grande (LLM). Sin embargo, esta dependencia crea una vulnerabilidad crítica: si un adversario puede inyectar documentos maliciosos en el corpus, puede secuestrar el proceso de recuperación y, posteriormente, manipular la generación del LLM.

Los ataques adversarios previos contra RAG enfrentan un compromiso persistente entre la eficacia de la recuperación, la manipulación de la generación y el sigilo. Los métodos existentes a menudo producen salidas fácilmente detectables:

• La optimización basada en gradientes (por ejemplo, AGGD, GASLITE) logra un secuestro de recuperación sólido, pero a menudo falla en manipular efectivamente la fase de generación o carece de restricciones de fluidez.
• Los ataques conjuntos recuperador-generador (por ejemplo, Joint-GCG, PoisonedRAG) manipulan bien la generación, pero generan texto de alta perplejidad (PPL > 150), haciéndolos vulnerables a filtros simples basados en perplejidad.
• La decodificación adversaria preserva la fluidez, pero opera en el momento de la generación en lugar de a través del envenenamiento del corpus.

El desafío central es construir un ataque de envenenamiento de datos que logre simultáneamente el secuestro de recuperación, manipule la salida del LLM y permanezca sustancialmente menos sospechoso que las líneas base anteriores, tanto bajo filtros automatizados como bajo inspección humana.

Metodología: SilentRetrieval

Los autores proponen SilentRetrieval, un marco de envenenamiento de datos en dos etapas diseñado para optimizar el secuestro de recuperación y la manipulación de la generación, mientras se adhiere estrictamente a un presupuesto de fluidez.

Etapa 1: Búsqueda en Haz Coordinada (CBS)

Esta etapa optimiza un documento "anfitrión" topicamente relevante para asegurar que permanezca recuperable después de que se inserte una carga maliciosa. A diferencia de los enfoques anteriores de token único y codiciosos, CBS realiza una optimización conjunta de múltiples tokens.

• Objetivo: Un problema de maximización penalizado que equilibra la similitud de incrustaciones contra una penalización por violación de fluidez:
  $$d_{opt} = \arg \max_{d \in T} \text{sim}(E(q_{target}), E(d)) - \lambda \cdot \max(0, \text{PPL}(d) - \tau_{ppl})$$
• Mecanismo:
  1. Candidatos guiados por gradientes: Los gradientes del recuperador y una señal heurística del modelo de Perplejidad (PPL) proponen ediciones de tokens candidatos.
  2. Búsqueda en Haz Coordinada: El algoritmo selecciona las top-$M$ posiciones basadas en la magnitud del gradiente y construye un haz sobre el espacio conjunto de $M \times K$ reemplazos candidatos.
  3. Evaluación: Se realiza una evaluación completa del objetivo (incluyendo PPL mediante GPT-2) en los candidatos del haz. Los candidatos que exceden el presupuesto de PPL ($\tau_{ppl} = 50$) son rechazados.
• Objetivo: Precondicionar el documento anfitrión para que la inserción posterior de una carga que porta el objetivo no cause el colapso de la clasificación de recuperación del documento.

Etapa 2: Generación de Disparadores Adaptativos al Contexto (CATG)

En lugar de adjuntar plantillas de disparador fijas, esta etapa aprovecha un LLM congelado (Llama-2-7B-Chat) para generar un disparador que se integra contextualmente con el documento optimizado.

• Síntesis: Se solicita al LLM que continúe el documento optimizado ($d_{opt}$) con una oración que incorpore naturalmente la afirmación objetivo ($a_{target}$), coincidiendo con el estilo del pasaje, el vocabulario del dominio y la voz narrativa.
• Filtrado: Los disparadores generados pasan por tres puertas de calidad:
  1. Entailment (Implicación): Debe implicar la respuesta objetivo (verificado mediante un modelo NLI).
  2. Coherencia: La similitud del coseno entre las incrustaciones del anfitrión y el disparador debe superar 0.7.
  3. Puerta PPL: El documento adversario concatenado debe satisfacer el presupuesto de PPL.
• Enmarcado: El prompt fomenta un lenguaje autoritario (por ejemplo, "fuentes verificadas") para explotar la tendencia del LLM a deferir a un lenguaje confiado en contextos recuperados.

Contribuciones Clave

1. Marco de Ataque en Dos Etapas: La introducción de CBS para la optimización de múltiples tokens con restricción de fluidez y CATG para la fusión de disparadores ligera y consciente del contexto.
2. Evaluación Exhaustiva: Evaluación en Natural Questions (NQ, 361K pasajes) y MS MARCO (8.8M pasajes) bajo un protocolo unificado de documento único. El estudio incluye generalización cruzada entre modelos (4 LLMs), ataques de transferencia de sustitutos contra recuperadores no vistos (incluyendo incrustaciones comerciales) y análisis de escalabilidad hasta 21M pasajes.
3. Defensa y Análisis Adaptativo: Evaluación empírica de defensas del lado de la recuperación (reordenamiento, recuperación híbrida) y del lado de la generación (aislamiento de pasajes), junto con un ataque adaptativo que incorpora optimización consciente de la defensa.
4. Evaluación Humana: Un estudio ($n=600$ documentos) que demuestra que los documentos de SilentRetrieval tienen tasas de marcado significativamente más bajas que las líneas base disfluentes.

Resultados Experimentales

Rendimiento Principal

En el conjunto de datos NQ (corpus de 361K), SilentRetrieval logra:

• HR@10: 84.6% (el más alto entre las líneas base).
• ASR-LLM (Tasa de Éxito del Ataque vía LLM como Juez): 57.5%.
• Perplejidad (PPL-G2): 32.4 (cercana a benigna, comparada con 28.4 para documentos benignos).
• Sigilo: Solo el 8.7% de los documentos de SilentRetrieval son detectados por una auditoría independiente de PPL ($\tau=50$), en comparación con el 94.2% para Joint-GCG y el 83.3% para la línea base de Zhong et al.

Generalización y Transferencia

• Cruzada entre Modelos: El ataque mantiene una eficacia no trivial en cuatro LLMs objetivo (Llama-2, Mistral, Qwen, GPT-3.5), con ASR-LLM variando entre 48.6% y 57.5%.
• Transferencia de Sustitutos: Cuando se optimiza contra un recuperador sustituto (Contriever) y se prueba contra sistemas objetivo no vistos (incluyendo ColBERTv2 e incrustaciones comerciales como text-embedding-ada-002), el ataque retiene un HR@10 promedio de 64.7%.
• Escalabilidad: En una evaluación muestreada de 21M pasajes, el HR@10 cae a 74.2% con una proporción de envenenamiento de 0.016%, lo que indica que, aunque la expansión del corpus proporciona una defensa natural parcial, es insuficiente para neutralizar completamente el ataque.

Eficacia de la Defensa

• Defensas Combinadas: Una estrategia de defensa en capas (Recuperación Híbrida + Reordenamiento con Cross-Encoder + Aislamiento de Pasajes) reduce el ASR-LLM al 21.3% (con 11× de latencia) o 25.6% (con 6× de latencia).
• Ataques Adaptativos: Un ataque adaptativo que se optimiza contra un reordenador específico (MiniLM-L6-v2) recupera aproximadamente 6.2% de HR@10 en comparación con el ataque no adaptativo bajo la misma defensa, destacando una carrera armamentista emergente.

Evaluación Humana

En un estudio con 10 anotadores, los documentos de SilentRetrieval fueron marcados como sospechosos en el 14.7% de los casos, significativamente menos que PoisonedRAG (56.7%) y Zhong et al. (83.3%). Aunque la diferencia entre SilentRetrieval (14.7%) y el contenido benigno (7.3%) no fue estadísticamente significativa en $\alpha=0.05$ ($p \approx 0.064$), la tendencia sugiere una brecha detectable que podría ampliarse con tamaños de muestra más grandes.

Significado y Afirmaciones

El artículo afirma que SilentRetrieval establece un nuevo estado del arte en el compromiso sigilo-eficacia para el envenenamiento de RAG. Su significado principal radica en demostrar que:

1. La integridad del corpus es una preocupación de seguridad de primera clase: Los ataques que preservan la fluidez pueden eludir auditorías simples basadas en PPL y son mucho más difíciles de marcar para los humanos que los ataques disfluentes anteriores.
2. Las defensas en capas son necesarias: Ninguna defensa individual es suficiente; se requiere combinar el reordenamiento del lado de la recuperación, la recuperación híbrida y el aislamiento de pasajes del lado de la generación para mitigar sustancialmente la amenaza.
3. La frontera sigilo-eficacia es una lente de evaluación crítica: Las comparaciones de Tasa de Éxito del Ataque (ASR) crudas sin normalización de perplejidad oscurecen la detectabilidad práctica de los ataques. SilentRetrieval logra un rendimiento sólido manteniendo una perplejidad cercana a la benigna, desafiando la suposición de que los ataques de alta eficacia deben ser ruidosos u obvios.

Los autores enfatizan que su trabajo es una divulgación responsable que utiliza objetivos sintéticos en benchmarks estándar para motivar defensas más fuertes, en lugar de una demostración de la viabilidad de inyección en el mundo real.