Resumen Técnico: Ataques de Costo de Inferencia para Modelos de Lenguaje de Gran Tamaño con Recuperación Aumentada

Definición del Problema

Los sistemas de Generación Aumentada por Recuperación (RAG, por sus siglas en inglés) mejoran los Modelos de Lenguaje de Gran Tamaño (LLM) mediante la recuperación dinámica de información de bases de conocimiento externas (por ejemplo, datos de la web, bases de datos específicas de un dominio) para sintetizar respuestas. Aunque son efectivos, esta arquitectura introduce un flujo de inferencia de múltiples etapas que aumenta significativamente los costos operativos, siendo la inferencia a menudo responsable de más del 90% de la demanda computacional de GPU total.

La investigación existente sobre Ataques de Costo de Inferencia (ICA) se ha centrado principalmente en la manipulación de los prompts de entrada del usuario para forzar a los modelos a generar salidas excesivamente largas o repetitivas. Sin embargo, este enfoque depende de la premisa poco práctica de que un atacante puede controlar directamente las consultas de entrada de la víctima.

Este artículo identifica una vulnerabilidad crítica y poco explorada: el Ataque de Costo de Inferencia con Recuperación Aumentada (RA-ICA). A diferencia de la manipulación directa de prompts, el RA-ICA apunta a la base de conocimiento externa misma. Al envenenar la base de datos recuperable (por ejemplo, inyectando documentos maliciosos en el conocimiento web público), un adversario puede desencadenar una inferencia de alto costo para consultas de usuarios benignos sin interacción directa. El desafío central es diseñar documentos maliciosos que sean:

1. Recuperables: Lo suficientemente relevantes semánticamente para ser seleccionados por el módulo de recuperación para una consulta objetivo.
2. Amplificadores de Costo: Capaces de inducir al LLM a generar trazas de razonamiento excesivamente largas o consumo de tokens.
3. Sigilosos: Manteniendo la corrección semántica de la respuesta final para evitar la detección y preservar la utilidad del sistema.

Metodología: El Marco de Trabajo CREEP

Para operacionalizar el RA-ICA, los autores proponen Agotamiento de Recursos Computacionales mediante Envenenamiento Externo (CREEP), un marco que utiliza agentes de LLM para diseñar y refinar autónomamente documentos maliciosos.

1. Agentes de Ataque y Estrategias

El marco emplea dos tipos de agentes—basados en reescritura (modificando documentos recuperados existentes) y basados en generación (creando documentos desde cero)—utilizando tres estrategias específicas de agotamiento de recursos:

• Inyección de Señuelos (Decoy Injection): Inyectar tareas de razonamiento complejas y de múltiples pasos (por ejemplo, acertijos lógicos o problemas de planificación) en el contexto del documento. Esto obliga al sistema RAG a realizar pasos de razonamiento adicionales e intensivos en computación más allá de los requisitos de la consulta original.
• Inyección de Contradicciones (Contradiction Injection): Introducir afirmaciones plausibles pero fácticamente contradictorias con respecto a la respuesta benigna. Esto obliga al LLM a participar en un análisis adicional para adjudicar conflictos entre los documentos recuperados, aumentando así el consumo de tokens.
• Manipulación Orientada a Tareas (Task-Oriented Manipulation): Proporcionar al agente objetivos de alto nivel (Recuperación, Amplificación de Costo, Sigilo) sin prescribir procedimientos de generación específicos, permitiendo que el agente aproveche toda su capacidad de razonamiento para descubrir diversos patrones de ataque.

2. Optimización mediante MA-GRPO

Reconociendo que los agentes de LLM pre-entrenados pueden no optimizar inherentemente para la amplificación de costo adversaria, los autores introducen la Optimización de Política de Grupo Relativa Aumentada por Memoria (MA-GRPO).

• Formulación de la Recompensa: La función de recompensa es un compuesto de tres componentes:
  • Recompensa de Recuperación ($R_{retrieval}$): Un indicador binario que asegura que el documento sea realmente recuperado.
  • Recompensa de Pureza de Respuesta ($R_{purity}$): Una suma ponderada que asegura que la respuesta final permanezca alineada con la verdad benigna y que la salida carezca de artefactos de manipulación.
  • Ratio de Consumo de Tokens ($R_{TCR}$): La relación entre el recuento de tokens atacados y el recuento de tokens base.
• Aumento de Memoria: La Optimización de Política de Grupo Relativa (GRPO) estándar puede sufrir de inestabilidad si un grupo muestreado contiene solo salidas de baja recompensa. MA-GRPO aborda esto manteniendo un búfer de memoria dinámica de los mejores documentos adversarios históricos de los $k$ superiores. Durante el entrenamiento, la ventaja de los nuevos candidatos se calcula en relación con un grupo de referencia que comprende tanto el lote actual como el búfer de memoria. Esto estabiliza el entrenamiento y acelera el descubrimiento de patrones de ataque potentes.

Contribuciones Clave

1. Nuevo Paradigma de Ataque (RA-ICA): El artículo define e investiga el primer ataque de costo de inferencia diseñado específicamente para LLMs mejorados con RAG, desplazando el vector de ataque de los prompts del usuario al envenenamiento del conocimiento externo.
2. Marco de Trabajo CREEP: Un nuevo marco que utiliza agentes de LLM y tres estrategias distintas (Señuelo, Contradicción, Orientada a Tareas) para generar documentos maliciosos que equilibran el éxito de la recuperación con el agotamiento computacional.
3. Algoritmo MA-GRPO: Un algoritmo de aprendizaje por refuerzo que integra un búfer de memoria dinámica para ajustar los agentes de ataque, mejorando significamente la eficiencia y efectividad de la generación de documentos adversarios en comparación con la optimización de política estándar.

Resultados Experimentales

Los autores evaluaron el RA-ICA a través de tres conjuntos de datos del mundo real: Natural Questions (NQ), HotpotQA y MS MARCO. Los experimentos se realizaron en un entorno de caja negra utilizando cuatro LLMs víctimas (qwen-turbo, GPT-5, claude-sonnet-4 y deepseek-r1) con un recuperador Contriever.

• Efectividad: El RA-ICA aumentó con éxito el consumo de tokens hasta 13.12 veces en comparación con la inferencia benigna.
• Tasa de Éxito: El ataque logró una tasa de éxito superior al 90% en los conjuntos de datos.
• Sigilo: Crucialmente, los ataques mantuvieron la integridad de las respuestas generadas, lo que significa que el sistema continuó proporcionando respuestas correctas a pesar del aumento masivo en el costo computacional.

Significado y Reivindicaciones

El artículo afirma ser el primer trabajo en explorar la vulnerabilidad de costo de inferencia de los sistemas de LLM mejorados con RAG. Argumenta que, a medida que los sistemas RAG integran cada vez más la búsqueda web en tiempo real y el conocimiento externo, la base de conocimiento externa se convierte en una vulnerabilidad práctica significativa.

La importancia de este trabajo radica en demostrar que:

• Los sistemas RAG son susceptibles a ataques de agotamiento de costo mediante el envenenamiento de conocimiento, un vector que es más escalable y práctico que la manipulación directa de prompts.
• Un solo documento envenenado puede impactar una multitud de consultas de usuarios, amplificando el impacto del ataque en los costos operativos y la disponibilidad del sistema.
• Los mecanismos de defensa actuales centrados en el filtrado de prompts son insuficientes, ya que el ataque preserva la corrección semántica de la salida, lo que dificulta su detección mediante la verificación de respuestas estándar.

Los autores posicionan esta investigación como un paso necesario hacia la comprensión de la seguridad y confiabilidad de la IA generativa confiable, destacando la necesidad de defensas robustas contra el envenenamiento de conocimiento externo en las arquitecturas RAG.