💻 computer science

Influence Factors on RAG Poisoning

Este artículo presenta un estudio factorial exhaustivo de 432 configuraciones para demostrar que la vulnerabilidad al envenenamiento de RAG surge de interacciones complejas entre la arquitectura del recuperador, las características del conjunto de datos, la profundidad de recuperación y los modelos generadores, revelando que los recuperadores densos y las fuentes limpias diversas mejoran la robustez, mientras que la recuperación más profunda y el contenido envenenado replicado amplifican el éxito del ataque.

Autores originales: Pedro Pereira, Eva Maia, Isabel Praça, Adrien Bécue

Publicado 2026-06-12

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Pedro Pereira, Eva Maia, Isabel Praça, Adrien Bécue

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que tienes un asistente muy inteligente y culto (la IA) que es excelente respondiendo preguntas pero tiene una memoria terrible para cualquier cosa que haya ocurrido después de que su entrenamiento terminó. Para solucionar esto, le entregas una biblioteca de libros (la Base de Conocimientos) y le dices: "Antes de responder, busca los hechos en estos libros". Esta configuración se llama RAG (Generación Aumentada por Recuperación).

Sin embargo, ¿qué pasa si alguien se cuela en esa biblioteca y planta libros falsos y engañosos? Esto se llama un Ataque de Envenenamiento. El artículo que compartiste investiga exactamente qué tan fácil es que estos libros falsos engañen al asistente y cómo diferentes partes del sistema hacen que el engaño funcione mejor o peor.

Aquí tienes un desglose de sus hallazgos usando analogías simples:

El Experimento: Un gigantesco juego de "¿Qué pasaría si...?"

Los investigadores no solo probaron un escenario. Configuraron una enorme cuadrícula de 432 versiones diferentes de este sistema de biblioteca. Cambiaron una cosa a la vez (o combinaciones de ellas) para ver qué sucedía. Piensa en ello como probar un coche en todas las condiciones climáticas posibles, en todo tipo de carreteras, con diferentes conductores, para ver qué combinación conduce a un accidente.

Los Protagonistas y sus Roles

1. El Bibliotecario (El Recuperador)
Esta es la parte del sistema que va a la biblioteca a buscar los libros adecuados.

El Bibliotecario Antiguo (BM25): Este bibliotecario busca coincidencias exactas de palabras. Si preguntas por "manzana", encuentra libros que contienen la palabra "manzana". El estudio encontró que este bibliotecario es fácilmente engañado por libros falsos que simplemente usan las palabras clave adecuadas.
El Bibliotecario Inteligente (Basado en Densidad y Grafos): Estos bibliotecarios entienden el significado y las conexiones. Saben que "fruta" y "manzana" están relacionados, o que dos libros están conectados porque hablan del mismo tema.
- Hallazgo: Los "Bibliotecarios Inteligentes" fueron mucho mejores ignorando los libros falsos. Eran menos propensos a recogerlos e, incluso si lo hacían, no pensaban que los libros falsos fueran tan importantes como los reales.

2. El Tamaño de la Búsqueda (Profundidad de Recuperación)
Esto es cuántos libros saca el bibliotecario del estante para mostrárselos al asistente.

El Hallazgo: Si le pides al bibliotecario que agarre 2 libros, es más difícil que un libro falso se cuele. Pero si le pides que agarre 5 libros, las posibilidades de que un libro falso se mezcle con los reales aumentan significamente. Es como invitar a 5 personas a una fiesta en lugar de 2; cuanto más gente invitas, mayor es la probabilidad de que haya un impostor.

3. La Configuración de la Biblioteca (Composición de la Base de Datos)
Los investigadores probaron qué sucede si tienes una biblioteca frente a dos, y si esas bibliotecas están llenas de falsificaciones.

El Efecto de "Doble Problema": Si tienes dos bibliotecas y ambas están llenas de libros falsos, la información falsa se vuelve superpoderosa. Es como tener dos periódicos imprimiendo la misma mentira; la mentira se siente más verdadera.
El Escudo de la "Fuente Limpia": Si tienes dos bibliotecas, pero solo una es falsa y la otra es limpia, la biblioteca limpia ayuda a defenderse. Los hechos reales compiten con los falsos, haciendo que sea más difícil engañar al asistente.

4. El Asistente (El Generador/LLM)
Esta es la IA que realmente lee los libros y escribe la respuesta.

El Asistente "Audaz" vs. El Asistente "Cauteloso": Probaron dos modelos de IA diferentes.
- Un modelo era muy ansioso por responder. Incluso si los libros parecían sospechosos, simplemente adivinaba una respuesta. Este modelo era engañado fácilmente.
- El otro modelo era más cauteloso. Si los libros no tenían sentido entre sí, decía: "No lo sé", o se negaba a responder. Este modelo era más difícil de engañar.
- Hallazgo: El asistente "Audaz" tenía más probabilidades de difundir la información falsa, mientras que el "Cauteloso" era más seguro.

5. El Troceado de Libros (Chunking)
Antes de poner los libros en la biblioteca, tienes que cortarlos en páginas más pequeñas (trozos o chunks). Los investigadores probaron cortar en páginas pequeñas frente a páginas grandes.

El Hallazgo: Sorprendentemente, cómo cortabas las páginas no importaba mucho. Ya fuera que cortaras páginas pequeñas o grandes, eso no cambiaba realmente qué tan fácil era que los libros falsos engañaran al sistema. Los otros factores (como el tipo de bibliotecario) eran mucho más importantes.

La Gran Conclusión

La lección principal de este artículo es que no puedes culpar a una sola cosa por el hecho de que el sistema sea hackeado.

Si tienes un Bibliotecario Inteligente pero un Asistente Audaz, podrías ser engañado de todos modos.
Si tienes un Asistente Cauteloso pero le pides al bibliotecario que agarre demasiados libros, la información falsa podría filtrarse.
Si tienes dos bibliotecas llenas de mentiras, incluso un sistema inteligente podría tener dificultades.

En resumen: Para mantener tu IA segura de la información falsa, necesitas un equipo fuerte. Necesitas un bibliotecario inteligente que entienda el contexto, un asistente cauteloso que sepa cuándo decir "no lo sé", y necesitas asegurarte de que tus bibliotecas no estén llenas de copias de la misma historia falsa. Es un esfuerzo de equipo, no solo una solución única.

Resumen Técnico: Factores de Influencia en el Envenenamiento de RAG

Declaración del Problema

Los sistemas de Generación Aumentada por Recuperación (RAG) mejoran los Modelos de Lenguaje Extensos (LLM) al fundamentar sus respuestas en conocimiento externo recuperado en el momento de la inferencia. Sin embargo, esta dependencia introduce una vulnerabilidad crítica: ataques de envenenamiento. En tales escenarios, documentos adversarios insertados en la base de conocimientos pueden manipular tanto el proceso de recuperación como los resultados generados finales. Si bien investigaciones previas han establecido la viabilidad de estos ataques, existe una falta de comprensión sistemática sobre cómo las elecciones de diseño específicas de RAG interactúan para influir en la susceptibilidad. El trabajo existente suele examinar los factores de forma aislada, fallando al cuantificar los efectos de interacción de orden superior entre los mecanismos de recuperación, los modelos de generación y las configuraciones de la base de conocimientos. Este artículo aborda esta brecha investigando cómo las configuraciones compuestas del sistema determinan la efectividad, el sigilo y el impacto de los ataques de envenenamiento.

Metodología

Los autores llevaron a cabo un estudio experimental de diseño factorial completo que comprendió 432 configuraciones únicas para evaluar sistemáticamente la robustez frente al envenenamiento. La metodología consistió en variar los parámetros centrales del pipeline a través de las siguientes dimensiones:

Datasets: Se utilizaron dos conjuntos de datos de preguntas y respuestas: HotpotQA (razonamiento de múltiples saltos o multi-hop) y MS-MARCO (recuperación de pasajes en dominio abierto). Se construyó un subconjunto curado de 100 pares de preguntas semánticamente similares para asegurar condiciones de recuperación alineadas.
Arquitecturas de Recuperación: Se probaron tres paradigmas distintos:
- BM25: Un recuperador disperso basado en léxico.
- BGE Denso: Un recuperador de vectores densos basado en embeddings semánticos.
- Basado en Grafos: Un enfoque estructurado que recupera evidencia mediante el recorrido de las relaciones entre documentos.
Profundidad de Recuperación ( $k$ ): Se varió el número de pasajes recuperados (2, 3 y 5) para evaluar cómo el tamaño de la ventana de contexto afecta la inclusión de contenido envenenado.
Configuración de la Base de Conocimientos: El estudio simuló diferentes perfiles de riesgo variando el número de bases de datos totales (1 o 2) y el número de bases de datos envenenadas (1 o 2). Esto incluyó escenarios de compromiso de fuente única, redundancia de fuente dual con una fuente envenenada y saturación total del sistema.
Preprocesamiento de Documentos: Se evaluaron los tamaños de fragmentación (chunk sizes) (512 vs. 768 tokens) y los valores de solapamiento (overlap) (64 vs. 100 tokens) para determinar el impacto de la segmentación en la exposición al envenenamiento.
Modelos Generadores: Se probaron dos LLMs: llama-4-scout-17b-16e-instruct y openai-gpt-oss-120b.
Estrategia de Envenenamiento: Los documentos adversarios se generaron automáticamente para promover afirmaciones incorrectas. La estrategia aseguró un alto solapamiento léxico con las consultas para garantizar la recuperación, evitando explícitamente la respuesta correcta.
Métricas de Evaluación:
- A nivel de recuperación: Poison@k (presencia en el top-k), Poison Rank y Score Margin (diferencia entre la mejor puntuación del documento envenenado y la del mejor documento limpio).
- A nivel de generación: Tasa de Abstinencia, Tasa de Respuesta Correcta y Tasa de Éxito del Ataque (ASR).

Se realizó un análisis estadístico utilizando regresión de Mínimos Cuadrados Ordinarios (OLS) para identificar los efectos principales y los términos de interacción (hasta tercer orden) entre las variables.

Contribuciones Clave

Análisis Sistemático de Factores: A diferencia del trabajo previo centrado en componentes individuales, este estudio proporciona una cuantificación exhaustiva de cómo interactúan el dataset, el tipo de recuperador, la profundidad de recuperación, la composición de la base de datos, la fragmentación y la elección del generador para influir en los resultados del envenenamiento.
Variable de Composición de la Base de Datos: El artículo introduce el "número de bases de datos" y el "número de bases de datos envenenadas" como variables experimentales, analizando cómo la redundancia adversaria y la competencia de fuentes limpias afectan el éxito del ataque.
Efectos de Interacción: El estudio identifica que la vulnerabilidad al envenenamiento no es atribuible a un solo componente, sino que surge de interacciones complejas, particularmente entre el dataset, la arquitectura del recuperador y la profundidad de recuperación.
Métricas Granulares: El uso de un diseño factorial completo permite la disección de si un ataque tiene éxito debido a un fallo de recuperación (los documentos envenenados no se encuentran) o un fallo de generación (los documentos envenenados se encuentran pero son ignorados), proporcionando una visión más matizada de la robustez del sistema.

Resultados

Los resultados experimentales resaltan distintos impulsores para la exposición en la recuperación frente al éxito en la generación:

Factores a Nivel de Recuperación:
- Arquitectura del Recuperador: Los recuperadores densos (BGE) y basados en grafos generalmente demostraron mayor robustez que BM25, resultando en un menor Poison@k, un mayor Poison Rank (los documentos envenenados se posicionan más bajo) y márgenes de puntuación (Score Margins) más pequeños.
- Dataset: MS-MARCO mostró una menor exposición al envenenamiento en comparación con HotpotQA.
- Profundidad de Recuperación: Aumentar $k$ (de 2 a 5) incrementó significativamente la probabilidad de recuperar pasajes envenenados (mayor Poison@k) en todas las arquitecturas.
- Interacción: El efecto de interacción más fuerte se encontró entre Dataset × Recuperador, indicando que el beneficio de los recuperadores robustos depende del dataset (más efectivo en MS-MARCO).
Factores a Nivel de Generación:
- Elección del Generador: El modelo openai-gpt-oss-120b exhibió una Tasa de Abstinencia menor y un ASR más alto en comparación con llama-4-scout-17b-16e-instruct, lo que sugiere que es más susceptible de seguir el contexto envenenado una vez recuperado.
- Composición de la Base de Datos:
  - Redundancia Adversaria: Replicar el contenido envenenado en múltiples bases de datos ("2 Bases de Datos | 2 Envenenadas") amplificó el éxito del ataque (mayor ASR, menor Tasa de Respuesta Correcta) al aumentar la competitividad de los pasajes envenenados.
  - Mitigación por Fuente Limpia: La presencia de una base de datos limpia adicional ("2 Bases de Datos | 1 Envenenada") mejoró la Tasa de Respuesta Correcta y empujó los pasajes envenenados a posiciones más bajas en el ranking, mitigando parcialmente el ataque.
- Fragmentación (Chunking): Las variaciones en el tamaño de fragmento y solapamiento (512/768 tokens, 64/100 de solapamiento) tuvieron una influencia comparativamente limitada en las métricas respecto a las elecciones de recuperador y dataset.

Significancia y Reivindicaciones

El artículo sostiene que la vulnerabilidad al envenenamiento en RAG es una propiedad sistémica que surge de la interacción de la recuperación, la generación y la configuración de la base de conocimientos, más que un fallo en un solo componente.

Implicaciones de Diseño: Los hallazgos sugieren que mejorar la robustez requiere una perspectiva de sistema. El diseño seguro debe considerar cómo interactúan la configuración de la recuperación (por ejemplo, elegir recuperadores densos/de grafos sobre BM25), la composición de la base de datos (evitar la redundancia adversaria) y el comportamiento del generador.
Estrategias de Mitigación: Los resultados motivan estrategias de mitigación pre-generación, tales como el filtrado o el descenso de rango (down-ranking) de pasajes sospechosos, ya que la elección del recuperador y el equilibrio entre evidencia limpia y envenenada dictan significativamente la calidad del resultado final.
Direcciones Futuras: Los autores señalan modestamente que sus hallazgos se basan en datasets y modelos específicos. El trabajo futuro debería extender este análisis a conjuntos de consultas más grandes y menos curados, estrategias de envenenamiento adicionales (incluyendo ataques adaptativos) y un rango más amplio de parámetros de configuración como etapas de re-clasificación (re-ranking) y pipelines híbridos. También destacan la necesidad de investigar cómo los tamaños de la ventana de contexto en diferentes LLMs afectan la susceptibilidad.