Resumen Técnico: Recuperado pero no Confiable: Una Encuesta sobre Ataques y Defensas en la Generación Aumentada por Recuperación

Planteamiento del Problema

Los sistemas de Generación Aumentada por Recuperación (RAG, por sus siglas en inglés) mejoran los Modelos de Lenguaje Extensos (LLMs) al fundamentar sus salidas en conocimiento externo, con el objetivo de mejorar la exactitud fáctica y reducir las alucinaciones. Sin embargo, la introducción de un flujo de trabajo de recuperación crea nuevas y complejas superficies de ataque distintas de los LLMs independientes. Los atacantes pueden explotar el flujo de trabajo para inferir el contenido de corpus privados, inyectar evidencia engañosa para inducir salidas incorrectas o amplificar sesgos demográficos. Si bien la literatura existente aborda la seguridad de RAG, las encuestas actuales suelen estar fragmentadas, careciendo de un marco unificado que conecte los objetivos del atacante, los modelos de amenaza y las defensas específicas por etapa a lo largo de todo el flujo de RAG (recuperación, reordenación, generación y trazabilidad). Además, las variantes emergentes de RAG (por ejemplo, GraphRAG, RAG Multimodal) introducen restricciones estructurales que remodelan las superficies de ataque pero siguen siendo poco exploradas en contextos de seguridad.

Metodología

Esta encuesta emplea una metodología sistemática para construir una visión general unificada y consciente del flujo de trabajo de la robustez de RAG:

1. Recolección de Literatura: Los autores identificaron artículos semilla (por ejemplo, PoisonedRAG, TrojanRAG, Neural Exec, The Good and the Bad) y expandieron el conjunto de datos mediante el seguimiento de citas y búsquedas de palabras clave (recuperación, ataque, defensa, privacidad, robustez).
2. Diseño de la Taxonomía: La encuesta se estructura en torno a dos preguntas críticas: qué pretende comprometer un atacante (objetivo) y dónde ocurre la falla en el flujo de trabajo (etapa).
   • Los Ataques se organizan por objetivo: Exactitud, Privacidad y Equidad.
   • Las Defensas se organizan por etapa del flujo de trabajo: Recuperación, Reordenación (Rerank), Generación y Trazabilidad (Traceback).
3. Modelado de Amenazas: Los autores formalizan los modelos de amenaza basados en los objetivos del atacante (dirigidos vs. no dirigidos), el conocimiento (caja negra, caja gris, caja blanca) y las capacidades (acceso de solo inserción al corpus, acceso de consulta al recuperador/generador).
4. Expansión del Alcance: La encuesta se extiende más allá del RAG estándar para incluir variantes como GraphRAG, RAG Multimodal y RAG Agéntico, analizando sus implicaciones de seguridad específicas.

Contribuciones Clave

1. Modelo de Amenaza Unificado y Taxonomía de Ataques

El artículo formaliza los modelos de amenaza a través de los tres componentes principales de RAG: el Corpus ($D$), el Recuperador ($R$) y el Generador ($F$). Los ataques se categorizan en tres objetivos primarios:

• Ataques de Exactitud: Buscan inducir salidas incorrectas o dañinas.
  • Dirigidos: Inducir respuestas erróneas específicas mediante Envenenamiento de Corpus (inyección de documentos engañosos), Ataques de Puerta Trasera (activación de comportamientos maliciosos mediante disparadores) o Inyección de Prompts (incrustación de instrucciones ejecutables en documentos recuperados).
  • No Dirigidos: Degradar ampliamente la confiabilidad del sistema o eludir las restricciones de seguridad en diversas consultas.
• Ataques de Equidad: Inducen o amplifican disparidades sistemáticas (por ejemplo, género, raza) mediante la inyección de evidencia sesgada o el envenenamiento de codificadores de consultas para alinear los disparadores con grupos demográficos específicos.
• Ataques de Privacidad: Extraer información sensible sin alterar las salidas del sistema.
  • Dirigidos: Inferencia de Membresía (determinar si un documento está en el corpus), Extracción de Privacidad (forzar al modelo a revelar contenido privado recuperado) y comportamientos de "Dependiente Confundido" (engañar a entidades con privilegios excesivos).
  • No Dirigidos: Extracción a gran escala de datos ocultos del corpus mediante consultas de sondeo.

2. Taxonomía de Defensa Consciente del Flujo de Trabajo

Las defensas se categorizan según la etapa en la que intervienen:

• Etapa de Recuperación: Se centra en la Recuperación Robusta (recursos de diagnóstico, recuperación centrada en evidencia, sanitización de corpus) y el Entrenamiento Robusto (entrenamiento con negativos difíciles, entrenamiento con perturbaciones de bajo nivel) para mejorar el conjunto inicial de evidencia.
  la Etapa de Reordenación (Rerank): Refina los $k$ candidatos superiores promoviendo documentos benignos y suprimiendo los sospechosos mediante el razonamiento entre múltiples documentos y grafos de similitud (por ejemplo, GRADA).
• Etapa de Generación: Opera al nivel del LLM, dividida en:
  • Proactiva: Filtrado (basado en consistencia, basado en influencia, mecanicista) y mecanismos de detección para marcar entradas envenenadas antes de la generación.
  • Pasiva: Razonamiento robusto (generación basada en aislamiento, razonamiento consciente de conflictos) y entrenamiento robusto (entrenamiento adversarial, alineación, entrenamiento de auto-razonamiento) para mitigar la influencia durante la decodificación.
• Etapa de Trazabilidad (Traceback): Aplicada post-falla para atribuir la responsabilidad. Incluye atribución a nivel de contexto, de documento y de conjunto de datos para identificar las fuentes específicas de salidas engañosas o inseguras.

3. Análisis de las Variantes Emergentes de RAG

La encuesta destaca cómo las nuevas arquitecturas alteran el panorama de amenazas:

• GraphRAG: Aunque el indexado de grafos puede reducir la efectividad del envenenamiento de corpus estándar, introduce nuevos riesgos como el envenenamiento de entidades/relaciones y la extracción de privacidad mediante la reconstrucción de subgrafos.
• RAG Multimodal: Expande las superficies de ataque para incluir pares de imagen-texto, permitiendo el envenenamiento de corpus y la inferencia de membresía a través de múltiples modalidades.
• RAG Agéntico: Introduce bucles con estado donde los ataques pueden persistir en la memoria, manipular la selección de herramientas o explotar observaciones de herramientas no confiables, desplazando el objetivo de seguridad de la integridad de la respuesta a la integridad de todo el bucle de recuperar-razonar-actuar-actualizar.

4. Benchmarks y Explicabilidad

El artículo resume los benchmarks de robustez (por ejemplo, SafeRAG, URAG) que evalúan modos de falla como el envenenamiento de corpus, la fragilidad de la recuperación y los conflictos de conocimiento. También revisa los métodos de explicabilidad (atribución, mecanicista, estructural y a nivel de sistema) que revelan por qué el contexto envenenado influye en el comportamiento del modelo, como la preferencia por cadenas de evidencia coherentes o el cambio de las políticas de seguridad internas hacia la síntesis de evidencia externa.

Resultados y Hallazgos

• Vulnerabilidad: Los sistemas RAG son altamente susceptibles al envenenamiento de corpus y a la inyección de prompts, donde documentos maliciosos pueden dirigir a los generadores hacia objetivos específicos o filtrar datos privados.
• Limitaciones de la Defensa: Las defensas actuales suelen estar fragmentadas. Muchas dependen de supuestos de caja blanca fuertes que no se traducen a despliegues de caja negra. Los métodos de trazabilidad son mayormente diagnósticos en lugar de preventivos.
• Compromisos (Trade-offs): Existe una tensión entre la sigilosidad del ataque y su efectividad; los textos adversariales optimizados a menudo carecen de naturalidad semántica, lo que los hace detectables. Del mismo modo, los ataques universales mejoran la escalabilidad pero pueden perder precisión en comparación con las optimizaciones específicas de la consulta.
• Riesgos Emergentes: Los riesgos de privacidad en GraphRAG y RAG Multimodal están subexplorados, y el RAG Agéntico introduce consecuencias graves donde los estados comprometidos conducen a acciones externas no autorizadas.

Significado y Reivindicaciones

Los autores posicionan este trabajo como una hoja de ruta para desarrollar sistemas RAG confiables. Su importancia radica en:

1. Unificación: Proporcionar una taxonomía completa y consciente del flujo de trabajo que conecta los objetivos de ataque con etapas de defensa específicas, abordando las brechas de las encuestas previas donde los trabajos existentes ofrecían una cobertura exhaustiva de dimensiones clave (por ejemplo, facticidad, robustez) pero ofrecían un análisis limitado de las estructuras de ataque o las defensas adversariales.
2. Integralidad: Cubrir no solo el RAG estándar sino también las variantes emergentes (GraphRAG, RAG Agéntico) e integrar benchmarks y métodos de explicabilidad.
3. Dirección Futura: Destacar desafíos abiertos, como la falta de transferibilidad de los ataques a entornos de caja negra, la necesidad de ataques más sigilosos y la necesidad de una atribución de fuente de grano fino para la filtración de privacidad.

El artículo concluye comprometiéndose a un repositorio público para rastrear continuamente los desarrollos en este campo que evoluciona rápidamente, enfatizando que construir sistemas RAG robustos requiere una comprensión holística de todo el flujo de trabajo de recuperación aumentada.