Epistemic Bias Injection: Biasing LLMs via Selective Context Retrieval

1. Il Problema: Epistemic Bias Injection (EBI)

Il paper affronta una vulnerabilità critica nei sistemi Retrieval-Augmented Generation (RAG), dove i Large Language Models (LLM) integrano conoscenze esterne da database (spesso provenienti dal web non verificato) per rispondere alle query degli utenti.

Mentre la ricerca precedente si è concentrata su attacchi che iniettano contenuti falsi, tossici o istruzioni dannose (facilmente rilevabili tramite fact-checking o analisi linguistica), gli autori identificano una minaccia più sottile e insidiosa: l'Epistemic Bias Injection (EBI).

• Definizione: L'EBI consiste nell'iniettare nel corpus di conoscenza passaggi che sono fattualmente corretti e linguisticamente coerenti, ma che presentano un bias epistemico. Questi testi enfatizzano sistematicamente un solo lato di un argomento a più punti di vista, "spingendo fuori" le prospettive alternative durante il processo di recupero (retrieval).
• Obiettivo dell'attaccante: Manipolare il contesto recuperato in modo che l'LLM generi risposte che riflettono una specifica posizione ideologica o interpretativa, senza introdurre falsità evidenti o "impronte digitali" linguistiche che possano essere rilevate dalle difese esistenti.
• Limitazioni delle difese attuali: Le difese attuali (basate su fact-checking, analisi del linguaggio o rilevamento di istruzioni strutturate) falliscono perché i passaggi avversari sono veri e non contengono istruzioni malevole esplicite.

2. Metodologia e Formulazione Matematica

Il contributo centrale del paper è la formalizzazione geometrica del bias epistemico e la creazione di un attacco automatizzato e di una difesa.

A. Metrica Geometrica: Polarization Score (PS)

Per quantificare il bias, gli autori propongono una metrica scalare chiamata Polarization Score (PS), calcolata direttamente sugli embedding dei testi.

1. Asse di Polarizzazione: Utilizzando un insieme di passaggi "ancora" (con punti di vista opposti su uno stesso tema), viene eseguita un'analisi delle componenti principali (PCA) sugli embedding. Il primo componente principale definisce l'asse di polarizzazione ($u_{polar}$), che massimizza la varianza tra i diversi punti di vista.
2. Calcolo del PS: Ogni passaggio viene proiettato su questo asse. Il valore risultante ($PS(d) = u_{polar}^T E(d)$) indica l'orientamento e l'intensità del punto di vista.
3. Misura del Bias: Il bias epistemico è misurato come lo spostamento ($\Delta PS$) rispetto a un passaggio di riferimento neutro.
4. Validazione: Gli autori dimostrano che il PS ha una forte correlazione (Spearman $\rho \approx 0.896$) con le valutazioni umane (o di un LLM giudice) sull'intensità del supporto o dell'opposizione a una tesi.

B. L'Attacco EBI Automatizzato

L'attacco è progettato per soddisfare tre proprietà:

1. Alta Rilevanza: I passaggi devono avere un alto punteggio di similarità semantica (SS) rispetto alla query per essere recuperati.
2. Bias Epistemico: Devono avere un PS estremo (molto alto o molto basso) rispetto ai passaggi benigni.
3. Stealth (Furtività): Devono essere fattualmente corretti e privi di fingerprint linguistici.

Workflow dell'attacco:

1. Generazione di passaggi candidati su un tema specifico usando un LLM.
2. Calcolo del PS per identificare il passaggio più polarizzato (es. il più "pro" o il più "contro").
3. Generazione di $n$ varianti avversarie che mimano il punto di vista del passaggio polarizzato, mantenendo coerenza fattuale.
4. Iniezione di questi passaggi nel database di conoscenza RAG.

C. La Difesa: BiasDef

Gli autori propongono BiasDef, un meccanismo di difesa leggero e "plug-and-play" che opera a livello di recupero (retrieval) senza bisogno di riaddestrare l'LLM.

• Principio: Sfrutta la distribuzione statistica dei passaggi nello spazio bidimensionale (Similarità Semantica - SS, Polarization Score - PS).
• Rilevamento Base (Teorema 1): Cerca una soglia di similarità ($t^*_{ss}$) che massimizzi la divergenza di Kullback-Leibler (KL) tra le distribuzioni di PS dei sottoinsiemi di passaggi. Se gli attacchi sono perfetti, questa soglia separa nettamente i passaggi avversari da quelli benigni.
• Mitigazione degli Errori: Poiché in scenari reali le distribuzioni si sovrappongono, BiasDef include:
  • Riduzione dei Falsi Positivi: Rimuove i passaggi benigni con PS anomali che potrebbero essere stati classificati erroneamente come avversari.
  • Recupero dei Falsi Negativi: Utilizza la distanza di Mahalanobis per identificare passaggi avversari che hanno una similarità bassa ma appartengono comunque al cluster avversario nello spazio degli embedding.

3. Risultati Sperimentali

Gli esperimenti sono stati condotti su dataset pubblici (WIKI-BALANCE, Reddit-Dialogues, HotpotQA) e diversi modelli LLM (Llama-3, DeepSeek-R1, GPT-4.1).

Vulnerabilità delle Difese Esistenti

• Le difese basate sulla diversità (MMR, SMART) e quelle basate sul rumore (BRRA) falliscono nel bloccare completamente l'EBI.
• MMR/SMART: Riducono parzialmente il recupero di passaggi avversari ma a scapito della qualità del recupero (Recall@5), eliminando anche contenuti benigni utili.
• Fact-Checking: Si rivela inefficace perché i passaggi avversari sono fattualmente veri; le API di fact-checking li classificano come "SUPPORTS" o "NOT ENOUGH INFO" con tassi simili ai passaggi benigni.

Efficacia dell'Attacco EBI

• L'attacco induce spostamenti significativi nel Polarization Score delle risposte generate.
• Anche con istruzioni di "pensiero critico" nel prompt, gli LLM non riescono a mitigare il bias introdotto dal contesto recuperato.
• L'attacco funziona su modelli di diverse dimensioni e architetture, dimostrando che la scalabilità non garantisce robustezza.

Efficacia di BiasDef

• Riduzione del Bias: BiasDef riduce lo spostamento del PS nelle risposte finali di oltre 6.2 volte rispetto alle difese esistenti e allo stato senza difesa.
• Recall: Mantiene un alto Recall@5 (recupero di contenuti pertinenti), superando le difese basate sulla diversità che tendono a filtrare troppo aggressivamente.
• Performance: In oltre il 70% delle query, BiasDef filtra completamente i passaggi avversari dai primi 5 risultati.
• Overhead: Aggiunge un costo computazionale minimo (circa 465 ms), rendendolo pratico per sistemi reali.

4. Contributi Chiave

1. Nuova Minaccia: Formalizzazione dell'Epistemic Bias Injection, un attacco che manipola l'LLM usando contenuti veri ma parziali, eludendo le difese tradizionali.
2. Metrica Geometrica: Introduzione del Polarization Score (PS), una metrica interpretabile e calcolabile in modo non supervisionato per quantificare il bias nei vettori di embedding.
3. Difesa Adattiva: Progettazione di BiasDef, un filtro statistico che combina similarità semantica e distribuzione del bias per identificare e rimuovere contenuti manipolati senza riaddestrare il modello.
4. Benchmark Completo: Creazione di un benchmark per valutare la vulnerabilità dei sistemi RAG e l'efficacia delle difese contro manipolazioni sottili.

5. Significato e Implicazioni

Questo lavoro evidenzia un rischio fondamentale per i sistemi di ricerca e Q&A basati su AI: la possibilità di manipolare l'opinione degli utenti o la percezione della realtà attraverso la selezione selettiva di informazioni vere.

• Sicurezza: Dimostra che la semplice verifica dei fatti non è sufficiente per garantire l'obiettività di un sistema RAG.
• Robustezza: Suggerisce che la robustezza dei sistemi RAG richiede una modellazione esplicita delle prospettive e dei bias durante la fase di recupero, non solo durante la generazione.
• Futuro: Apre la strada a difese che ragionano sulla distribuzione dei punti di vista, offrendo un approccio complementare alle difese basate sul modello (fine-tuning) o sul contenuto (fact-checking).

In sintesi, il paper dimostra che l'equilibrio epistemico è una vulnerabilità sfruttabile, ma che può essere mitigata attraverso l'analisi geometrica degli spazi di embedding, fornendo uno strumento pratico per proteggere l'integrità delle risposte generate dall'AI.