Sintesi Tecnica: Attacchi al costo di inferenza per modelli Large Language Model con Retrieval-Augmented Generation

Definizione del Problema

I sistemi di Generazione Aumentata da Recupero (RAG) potenziano i modelli Large Language Models (LLM) recuperando dinamicamente informazioni da basi di conoscenza esterne (ad esempio, dati web, database specifici del dominio) per sintetizzare le risposte. Sebbene efficaci, questa architettura introduce una pipeline di inferenza multi-stadio che aumenta significativamente i costi operativi, con l'inferenza che spesso costituisce oltre il 90% della domanda computazionale totale delle GPU.

La ricerca esistente sugli Attacchi al costo di inferenza (Inference Cost Attacks - ICA) si è concentrata principalmente sulla manipolazione dei prompt di input dell'utente per costringere i modelli a generare output eccessivamente lunghi o ripetitivi. Tuttavia, questo approccio si basa sull'ipotesi impraticabile che un attaccante possa controllare direttamente le query di input della vittima.

Questo articolo identifica una vulnerabilità critica e sottoutilizzata: l'Attacco al costo di inferenza aumentato dal recupero (Retrieval-Augmented Inference Cost Attack - RA-ICA). Diversamente dalla manipolazione diretta del prompt, l'RA-ICA prende di mira la base di conoscenza esterna stessa. Avvelenando la banca dati recuperabile (ad esempio, iniettando documenti malevoli nella conoscenza web pubblica), un avversario può innescare un'inferenza ad alto costo per query utente benigne senza interazione diretta. La sfida principale consiste nel creare documenti malevoli che siano:

1. Recuperabili: Semanticamente rilevanti quanto basta per essere selezionati dal modulo di recupero per una determinata query.
2. Amplificatori di costo: Capaci di indurre l'LLM a generare tracce di ragionamento eccessivamente lunghe o un consumo di token elevato.
3. Invisibili (Stealthy): Mantenendo la correttezza semantica della risposta finale per evitare il rilevamento e preservare l'utilità del sistema.

Metodologia: Il Framework CREEP

Per operazionalizzare l'RA-ICA, gli autori propongono Computational Resource Exhaustion via External Poisoning (CREEP), un framework che utilizza agenti LLM per creare e perfezionare autonomamente documenti malevoli.

1. Agenti di Attacco e Strategie

Il framework impiega due tipi di agenti — basati su riscrittura (modifica di documenti già recuperati) e basati su generazione (creazione di documenti da zero) — utilizzando tre strategie specifiche di esaurimento delle risorse:

• Iniezione di Esca (Decoy Injection): Iniettare compiti di ragionamento complessi e multi-step (ad esempio, puzzle logici o problemi di pianificazione) nel contesto del documento. Questo costringe il sistema RAG a eseguire passaggi di ragionamento aggiuntivi e computazionalmente intensivi rispetto ai requisiti della query originale.
• Iniezione di Contraddizione (Contradiction Injection): Introdurre affermazioni plausibili ma fattualmente contraddittorie rispetto alla risposta benigna. Ciò costringe l'LLM a impegnarsi in un'analisi extra per giudicare i conflitti tra i documenti recuperati, aumentando così il consumo di token.
• Manipolazione Orientata al Compito (Task-Oriented Manipulation): Fornire all'agente obiettivi di alto livello (Recupero, Amplificazione del Costo, Invisibilità) senza prescrivere procedure di generazione specifiche, permettendo all'agente di sfruttare tutte le sue capacità di ragionamento per scoprire diversi pattern di attacco.

2. Ottimizzazione tramite MA-GRPO

Riconoscendo che gli agenti LLM pre-addestrati potrebbero non ottimizzare intrinsecamente l'amplificazione del costo avversariale, gli autori introducono la Memory-Augmented Group Relative Policy Optimization (MA-GRPO).

• Formulazione della Ricompensa: La funzione di ricompensa è una composizione di tre componenti:
  • Ricompensa di Recupero ($R_{retrieval}$): Un indicatore binario che assicura che il documento venga effettivamente recuperato.
  • Ricompensa di Purezza della Risposta ($R_{purity}$): Una somma pesata che assicura che la risposta finale rimanga allineata con la verità benigna e che l'output manchi di artefatti di manipolazione.
  • Rapporto di Consumo dei Token ($R_{TCR}$): Il rapporto tra il numero di token attaccati e il numero di token di base.
• Aumento della Memoria: La standard Group Relative Policy Optimization (GRPO) può soffrire di instabilità se un gruppo campionato contiene solo output a bassa ricompensa. MA-GRPO affronta questo problema mantenendo un buffer di memoria dinamico dei migliori $k$ documenti avversari storici. Durante l'addestramento, il vantaggio dei nuovi candidati è calcolato rispetto a un gruppo di riferimento che comprende sia il batch corrente che il buffer di memoria. Ciò stabilizza l'addestramento e accelera la scoperta di pattern di attacco potenti.

Contributi Chiave

1. Nuovo Paradigma di Attacco (RA-ICA): L'articolo definisce e investiga il primo attacco al costo di inferenza specificamente progettato per gli LLM potenziati da RAG, spostando il vettore di attacco dai prompt dell'utente all'avvelenamento della conoscenza esterna.
2. Framework CREEP: Un framework innovativo che utilizza agenti LLM e tre strategie distinte (Esca, Contraddizione, Orientamento al Compito) per generare documenti malevoli che bilanciano il successo del recupero con l'esaurimento computazionale.
3. Algoritmo MA-GRPO: Un algoritmo di apprendimento per rinforzo che integra un buffer di memoria dinamico per perfezionare gli agenti di attacco, migliorando significativamente l'efficienza e l'efficacia nella generazione di documenti avversariali rispetto alla standard ottimizzazione della policy.

Risultati Sperimentali

Gli autori hanno valutato l'RA-ICA su tre dataset del mondo reale: Natural Questions (NQ), HotpotQA e MS MARCO. Gli esperimenti sono stati condotti in un ambiente black-box utilizzando quattro LLM vittima (qwen-turbo, GPT-5, claude-sonnet-4 e deepseek-r1) con un recuperatore Contriever.

• Efficacia: L'RA-ICA ha aumentato con successo il consumo di token fino a 13,12 volte rispetto all'inferenza benigna.
• Tasso di Successo: L'attacco ha raggiunto un tasso di successo superiore al 90% attraverso i dataset.
• Invisibilità (Stealthiness): Fondamentalmente, gli attacchi hanno mantenuto l'integrità delle risposte generate, il che significa che il sistema ha continuato a fornire risposte corrette nonostante l'enorme aumento del costo computazionale.

Significato e Rivendicazioni

L'articolo sostiene di essere il primo lavoro che esplora la vulnerabilità del costo di inferenza dei sistemi LLM potenziati da RAG. Argomenta che, poiché i sistemi RAG integrano sempre più la ricerca web in tempo reale e la conoscenza esterna, la base di conoscenza esterna diventa una vulnerabilità pratica significativa.

La significatività di questo lavoro risiede nel dimostrare che:

• I sistemi RAG sono suscettibili ad attacchi di esaurimento del costo tramite l'avvelenamento della conoscenza, un vettore che è più scalabile e pratico rispetto alla manipolazione diretta del prompt.
• Un singolo documento avvelenato può influenzare una moltitudine di query utente, amplificando l'impatto dell'attacco sui costi operativi e sulla disponibilità del sistema.
• Gli attuali meccanismi di difesa focalizzati sul filtraggio dei prompt sono insufficienti, poiché l'attacco preserva la correttezza semantica dell'output, rendendo difficile il rilevamento tramite la normale verifica della risposta.

Gli autori posizionano questa ricerca come un passo necessario verso la comprensione della sicurezza e dell'affidabilità dell'IA generativa affidabile, evidenziando la necessità di difese robuste contro l'avvelenamento della conoscenza esterna nelle architetture RAG.