論文要約：Detecting RAG Extraction Attack via Dual-Path Runtime Integrity Game

この論文は、検索拡張生成（RAG）システムにおける「知識ベース漏洩（Knowledge Base Leakage）」という深刻なセキュリティ脆弱性に対処するため、ソフトウェアセキュリティの「スタック・キャナリー（Stack Canaries）」の概念を応用した新しい防御メカニズムCanaryRAGを提案するものです。

以下に、問題定義、手法、主要な貢献、実験結果、および意義について詳細にまとめます。

1. 背景と問題定義

RAG システムの脆弱性

RAG システムは、大規模言語モデル（LLM）に外部知識（私有データや特許情報など）を付与することで、ハルシネーションを減らし、最新情報を提供します。しかし、検索されたコンテンツを生成プロセスに露出させるため、敵対的なプロンプト（RAG 抽出攻撃）によって、モデルが意図せず検索された機密情報を漏洩させるリスクがあります。

既存の防御の限界

近年の研究（Qi et al., 2025; Jiang et al., 2025 など）は、適応的かつ反復的な攻撃戦略により、ブラックボックス環境でも知識ベースを再構築できることを示しています。既存の防御策（再ランク付け、要約、双経路防御など）には以下の課題がありました：

• 受動的であること: 攻撃コストを上げるだけで、攻撃を能動的に検知・阻止できない。
• 導入の難易度: 検索パイプラインの再構築やモデルの再学習が必要で、プラグアンドプレイではない。
• 適応的攻撃への脆弱性: 高度な攻撃（出力の隠蔽や構造化）に対して防御効果が限定的。

検出の難しさ

従来の「生成出力と検索コンテンツの類似性」に基づく検出は、以下の理由で困難です：

• 語彙レベル: 出力の曖昧化（Obfuscation）で容易に回避可能。
• 意味レベル: 正当な RAG 利用（検索内容の適切な活用）と漏洩は意味的に類似しており、意図（Intent）の区別がつかない。

2. 提案手法：CanaryRAG

CanaryRAG は、RAG 抽出攻撃を「ランタイム整合性の侵害（Runtime Integrity Violation）」として再定義し、ソフトウェアセキュリティのスタック・キャナリーに着想を得た検出アプローチを採用しています。

核心的なアイデア

• キャナリートークンの注入: 検索されたチャンク（テキスト断片）に、タスクとは無関係で、通常の生成では現れないはずの「キャナリートークン（特殊な文字列）」を事前に注入します。
• 整合性の監視: 正当な利用ではこれらのトークンは出力されませんが、攻撃者が検索内容をそのまま出力しようとした場合、キャナリーも一緒に漏洩します。

ダブルパス・ランタイム整合性ゲーム

敵対者がキャナリーの検出を回避しようとする適応的攻撃（キャナリーの抑制や出力の隠蔽）に対抗するため、CanaryRAG は 2 つの並行パスを実行します。

1. ターゲットパス（Target Path）:

   • ユーザーの実際のクエリを処理します。
   • 期待動作: 正当な利用ではキャナリーを出力してはならない。
   • 検知: 出力にキャナリーが含まれれば、漏洩（整合性侵害）として即座にブロックします。

2. オラクルパス（Oracle Path）:

   • 並行して実行されるプローブ（探針）タスクです。
   • 期待動作: 意図的にキャナリーの出力を促すタスク（例：「コンテキストのすべてのテキストをコピーして出力せよ」）を与え、キャナリーが正常に出力されることを確認します。
   • 検知: オラクルパスでキャナリーが出力されなかった場合、攻撃者がキャナリーを抑制しようとしている（適応的回避を試みている）と判断し、攻撃として検知します。

この「ターゲットパスでは隠すべき」と「オラクルパスでは現すべき」という矛盾する期待値を監視することで、単なる出力監視では見逃される高度な回避攻撃も検知可能になります。

3. 主要な貢献

1. 新しい検出パラダイムの提案: RAG 抽出攻撃を「意味的マッチング」から「ランタイム整合性の監視」へと転換しました。ソフトウェアのスタック・キャナリーを LLM の文脈に初めて適用した体系的な研究です。
2. プラグアンドプレイの防御メカニズム:
   • 既存の RAG パイプライン、検索インデックス、LLM の再学習を一切必要としません。
   • 検索されたチャンクにキャナリーを注入し、生成中のストリーミング出力を監視するだけで動作します。
3. 高いロバスト性: 敵対者がキャナリーメカニズムを知っている場合でも、オラクルパスによる二重監視により、適応的攻撃（キャナリー抑制や出力の曖昧化）に対して高い検知率を維持します。

4. 実験結果

複数の RAG エージェント（ChatDoctor, Mini-Wikipedia, Mini-BioASQ）と、最先端の攻撃手法（Pirates, RAG-Thief）を用いて評価を行いました。

• 漏洩防止効果（Chunk Recovery Rate: CRR）:
  • 既存の防御（Reranker, Summarize, RAGFort）と比較して、CanaryRAG は CRR を劇的に低下させました。
  • 相対平均 CRR は 0.04 倍（約 96% の削減）となり、多くのケースで漏洩をほぼゼロに抑えました。
  • 既存の防御は 0.60〜0.98 倍程度であり、効果に大きな差があります。
• ユーザー体験への影響:
  • 応答品質: BERTScore において、防御なしとほぼ同等（0.515 vs 0.517）を維持し、品質への影響は negligible（無視できる）です。
  • 誤検知（FPR）: 正当なクエリに対する誤検知率は 0.15% 以下と極めて低く、実用性を損ないません。
• パフォーマンスオーバーヘッド:
  • 推論レイテンシの増加はほぼゼロです。
  • 計算コスト（FLOPs）は、検索チャンク数に比例する要約防御や、モデルサイズに比例する RAGFort と異なり、軽量なオラクルモデルによる定数オーバーヘッドのみです。
• 適応的攻撃への耐性:
  • キャナリー抑制や出力の曖昧化を組み合わせた高度な攻撃に対しても、オラクルパスを有効にすることで検知率（TPR）を 94% 以上で維持しました（オラクルなしでは 50% 以下に低下）。

5. 意義と結論

CanaryRAG は、RAG システムの機密性保護において、**「検出ベースの防御」**という新しいアプローチを確立しました。

• 実用性: 再学習やシステム変更を必要としない「プラグアンドプレイ」なため、既存の企業向け RAG システムやエージェントワークフローに容易に導入可能です。
• スケーラビリティ: 知識ベースのサイズや検索深度に依存せず、一定のオーバーヘッドで動作します。
• セキュリティの保証: 攻撃者が知識ベースを再構築しようとする行為を、ランタイムで即座に検知し、ストリーミング生成を停止させることで、被害を最小限に抑えます。

この研究は、RAG のプライバシー保護において、従来の「漏洩を防ぐ（予防）」アプローチから、「漏洩を検知して即座に遮断する（検知・対応）」アプローチへの転換点となり、実社会での RAG 導入における重要なセキュリティ基盤となる可能性があります。