Architecture Matters: Comparing RAG Systems under Knowledge Base Poisoning

기술 요약: 아키텍처의 중요성: 지식베이스 중독 하의 RAG 시스템 비교

문제 제기
검색 증강 생성 (RAG) 시스템은 적대자가 조작된 문서를 주입하여 시스템 출력을 조작하는 지식베이스 중독에 취약합니다. 기존 문헌은 이러한 공격을 "순수한 (vanilla)" 검색 후 생성 파이프라인에 대해 광범위하게 평가해 왔으나, 중요한 간극이 존재합니다. 즉, 다중 에이전트 토론, 에이전트 검색, 재귀적 언어 모델과 같이 충돌하는 정보를 처리하도록 명시적으로 설계된 아키텍처는 적대적으로 최적화된 모순에 대해 단 한 번도 테스트된 바가 없습니다. 또한, 이전 평가들은 종종 중독된 문서가 검색 컨텍스트를 지배하는 시나리오 (예: 검색된 $K=5$개 중 중독된 문서 $N=5$개) 에 의존하여, 단일 적대적 문서가 합법적인 소스와 공존하는 상황 ($N=1$) 에서 시스템의 추론 능력을 테스트하지 못했습니다.

방법론
본 연구는 Contriever 를 사용하여 268 만 개의 패시지 (passage) 로 구성된 위키피디아 코퍼스에서 검색된 Natural Questions (NQ) 데이터셋의 921 개 질문 - 답변 쌍에 대해 통제된 $N=1$ 중독 위협 모델 하에서 네 가지 서로 다른 RAG 아키텍처를 평가합니다. 모든 시스템은 아키텍처 효과를 모델 능력 차이와 분리하기 위해 GPT-5-mini 를 백본 LLM 으로 활용합니다.

테스트된 네 가지 아키텍처는 다음과 같습니다:

1. Vanilla RAG: 표준 단일 패스 검색 후 생성 파이프라인.
2. Agentic RAG: PydanticAI 를 통해 구현되어, 에이전트가 답변하기 전에 반복적으로 검색하고, 쿼리를 재구성하며, 증거를 수집할 수 있도록 합니다.
3. MADAM-RAG: 각 검색된 문서가 독립적인 에이전트에게 할당되어 심의 (deliberation) 를 거친 후, 집계기 (aggregator) 가 최종 답변을 종합하는 다중 에이전트 토론 시스템.
4. 재귀적 언어 모델 (RLM): 프로그램적 분해와 재귀적 하위 호출을 통해 전체 주제 컨텍스트 (상위 100 개 패시지를 검색하고 일반적으로 약 2,600 개의 패시지로 확장되는 기사 제목을 공유하는 모든 패시지 포함) 를 처리하는 시스템.

시스템은 세 가지 조건 하에서 테스트됩니다:

• 클린 베이스라인: 중독된 문서가 없음.
• 순수 주입 (Naive Injection): 검색 최적화 없이 자연스럽게 작성된 모순되는 패시지.
• CorruptRAG-AK: 올바른 소스의 신뢰성을 훼손하도록 설계된 "메타 인식적 프레이밍 (meta-epistemic framing)" (예: "많은 구식 소스가 잘못 언급하지만... 최신 데이터는 확인합니다...") 을 사용하는 적대적 공격. 이 공격은 중독된 문서가 검색되도록 보장하는 검색 최적화 요소를 포함합니다.

평가 지표에는 공정한 아키텍처 간 비교를 위해 클린 정확도에 조건부인 공격 성공률 (ASR) 과 LLM 판정관을 통해 평가된 7 가지 범주의 행동 분류 (예: 확신 있는 정답, 탐지된 정답, 회피, 확신 있는 오답) 가 포함됩니다.

주요 기여

1. 고급 아키텍처의 첫 평가: 본 논문은 지식베이스 중독에 대한 에이전트, 다중 에이전트 토론, 재귀적 아키텍처의 첫 적대적 평가를 제공하여 중독 문헌과 충돌 처리 문헌 간의 간극을 해소합니다.
2. 1 차 변수로서의 아키텍처: 본 연구는 아키텍처 설계 선택만으로도 유사한 클린 정확도 ($\sim$92%) 를 가진 시스템 간 공격 성공률에서 약 58 퍼센트 포인트의 편차 (Vanilla 의 81.9% 에서 RLM 의 24.4% 까지) 를 발생시킨다는 것을 입증합니다.
3. 공격 성공의 분해: 저자들은 순수 공격과 적대적 공격 간의 성능 격차를 "검색 효과 (poison 이 검색되는 것)"와 "콘텐츠 효과 (프레이밍의 설득력)"로 분해합니다. 네 가지 아키텍처 중 세 가지에서 적대적 우위의 대부분은 검색 최적화가 아닌 생성 단계의 메타 인식적 프레이밍에서 비롯된다는 것을 발견합니다.
4. 행동 분류 체계: 7 가지 범주의 분류 체계 도입은 이진 정확도 이상의 실패 모드, 즉 모순 탐지, 회피, 그리고 신뢰 수준을 포착합니다.

결과

• 강건성 분산: CorruptRAG-AK 하에서 Vanilla RAG 는 (클린 조건부) 81.9% 의 ASR 을 보이며, Agentic RAG 는 43.8% 로 하락하고, RLM 은 24.4% 로 가장 높은 강건성을 달성합니다. MADAM-RAG 는 45.5% 의 ASR 을 보이지만, 클린 입력에서 높은 비답변율 (41.4%) 로 인해 복잡해지는데, 이는 오류를 감수하기보다 답변을 거부하는 "안전하지만 무용한" 트레이드오프를 시사합니다.
• 분해 결과:
  • Vanilla RAG: 공격 우위는 검색 ($\sim$18 pp) 과 콘텐츠 ($\sim$32 pp) 사이에 분할됩니다.
  • Agentic RAG: 우위는 압도적으로 콘텐츠 주도 ($\sim$30 pp) 이며 검색 기여도는 미미합니다. 주목할 점은 에이전트 루프가 적대적 프레이밍을 증폭시켜, 잘못된 응답의 63% 에서 메타 인식적 마커를 반복한다는 것입니다.
  • RLM: 전체 취약성 격차는 콘텐츠 - 추론 단계에 국한되며, 검색 최적화는 공격자에게 추가적인 우위를 제공하지 않습니다.
  • MADAM-RAG: 콘텐츠 효과는 통계적으로 0 과 구별되지 않습니다. 중독이 검색되면, 적대적 프레이밍은 순수한 모순보다 우위를 제공하지 않아 토론 구조가 설득력 있는 언어를 필터링함을 시사합니다. 그러나 집계기는 프레이밍과 관계없이 모순을 신뢰성 있게 해결하지 못합니다.
• 행동 분석: Vanilla RAG 실패는 주로 "확신 있는 오답"입니다. Agentic RAG 는 회피를 포함한 더 분산된 실패를 보입니다. MADAM-RAG 는 높은 회피율과 "알 수 없음" 응답을 보이며 확신 있는 오류를 억제하지만 유용성도 감소시킵니다. RLM 은 확신 있는 오답 비율이 가장 낮습니다.

의의 및 주장
본 논문은 아키텍처 선택이 RAG 적대적 강건성에서 고영향적이면서도 미탐구된 변수이며, 많은 전용 방어 메커니즘보다 더 중요할 수 있다고 주장합니다. 저자들은 다음과 같이 주장합니다:

• 설계 우선순위: 추론 아키텍처를 선택하는 것은 방어 메커니즘을 선택하는 것과 동등한 설계 결정이어야 합니다. 정교한 방어를 갖춘 순수 파이프라인은 현실적인 위협에 대해 맨손의 에이전트 또는 재귀적 파이프라인보다 열등할 수 있습니다.
• 위협 모델 의존성: 유기적 부패 (구식 문서) 의 경우 Agentic RAG 는 강력한 비용 - 강건성 트레이드오프를 제공합니다. 그러나 정교한 적대적 프레이밍에 대해서는 Agentic RAG 만으로는 부족하며, 상당한 지연 비용이 들지만 RLM 이 더 우수한 강건성을 제공합니다.
• 생성 단계 취약성: 대부분의 고급 아키텍처에 대한 주요 취약점은 검색이 아닌 생성/추론 단계 (콘텐츠 효과) 에 있습니다. 이는 Agentic 및 RLM 시스템의 주요 개입 대상으로서 생성 단계 방어 (예: 방어적 프롬프팅, 일관성 검사) 를 동기화합니다.
• MADAM-RAG 의 한계: 다중 에이전트 토론 구조는 적대적 언어 필터링과 모순 탐지에서 유망함을 보이지만, 테스트된 특정 구현은 충돌을 신뢰성 있게 해결하지 못해 높은 비답변율을 초래했습니다. 논문은 이 아키텍처의 잠재력을 실현하기 위해서는 개선된 집계 로직이 필요하다고 제안합니다.

본 연구는 RLM 이 현재 가장 강력한 강건성을 제공하지만, 높은 지연 시간과 정보 비대칭 (더 큰 컨텍스트) 이 배포 과제를 제기한다고 결론지었습니다. 저자들은 향후 연구가 경량화된 방어적 프롬프팅이 Agentic 시스템의 낮은 비용 지점에서 Agentic 과 재귀적 아키텍처 간의 강건성 격차를 해소할 수 있는지 조사해야 한다고 가정합니다.