기술 요약: RADAR: 검색 오염에 대한 동적 RAG 방어

1. 문제 제기

검색 증강 생성 (RAG) 시스템, 특히 동적 웹 검색 환경에 배포된 시스템은 적대적 공격에 대한 심각한 취약점을 안고 있습니다. 초기 RAG 시스템이 정적 코퍼스에서 작동했던 반면, 현대 애플리케이션은 웹에서 진화하는 정보를 지속적으로 흡수합니다. 이러한 시간적 변동성은 코퍼스 오염(기만적 문서 주입) 과 프롬프트 주입 공격(검색된 텍스트에 악성 지시사항 임베딩) 에 대한 취약성을 증폭시킵니다.

기존 방어 메커니즘은 주로 정적 환경을 위해 설계되었습니다. 휴리스틱 필터링은 종종 유용성 손실을 초래하며, 최적화 기반 일관성 선택은 강력한 보장이 없는 근사치에 의존합니다. 이러한 방법들을 경솔하게 동적 환경으로 확장할 경우, 지속적으로 변하는 위협을 처리하지 못하며 원시 역사적 문서를 아카이브해야 하는 필요성으로 인해 prohibitive(부담스러운) 저장 비용에 시달립니다. 핵심적인 과제는 과도한 저장 오버헤드 없이 진화하는 적대적 전략에 대한 견고성을 유지하면서도 진정한 지식의 변화를 수용하는 적응성 (안정성 - 가소성 딜레마) 을 유지하는 것입니다.

2. 방법론: RADAR 프레임워크

RADAR(검색 오염에 대한 견고한 적응형 방어) 는 신뢰할 수 있는 컨텍스트 선택을 그래프 기반 에너지 최소화 문제로 모델링하여 **최대 유량 최소 컷 (Max-Flow Min-Cut)**을 통해 정확하게 해결함으로써 이러한 과제를 해결합니다. 이 프레임워크는 정적 및 동적 두 가지 주요 모드로 작동합니다.

2.1. 핵심 메커니즘: 최소 컷을 통한 에너지 최소화

RADAR 은 신뢰할 수 있는 문서 선택을 이진 레이블링 문제로 취급합니다. 검색된 문서 집합 $D = \{d_1, ..., d_k\}$가 주어졌을 때, 일관성을 최대화하는 부분집합 $D_{rel}$을 식별하는 것이 목표입니다.

• 원자적 답변 생성: 각 검색된 문서에 대해 시스템은 LLM 을 사용하여 "원자적 답변"을 생성합니다.
• 의미 점수 매기기: NLI(자연어 추론) 모델이 두 개의 행렬을 계산합니다.
  • 일관성 ($M$): 원자적 답변 간의 논리적 함의.
  • 모순 ($C$): 원자적 답변 간의 논리적 충돌.
• 그래프 구성: 소스 노드 $s$, 싱크 노드 $t$, 그리고 각 문서에 대한 노드를 가진 방향 그래프 $G=(V, E)$가 구성됩니다.
  • 단일 포텐셜 (터미널 엣지): $s$에서 $d_i$로의 엣지 ($S_i$) 는 문서 유지의 이점 (중심성과 랭크 기반) 을 나타내는 반면, $d_i$에서 $t$로의 엣지 ($F_i$) 는 중앙 문서와의 충돌에 기반한 유지 비용을 나타냅니다.
  • 쌍별 포텐셜 (문서 간 엣지): $d_i$와 $d_j$ 사이의 엣지는 용량 $M_{ij}$를 통해 논리적 일관성을 강제합니다.
• 추론: 최소 컷 (Min-Cut) 알고리즘은 그래프를 신뢰할 수 있는 문서 집합 (소스 집합) 과 필터링된 문서 집합 (싱크 집합) 으로 분할합니다. 이는 개별 문서의 신뢰도와 쌍별 일관성 사이의 균형을 맞추는 에너지 최소화 문제에 대한 정확한 해를 제공합니다.

2.2. 동적 방어: 베이지안 메모리 노드

원시 역사적 문서를 저장하지 않고도 시간에 따라 진화하는 증거 스트림을 처리하기 위해 RADAR 은 이전 시간 단계의 시스템 신념 상태를 나타내는 베이지안 메모리 노드($a_{t-1}$) 를 도입합니다.

• 재귀적 신념 업데이트: 문서를 아카이빙하는 대신, 시스템은 베이지안 추론을 사용하여 메모리 노드에 연결된 엣지의 용량을 업데이트합니다.
  • 사전 확률: 이전 답변의 일관성에서 유도됩니다.
  • 가능도: 역사적 답변과 새로운 증거 $D(t)$ 사이의 함의 (지지) 또는 모순 (충돌) 을 기반으로 계산됩니다.
  • 사후 확률: 업데이트된 엣지 용량은 현재 최소 컷에서 역사적 답변을 유지 (소스 측) 할지 아니면 폐기 (싱크 측) 할지 결정합니다.
• 안정성 - 가소성 균형: 이 메커니즘은 새로운 증거가 이를 지지할 때 유효한 역사적 지식을 적응적으로 유지하거나, 새로운 증거가 이를 모순할 때 폐기함으로써 안정성 - 가소성 트레이드오프를 효과적으로 해결합니다.

2.3. 후처리

최소 컷 선택 후, 시스템은 최종 생성 단계 전에 의미적 일관성을 보장하기 위해 선택된 원자적 답변의 쌍별 코사인 유사도를 기반으로 2 차 필터링 단계를 수행하여 고립된 이상치를 제거합니다.

3. 주요 기여

1. RADAR 프레임워크: RAG 컨텍스트 정화를 최소 컷 문제로 모델링하여 코퍼스 기반 공격에 대한 우수한 견고성으로 정확한 효율적 추론을 제공하는 새로운 방어 프레임워크.
2. 베이지안 메모리를 통한 동적 그래프 구성: 연속적인 시간 단계 공격을 위해 명시적으로 맞춤화된 최초의 방어 접근법. 베이지안 메모리 노드를 통해 재귀적 신념 상태를 유지함으로써 원시 문서를 아카이빙하지 않고도 역사적 일관성과 새로운 증거 사이의 효과적인 균형을 달성합니다.
3. 동적 데이터셋 구축: 시간별 변화하는 진실과 공격 패턴을 시뮬레이션하는 동적 RAG 보안을 위한 포괄적인 데이터셋 생성.

4. 실험 결과

실험은 여러 LLM(DeepSeek, GPT-4o, Grok-4-fast) 을 사용하여 네 가지 데이터셋 (RealTimeQA, Natural Questions, TriviaQA, Bio) 에서 수행되었으며, RobustRAG, AstuteRAG, ReliabilityRAG 와 같은 베이스라인과 비교되었습니다.

• 정적 성능: RADAR 은 우수한 견고성 - 유용성 트레이드오프를 달성했습니다. 프롬프트 주입 공격 (PIA) 하의 RealTimeQA(RQA) 에서 최상위 랭크 (Pos 1) 에서 RADAR 은 69.0% 정확도와 **11.0% 공격 성공률 (ASR)**을 유지하여 AstuteRAG(25.0% 정확도, 1.0% ASR) 와 ReliabilityRAG(69.0% 정확도, 15.0% ASR) 와 같은 베이스라인을 크게 능가했습니다. 장문 Bio 생성에서 RADAR 은 오염 공격 하에 **84.4%**의 최대 정확도를 달성하여 모든 베이스라인을 능가했습니다.
• 동적 성능: 진화하는 증거 스트림에서 RADAR 은 우수한 적응성을 보여주었습니다. Pos 1 에서 PIA 가 적용된 누적 스냅샷 설정에서 RADAR 은 63.60% 정확도와 17.85% ASR을 달성하여 RobustRAG(61.29% 정확도) 와 ReliabilityRAG(53.61% 정확도) 를 능가했습니다.
• 효율성: RADAR 은 원시 문서 아카이빙을 위해 필요한 다른 방법들의 수십 메가바이트에서 쿼리당 약 1KB(신념 상태만 저장) 로 저장 오버헤드를 줄였습니다. 런타임은 원자적 답변 생성에 의해 지배되지만, 최소 컷 추론은 무시할 수 있는 오버헤드를 도입합니다.
• 견고성: 이 방법은 NLI 검계를 우회하도록 설계된 적응형 공격 하에서도 안정적으로 유지되었으며, NLI 모델 선택 (DeBERTa-v3, BART, ModernBERT) 에 대한 민감도가 낮았습니다.

5. 중요성 및 주장

이 논문은 RADAR 이 실시간으로 작동하는 차세대 신뢰할 수 있는 AI 에이전트에 필수적인 수학적으로 기반을 둔 시간 인식 탄력성 메커니즘을 제공한다고 주장합니다. 컨텍스트 정화를 정확한 최소 컷 문제로 공식화하고 베이지안 메모리 노드를 통합함으로써 RADAR 은 적대적 탄력성과 지식 적응 사이의 균형을 효과적으로 유지합니다.

저자들은 이 접근 방식이 진화하는 공격 하에서 견고성과 답변 정확도를 향상시키면서 저장 오버헤드를 크게 줄인다고 강조합니다. 그들은 실시간 RAG 가 AI 어시스턴트와 검색 엔진에 필수적인 요소가 됨에 따라, 프롬프트 주입 및 코퍼스 오염 위험을 완화하고 동적 현실 세계 환경에서 LLM 기반 시스템의 안전한 배포를 촉진하기 위해 이러한 동적 방어가 필수적이라고 봅니다. 이 작업은 모든 RAG 취약점을 해결한다고 주장하지는 않지만, 최소한의 저장 비용으로 동적 검색 오염에 대한 방어를 위한 격차를 구체적으로 목표로 합니다.