💻 computer science

Inference Cost Attacks for Retrieval-Augmented Large Language Models

Dit artikel introduceert de Retrieval-Augmented Inference Cost Attack (RA-ICA), een nieuw framework dat gebruikmaakt van LLM-agenten en een Memory-Augmented Group Relative Policy Optimization-algoritme om externe kennisbanken te vergiftigen met kwaadaardige documenten die het tokenverbruik in RAG-versterkte LLM-systemen aanzienlijk opblazen terwijl de integriteit van het antwoord behouden blijft.

Oorspronkelijke auteurs: Chengliang Liu, Liangbo Ning, Yujuan Ding, Wenqi Fan

Gepubliceerd 2026-06-03

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Chengliang Liu, Liangbo Ning, Yujuan Ding, Wenqi Fan

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je een luxe restaurant voor genaamd "RAG-LLM." Dit restaurant is beroemd omdat het niet alleen vertrouwt op het geheugen van de chef; het heeft een team van onderzoekers die direct naar een enorme bibliotheek (het internet) rennen om de meest verse feiten te vinden voordat ze je maaltijd bereiden. Dit maakt het eten (de antwoorden) zeer accuraat.

Het draaien van deze bibliotheek-onderzoeksservice is echter duur. De eigenaren van het restaurant betalen per minuut voor de tijd van de onderzoekers en de elektriciteit om de computers te laten draaien.

Het Problek: Een Nieuw Soort "Rekening-Schok"

Het artikel betoogt dat hoewel dit systeem geweldig is, het een verborgen zwakte heeft. Meestal denken mensen dat hackers de chef direct kunnen proberen te misleien door vreemde instructies naar het keukeruit te schreeuwen (het veranderen van de vraag van de gebruiker). Maar de auteurs zeggen dat er een slimmere, geraffineerdere manier is om aan te vallen: de bibliotheek zelf vergiftigen.

Ze noemen deze nieuwe dreiging RA-ICA (Retrieval-Augmented Inference Cost Attack).

Denk er zo over na: in plaats van tegen de chef te schreeuwen, glipt de aanvaller de bibliotheek binnen en plaatst daar een paar neppe, verwarrende en overdreven ingewikkelde boeken op de planken. Wanneer een klant een simpele vraag stelt zoals: "Wie is de godin van de lente?", pakken de onderzoekers niet alleen het juiste boek, maar grijpen ze per ongeluk ook een van deze nepboken.

Omdat het nepbok op een slimme manier is geschreven, moet de chef het lezen, opnieuw lezen, ermee discussiëren en een puzzel oplossen die erin verborgen zit, alleen maar om het simpele antwoord te achterhalen. De chef besteedt uiteindelijk 13 keer langer aan het bereiden van de maaltijd dan normaal. De klant krijgt het juiste antwoord, maar de eigenaar van het restaurant krijgt een enorme, onverwachte rekening voor al die extra tijd.

Hoe de Aanval Werkt (Het "CREEP" Framework)

De auteurs bouwden een tool die ze CREEP (Computational Resource Exhaustion via External Poisoning) noemen om dit te automatiseren. Stel je CREEP voor als een "schurkenrobot" die deze nepboken schrijft.

De robot gebruikt twee hoofdwegen om deze vallen te schrijven:

De Herschrijver (The Rewrite Artist): Het neemt een normaal, saai boek en bewerkt het om een verwarrende puzzel of een tegenstrijdigheid toe te voegen.
De Creatieve Schrijver (The Creative Writer): Het schrijft een compleet nieuw boek vanaf nul dat er normaal uitziet, maar stiekem ontworpen is om de chef harder te laten werken.

De robot gebruikt drie specifieke trucs om de chef harder te laten werken:

De Afleidingsmanoeuvre (The Decoy): Het voegt een nep, moeilijk wiskundig probleem of een logische puzzel toe aan de tekst. De chef voelt zich verplicht dit eerst op te lossen voordat hij de vraag van de gebruiker kan beantwoorden.
De Tegenstrijdigheid (The Contradiction): Het schrijft een zin die het tegenovergestelde van de waarheid beweert (bijv. "Lente is eigenlijk winter"). De chef moet stoppen, nadenken en extra redeneren om te beslissen welke feit echt is.
De Taakval (The Task Trap): Het geeft de chef een vage, open einde instructie die hem dwingt een lange, warrige uitleg te schrijven om maar veilig te zijn.

Het Geheime Sausje: Leren van Eerdere Overwinningen (MA-GRPO)

Het schrijven van een nepbok die zowel moeilijk te ontdekken als moeilijk te verwerken is, is erg moeilijk. Als het boek te vreemd is, zullen de onderzoekers het niet uit de bibliotheek pakken. Als het te simpel is, zal de chef er niet extra veel tijd aan besteden.

Om dit op te lossen, hebben de auteurs hun "schurkenrobot" getraind met een speciale leermethode genaamd MA-GRPO.

Denk aan dit als een videogame waarin de robot probeert de perfecte val te schrijven.

De Geheugenbank (The Memory Bank): De robot houdt een "Hall of Fame" bij van de beste vallen die hij ooit heeft geschreven.
De Vergelijking (The Comparison): Elke keer dat de robot een nieuwe val probeert, vergelijkt hij deze met de winnaars uit de "Hall of Fame".
De Beloning (The Reward): Als de nieuwe val de chef langer laat werken zonder het uiteindelijke antwoord te veranderen, krijgt de robot een "hoge score" en leert hij dit vaker te doen. Als het mislukt, leert hij wat hij juist niet moet doen.

Deze "geheugenbank" helpt de robot om beter en sneller te worden in het schrijven van vallen die onzichtbaar zijn voor het oog, maar uitputtend voor de computer.

De Resultaten

De auteurs testten dit op drie verschillende real-world vraag-en-antwoord datasets. Ze ontdekten dat:

Ze de computer 13 keer langer konden laten werken dan normaal.
De aanval in meer dan 90% van de gevallen slaagde.
Cruciaal was dat het uiteindelijke antwoord aan de gebruiker nog steeds correct was. De eigenaar van het restaurant betaalt de rekening, maar de klant krijgt zijn eten op tijd (alleen met een veel hogere kostenpost achter de schermen).

Samenvatting

Kortom, dit artikel laat zien dat we ons niet alleen zorgen moeten maken over hackers die veranderen wat we vragen. We moeten ons ook zorgen maken over het vergiftigen van de informatiebronnen waarop we vertrouwen. Door "plakkerige, verwarrende" documenten in de publieke kennisbasis te planten, kan een aanvaller deze slimme AI-systemen dwingen om enorme hoeveelheden rekenkracht en geld te verbruiken, terwijl ze de gebruiker nog steeds het juiste antwoord geven.

Technische Samenvatting: Inference Cost Attacks voor Retrieval-Augmented Large Language Models

Probleemdefinitie

Retrieval-Augmented Generation (RAG)-systemen verbeteren Large Language Models (LLMs) door dynamisch informatie op te halen uit externe kennisbronnen (bijv. webdata, domeinspecifieke databases) om responsen te synthetiseren. Hoewel effectief, introduceert deze architectuur een multi-stage inference-pipeline die de operationele kosten aanzienlijk verhoogt, waarbij inference vaak meer dan 90% van de totale computationele GPU-vraag vormt.

Bestaand onderzoek naar Inference Cost Attacks (ICAs) heeft zich primair gericht op het manipuleren van gebruikersinput-prompts om modellen te dwingen tot het genereren van excessief lange of repetitieve outputs. Deze benadering rust echter op de onpraktische aanname dat een aanvaller de input-queries van het slachtoffer direct kan controleren.

Dit artikel identificeert een kritieke, onderbelichte kwetsbaarheid: Retrieval-Augmented Inference Cost Attacks (RA-ICA). In tegenstelling tot directe prompt-manipulatie, richt RA-ICA zich op de externe kennisbron zelf. Door de doorzoekbare database te vergiftigen (bijv. door kwaadaardige documenten in publieke webkennis te injecteren), kan een tegenstander high-cost inference triggeren voor legitieme gebruikersqueries zonder directe interactie. De kernuitdaging is het creëren van kwaadaardige documenten die:

Retrieveerbaar zijn: Semantisch relevant genoeg om door de retrieval-module te worden geselecteerd voor een doelgerichte query.
Kosten-amplificerend zijn: In staat zijn de LLM aan te zetten tot het genereren van excessief lange reasoning-traces of tokenconsumptie.
Stealthy (Onopvallend) zijn: De semantische correctheid van het uiteindelijke antwoord behouden om detectie te vermijden en de systeemutiliteit te bewaren.

Methodologie: Het CREEP-framework

Om RA-ICA te operationaliseren, stellen de auteurs Computational Resource Exhaustion via External Poisoning (CREEP) voor, een framework dat LLM-agents gebruikt om autonoom kwaadaardige documenten te ontwerpen en te verfijnen.

1. Attack Agents en Strategieën

Het framework maakt gebruik van twee soorten agents—Rewrite-based (het modificeren van bestaande retrieved documenten) en Generation-based (het creëren van documenten vanaf nul)—waarbij drie specifieke strategieën voor resource-uitputting worden toegepast:

Decoy Injection: Het injecteren van complexe, meerstaps reasoning-taken (bijv. logische puzzels of planningsproblemen) in de documentcontext. Dit dwingt het RAG-systeem om extra, computationeel intensieve reasoning-stappen uit te voeren bovenop de oorspronkelijke query-vereisten.
Contradiction Injection: Het introduceren van plausibele maar feitelijk tegenstrijdige verklaringen ten opzichte van het legitieme antwoord. Dit dwingt de LLM tot extra analyse om conflicten tussen de retrieved documenten te beslechten, waardoor de tokenconsumptie toeneemt.
Task-Oriented Manipulation: Het voorzien van de agent van hoogwaardige doelstellingen (Retrieval, Cost Amplification, Stealthiness) zonder specifieke generatieprocedures voor te schrijven, waardoor de agent zijn volledige reasoning-capaciteiten kan inzetten om diverse aanvalspatronen te ontdekken.

2. Optimalisatie via MA-GRPO

Erkennend dat pre-trained LLM-agents niet inherent optimaliseren voor adversariële kosten-amplificatie, introduceren de auteurs Memory-Augmented Group Relative Policy Optimization (MA-GRPO).

Reward Formulering: De reward-functie is een composiet van drie componenten:
- Retrieval Reward ( $R_{retrieval}$ ): Een binaire indicator die garandeert dat het document daadwerkelijk wordt opgehaald.
- Answer Purity Reward ( $R_{purity}$ ): Een gewogen som die garandeert dat het uiteindelijke antwoord in lijn blijft met de legitieme waarheid en dat de output geen manipulatie-artefacten bevat.
- Token Consumption Ratio ( $R_{TCR}$ ): De ratio van het aangevallen aantal tokens ten opzichte van het baseline aantal tokens.
Memory Augmentation: Standaard Group Relative Policy Optimization (GRPO) kan instabiel zijn als een gesamplede groep alleen outputs met een lage reward bevat. MA-GRPO lost dit op door een dynamische memory buffer bij te houden van de top- $k$ historische beste adversariële documenten. Tijdens de training wordt het voordeel van nieuwe kandidaten berekend relatief aan een referentiegroep die zowel de huidige batch als de memory buffer omvat. Dit stabiliseert de training en versnelt de ontdekking van krachtige aanvalspatronen.

Belangrijkste Bijdragen

Nieuw Aanvalsparadigma (RA-ICA): Het artikel definieert en onderzoekt de eerste inference cost attack die specif으로 is afgestemd op RAG-versterkte LLMs, waarbij de aanvalsvector verschuift van gebruikersprompts naar externe kennisvergiftiging.
CREEP Framework: Een nieuw framework dat LLM-agents en drie verschillende strategieën (Decoy, Contradiction, Task-Oriented) gebruikt om kwaadaardige documenten te genereren die een balans vinden tussen retrieval-succes en computationele uitputting.
MA-GRPO Algoritme: Een reinforcement learning-algoritme dat een dynamische memory buffer integreert om aanvalsagents te finetunen, wat de efficiëntie en effectiviteit van het genereren van adversariële documenten aanzienlijk verbetert vergeleken met standaard policy-optimalisatie.

Experimentele Resultaten

De auteurs evalueerden RA-ICA over drie real-world datasets: Natural Questions (NQ), HotpotQA, en MS MARCO. De experimenten werden uitgevoerd in een black-box setting met vier victim LLMs (qwen-turbo, GPT-5, claude-sonnet-4, en deepseek-r1) met een Contriever retriever.

Effectiviteit: De RA-ICA slaagde erin de tokenconsumptie met wel 13,12 keer te verhogen ten opzichte van de legitieme inference.
Success Rate: De aanval behaalde een succespercentage van meer dan 90% over de datasets heen.
Stealthiness: Cruciaal is dat de aanvallen de integriteit van de gegenereerde antwoorden behielden, wat betekent dat het systeem doorgaans correcte responsen bleef geven ondanks de enorme toename in computationele kosten.

Betekenis en Claims

Het artikel claimt het eerste werk te zijn dat de inference cost kwetsbaarheid van RAG-versterkte LLM-systemen onderzoekt. Het stelt dat naarmate RAG-systemen steeds vaker real-time webzoeken en externe kennis integreren, de externe kennisbron een significante praktische kwetsbaarheid wordt.

De betekenis van dit werk ligt in het aantonen dat:

RAG-systemen vatbaar zijn voor cost exhaustion attacks via kennisvergiftiging, een vector die schaalbaarder en praktischer is dan directe prompt-manipulatie.
Een enkel vergiftigd document een groot aantal gebruikersqueries kan beïnvloeden, wat de impact van de aanval op operationele kosten en systeembeschikbaarheid vergroot.
Huidige defensiemechanismen die gericht zijn op prompt-filtering ontoereikend zijn, aangezien de aanval de semantische correctheid van de output behoudt, waardoor het moeilijk te detecteren is via standaard antwoordverificatie.

De auteurs positioneren dit onderzoek als een noodzakelijke stap naar het begrijpen van de veiligheid en betrouwbaarheid van betrouwbare generatieve AI, waarbij zij wijzen op de noodzaak van robuuste defensies tegen externe kennisvergiftiging in RAG-architecturen.