TriShieldRAG: A Three-Ring Defense-in-Depth Framework Against Knowledge Corruption in Retrieval-Augmented Generation

Technische Samenvatting: TriShieldRAG

Probleemstelling
Retrieval-Augmented Generation (RAG)-systemen vertrouwen op externe kennisbronnen om de antwoorden van Large Language Models (LLM's) te onderbouwen. Hoewel dit hallucinaties vermindert en dynamische kennisupdates mogelijk maakt, introduceert het een kritieke kwetsbaarheid: als een aanvaller kwaadaardige documenten kan injecteren in een gedeelde of door gebruikers gegenereerde kennisbank, kan hij de retriever manipuleren om deze "vergiftigde" documenten naar boven te halen. Zoals aangetoond door PoisonedRAG, kan het injecteren van slechts vijf vervaardigde documenten die een retrieval-trigger en een onjuiste bewering bevatten, ervoor zorgen dat een onverdedigd RAG-systeem met ongeveer 91% succes het door de aanvaller gewenste onjuiste antwoord geeft. Bestaande verdedigingen voorgesteld in de literatuur (bijv. perplexiteitsfiltering, query-parafrasering, kennisbank-expansie) opereren op één enkel stadium van de pijplijn. Het artikel betoogt dat verdedigingen met één stadium een "single point of failure" vormen, aangezien een adaptieve aanvaller zijn gif kan afstemmen om dat specifieke controlepunt te omzeilen, waardoor er een resterend succespercentage van de aanval van 3 respectiefief 30% of hoger overblijft.

Methodologie: TriShieldRAG
TriShieldRAG stelt een "defense-in-depth"-framework voor bestaande uit drie onafhankelijke, formeel gespecificeerde ringen die opereren op verschillende stadia van de RAG-pijplijn: Ingest, Retrieval en Generation.

1. Ring 1: Ingest Guard (Tijdens Ingest)

   • Functie: Filtert kandidaat-documenten voordat ze de doorzoekbare index binnengaan (of direct na retrieval als er geen persistente index wordt onderhouden).
   • Mechanisme: Wint een verdenkingsscore toe op basis van drie signalen:
     • Perplexity: Detecteert repetitieve of onnatuurlijke tekstpatronen (lexicale diversiteit en token-burstiness).
     • Pattern Matching: Vlagt specifieke rode vlaggen zoals de letterlijke inclusie van de doelvraag, korte vraagachtige structuren, of boilerplate autoriteitsfrases (bijv. "geverifieerde records").
     • Outlier Detection: Meet de cosinusafstand van de document-embedding tot het centrum van de kennisbank.
   • Besluit: Documenten die een vaste drempelwaarde ($\vartheta_1 = 0.5$) overschrijden, worden geblokkeerd.

2. Ring 2: Retrieval Scorer (Tijdens Retrieval)

   • Functie: Herrangschikt de documenten die Ring 1 hebben overleefd op basis van een vertrouwensscore.
   • Mechanisme: Berekent een gewogen vertrouwensscore die de volgende combineert:
     • Provenance (Herkomst): Een gewicht van een bron-allow-list (1.0 voor gecureerd, 0.1 voor bekende vergiftiging, 0.5 voor onbekend).
     • Consistentie: Meet de overlap tussen de token bag van een document en de meerderheids-token bag van de geretourneerde set.
     • Relevantie: De oorspronkelijke gelijkenissscore van de retriever (laagst gewogen om te voorkomen dat de geoptimaliseerde trigger van de aanvaller wordt vertrouwd).
   • Besluit: Documenten die onder een vertrouwensdrempel ($\vartheta_2 = 0.35$) vallen, worden verwijderd. Het systeem vertrouwt op een provenance-tag assumptie (dat aanvallers geen vertrouwde bron-tags kunnen vervalsen) en een minority-poison assumptie (dat schone documenten in aantal de vergiftigde documenten in de geretourneerde set overtreffen).

3. Ring 3: Cross-LLM Consensus (Tijdens Generation)

   • Functie: Valideert het uiteindelijke antwoord met behulp van een panel van heterogene LLM's.
   • Mechanisme: Bevraagt een panel van drie architecturaal diverse modellen (Claude, Mistral Small, Llama 3.2) met de gefilterde context.
   • Besluit: Accepteert het antwoord als een meerderheidsquorum (minstens 2 van de 3) het eens is ($\vartheta_3 = 0.66$). Bij onenigheid voert het systeem één begrensde re-retrieval uit nadat het onderste derde deel van de context met de laagste vertrouwensscore is verwijderd, en geeft vervolgens de nieuwe uitkomst terug, ongeacht het niveau van overeenstemming bij de tweede stem.

Belangrijkste Bijdragen

1. Drie-Ringen Architectuur: Het eerste framework dat lexicale/statistische screening, provenance-gewogen vertrouwensherrangschikking en multi-vendor consensus-stemmen integreert in een enkele pijplijn, waardoor een vergiftigd document alle drie de lagen tegelijkertijd moet verslaan.
2. Formele Assumpties: Afleiding van de minority-poison assumptie (Ringen 2 en 3 functioneren alleen correct als de vergiftiging een minderheid vormt van de geretourneerde set) en de provenance-tag assumptie (Ring 2 vertrouwt op niet-vervalste bron-tags). Het artikel merkt expliciet op dat dit afgeleide condities zijn, die nog niet onafhankelijk zijn bevestigd via gecontroleerde $\rho$-swept experimenten.
3. Referentie-implementatie: Een modulaire Python-implementatie met gebruik van FAISS voor retrieval en een heterogeen LLM-panel, met volledige traceerbaarheid van beslissingen bij elke ring.
4. Reproduceerbare Evaluatie: Een evaluatie tegen de niet-adaptieve PoisonedRAG-aanvaller over een Wikipedia-corpus van 5.000 documenten.

Experimentele Resultaten
Geëvalueerd tegen een niet-adaptieve aanvaller die 5 vergiftigde documenten per query injecteert in een kennisbank van 5.000 documenten:

• Onverdedigde Baseline: Attack Success Rate (ASR) $\approx$ 91%.
• Single-Stage Defenses (Reproductie): ASR $\approx$ 29% (illustratief).
• TriShieldRAG (Volledige Pijplijn): ASR verminderd tot $\approx$ 13%.
• Benigne Prestaties: Het framework behoudt de nauwkeurigheid op niet-vergiftigde queries.

De resterende foutmarge van 13% wordt toegeschreven aan vergiftigde documenten waarvan de formulering voldoende natuurlijk is om de lexicale/patrooncontroles van Ring 1 te omzeilen, waardoor Ring 2 en 3 het juiste antwoord moeten herstellen uit een context die mogelijk nog steeds enige vergiftiging bevat.

Betekenis en Claims
Het artikel beweert dat TriShieldRAG een specifiek gat in de literatuur aanpakt: het gebrek aan gelaagde bescherming die documenten screent tijdens ingest, retrieval en generation. Door verder te gaan dan enkele controlepunten, vermindert het de succesratio van niet-adaptieve aanvallen aanzienlijk.

De auteurs houden echter een bescheiden reikwijdte aan met betrekking tot hun huidige claims:

• Adaptieve Aanvallers: De huidige evaluatie bevat geen adaptieve aanvaller die op de hoogte is van de specifieke drempelwaarden en het ontwerp van TriShieldRAG. Het evalueren tegen een dergelijke aanvaller wordt expliciet geïdentificeerd als de primaire openstaande kwestie voor toekomstig werk.
• Schaal: De evaluatie werd uitgevoerd op een corpus van 5.000 documenten. De auteurs erkennen dat de oorspronkelijke PoisonedRAG-evaluatie grotere schalen gebruikte (miljoenen documenten) en dat het schalen van TriShieldRAG naar dat niveau (wat het gebruik van approximate nearest neighbor indices vereist) een noodzakelijke volgende stap is om de resultaten op productieschaal te valideren.
• Verificatie van Assumpties: De minority-poison assumptie is analytisch afgeleid en blijkt consistent met de huidige configuratie, maar het artikel geeft toe dat deze nog niet is bevestigd door een gecontroleerd experiment waarbij de vergiftigingsfractie $\rho$ over de grens tussen minderheid en meerderheid is gesweept.

Samenvattend toont TriShieldRAG aan dat een drie-ringen defense-in-depth benadering de succesratio van bekende niet-adaptieve templates drastisch kan verlagen, maar de auteurs positioneren dit als een eerste versie van voortdurend werk, waarbij rigoureuze testen tegen adaptieve aanvallers en grootschalige implementaties als toekomstige prioriteiten blijven.