Detecting RAG Extraction Attack via Dual-Path Runtime Integrity Game

1. O Problema: Vazamento de Base de Conhecimento em RAG

Os sistemas de Geração Aumentada por Recuperação (RAG) combinam Grandes Modelos de Linguagem (LLMs) com bases de conhecimento externas para fornecer respostas precisas e atualizadas. No entanto, isso introduz uma vulnerabilidade crítica de segurança: o vazamento da base de conhecimento.

• Ameaça: Adversários podem usar prompts maliciosos (ataques de extração) para induzir o modelo a revelar, reconstruir ou exfiltrar o conteúdo proprietário recuperado da base de dados.
• Limitações das Defesas Atuais:
  • Passividade: Métodos anteriores focam em aumentar o custo de reconstrução, mas não detectam proativamente o ataque.
  • Fragilidade: São vulneráveis a ataques adaptativos que usam ofuscação, supressão de conteúdo ou reordenação de tokens.
  • Invasividade: Muitas soluções exigem reestruturação do pipeline de recuperação, reindexação ou re-treinamento do modelo, o que impede a implantação "plug-and-play".
  • Dificuldade de Detecção Online: Distinguir entre uma resposta legítima que usa conhecimento recuperado e um vazamento malicioso é difícil apenas por similaridade semântica ou lexical, pois ambas compartilham a mesma fonte.

2. Metodologia: CanaryRAG

O artigo propõe o CanaryRAG, um mecanismo de defesa em tempo de execução (runtime) inspirado nos "canários de pilha" (stack canaries) usados na segurança de software para detectar estouro de buffer.

Conceito Central: Integridade de Runtime

Em vez de tentar prever o que é um vazamento, o CanaryRAG trata o vazamento como uma violação de integridade. O sistema injeta "tokens canário" (strings não semânticas, aleatórias e de alta entropia) nos trechos recuperados (chunks).

• Comportamento Esperado: Em uso benigno, o modelo deve ignorar esses tokens pois não têm relevância para a tarefa.
• Comportamento Malicioso: Se o modelo for induzido a reproduzir fielmente o contexto recuperado (extração), os tokens canário aparecerão na saída, sinalizando uma violação.

A Jogo de Integridade de Duplo Caminho (Dual-Path)

Para lidar com adversários adaptativos que tentam suprimir ativamente a emissão de canários, o CanaryRAG executa dois caminhos de geração concorrentes:

1. Caminho Alvo (Target Path):

   • Processa a consulta real do usuário.
   • Expectativa de Integridade: Não deve emitir nenhum token canário.
   • Detecção: Se qualquer canário aparecer na saída do usuário, é considerado um vazamento direto.

2. Caminho Oráculo (Oracle Path):

   • Executa em paralelo com uma consulta modificada (uma "sonda") projetada para forçar o modelo a reproduzir o contexto, incluindo os canários.
   • Expectativa de Integridade: Deve recuperar e exibir os tokens canário.
   • Detecção: Se o caminho oráculo falhar em recuperar os canários (quando deveria), isso indica que o adversário está aplicando instruções de supressão ou ofuscação que afetam todo o sistema, sinalizando um ataque adaptativo.

Decisão Final: O sistema bloqueia a resposta se houver violação em qualquer um dos caminhos (vazamento no alvo ou supressão no oráculo).

3. Contribuições Chave

1. Nova Perspectiva de Detecção: Reclassifica o ataque de extração em RAG como uma violação de integridade de runtime, mudando o paradigma de "correspondência semântica" para "monitoramento comportamental". É o primeiro estudo sistemático focado em detecção baseada em integridade para este cenário.
2. Solução Plug-and-Play: O CanaryRAG é leve, agnóstico ao modelo e não requer re-treinamento, modificação da arquitetura de recuperação ou alterações na base de conhecimento. Pode ser integrado a qualquer pipeline RAG existente.
3. Robustez Adaptativa: A abordagem de duplo caminho permite detectar não apenas a extração direta, mas também tentativas sofisticadas de evasão (como supressão de tokens ou ofuscação de saída) que tentariam burlar defesas de caminho único.

4. Resultados Experimentais

Os autores avaliaram o CanaryRAG contra ataques de extração de última geração (como Pirates e RAG-Thief) em três agentes RAG diferentes (ChatDoctor, Mini-Wikipedia, Mini-BioASQ).

• Eficácia na Prevenção (CRR - Taxa de Recuperação de Trechos):

  • O CanaryRAG reduziu a taxa de recuperação de trechos para níveis próximos de zero (~1.6% a 0.2%), dependendo do agente.
  • Em comparação, as melhores defesas anteriores (RAGFort, Summarize) ainda permitiram taxas de vazamento de 37% a 50%.
  • O CanaryRAG foi o único método que conseguiu reduzir a taxa de vazamento em ~96% em relação à ausência de defesa.

• Impacto na Experiência do Usuário (Qualidade e Falsos Positivos):

  • Qualidade de Resposta: O uso de canários teve impacto negligenciável na qualidade das respostas para usuários legítimos (pontuação BERTScore mantida estável).
  • Falsos Positivos: A taxa de falsos positivos (bloquear usuários legítimos) foi extremamente baixa (< 0.15%).

• Desempenho e Latência:

  • A sobrecarga computacional foi mínima. O CanaryRAG adicionou uma latência insignificante em comparação com a inferência sem defesa, superando métodos que exigem reindexação ou geração de resumos complexos.

• Robustez contra Ataques Adaptativos:

  • Mesmo quando os adversários estavam cientes da defesa e tentavam suprimir canários ou ofuscar a saída, o CanaryRAG (com o caminho oráculo) manteve uma taxa de detecção verdadeira (TPR) superior a 94%. Sem o caminho oráculo, a robustez caía drasticamente.

5. Significância e Conclusão

O CanaryRAG representa um avanço significativo na segurança de sistemas RAG:

• Mudança de Paradigma: Move a defesa de uma abordagem reativa e baseada em conteúdo para uma abordagem proativa baseada em integridade.
• Viabilidade Prática: Por ser "plug-and-play" e não exigir re-treinamento, é uma solução escalável para empresas que já possuem sistemas RAG implantados com dados proprietários sensíveis.
• Proteção contra Ameaças Futuras: A arquitetura de duplo caminho oferece uma defesa robusta contra a evolução dos ataques adaptativos, garantindo que a recuperação de dados proprietários seja detectada em tempo real antes que o vazamento se torne irreversível.

Em resumo, o trabalho demonstra que é possível proteger bases de conhecimento em RAG de forma eficaz, com custo computacional mínimo e sem comprometer a utilidade do sistema para usuários legítimos.