Resumo Técnico: LeakDojo: Decodificando as Ameaças de Vazamento em Sistemas RAG

Declaração do Problema

Os sistemas de Geração Aumentada por Recuperação (RAG) aprimoram os Modelos de Linguagem de Grande Escala (LLMs) com conhecimento externo, mas introduzem vulnerabilidades de segurança significativas. Embora a construção e a manutenção de bancos de dados de conhecimento RAG de alta qualidade sejam custosas e requeiram expertise especializada, a extração dos fragmentos de conhecimento recuperados expostos aos LLMs durante a inferência é relativamente fácil. Essa assimetria cria uma superfície de ataque onde adversários podem extrair maliciosamente conhecimento proprietário por meio da interface RAG.

Estudos existentes sobre ataques de vazamento em RAG enfrentam três limitações principais:

1. Falta de Avaliação Sistemática: A pesquisa atual frequentemente visa sistemas RAG ad hoc com estruturas variadas, tornando difícil a comparação direta.
2. Complexidade em Evolução: As arquiteturas RAG modernas incorporam cada vez mais módulos de aprimoramento (por exemplo, reordenadores, reescritores, sumarizadores) e mecanismos de defesa, os quais os estudos existentes não avaliam sistematicamente no contexto de riscos de vazamento.
3. Capacidades em Evolução dos Modelos: Novos LLMs exibem capacidades mais fortes de seguimento de instruções, mas a correlação entre essas capacidades e o risco de vazamento permanece pouco explorada.

Metodologia: O Framework LeakDojo

Para abordar essas lacunas, os autores propõem o LeakDojo, um framework configurável e modular projetado para a avaliação controlada dos riscos de vazamento em RAG. Inspirado em princípios de design modular, o LeakDojo decompõe o ecossistema RAG em três componentes independentemente configuráveis:

1. Sistemas RAG Configuráveis: O framework modela pipelines RAG como uma sequência de módulos, incluindo recuperadores, reordenadores, reescritores e sumarizadores. Isso permite que pesquisadores isolem o impacto de escolhas arquitetônicas específicas (por exemplo, adicionar um reordenador) sobre os riscos de vazamento.
2. Estratégias de Ataque Configuráveis: Os ataques são modelados como uma combinação de dois componentes desacoplados:
   • Gerador de Consultas: Responsável por criar "consultas âncora" ($A_i$) que podem operar de forma estática ou refinar adaptativamente com base no feedback do sistema.
   • Instrução Adversarial: Uma instrução constante ($I$) projetada para induzir o LLM a repetir fragmentos recuperados literalmente.
   • A consulta adversarial final é formada como $Q^i_{adv} = A_i \oplus I$. Essa formulação permite a análise independente da eficácia da geração de consultas e da suscetibilidade ao seguimento de instruções.
3. Mecanismos de Defesa Configuráveis: O framework suporta defesas em estágio de entrada (detectores de intenção) e defesas em estágio de saída (detectores de conteúdo) que podem ser ativadas ou desativadas para testar sua eficácia contra vetores de ataque específicos.

Configuração Experimental:
Os autores conduziram experimentos extensivos usando o LeakDojo em:

• 14 LLMs: Incluindo arquiteturas diversas (Dense, MoE) e escalas (7B a 235B parâmetros), como Qwen-3, DeepSeek-V3, Gemini e variantes GPT.
• 4 Conjuntos de Dados: Abrangendo domínios científicos (SCIFACT), médicos (NFCORPUS), corporativos (ENRON EMAIL) e financeiros (FIQA).
• 6 Ataques Existentes: Benchmarking de TGTB, PIDE, DGEA, RAG-Thief, PoR e IKEA.
• Métricas: O estudo utilizou quatro métricas: Vazamento Cumulativo de Fragmentos (CCL), Gatilho de Vazamento Bem-Sucedido (SLT), Cobertura de Recuperação Adversarial (ARC) e Taxa de Recuperação de Fragmentos (CRR).

Principais Descobertas

1. Contribuições Independentes dos Componentes de Ataque

O estudo revela que o vazamento é impulsionado por dois fatores independentes: a capacidade do gerador de consultas de recuperar fragmentos diversos (ARC) e a capacidade da instrução adversarial de ativar o modelo para vazá-los (SLT). O vazamento geral (CCL) é bem aproximado pelo produto desses dois componentes ($CCL \approx ARC \times SLT$). Isso sugere que melhorar um componente sem o outro produz retornos decrescentes.

2. A Capacidade de Seguimento de Instruções Correlaciona-se com o Risco

Foi encontrada uma correlação positiva significativa entre a capacidade de seguimento de instruções de um LLM (medida por pontuações IFEval) e seu risco de vazamento. Modelos mais fortes, que são melhores em aderir às instruções do usuário, são inadvertidamente mais vulneráveis a instruções adversariais que exigem a repetição do contexto recuperado. Como mostrado na Figura 1 do artigo, modelos com pontuações IFEval mais altas exibiram probabilidades mais altas de vazamento.

3. O Trade-off entre Fidedignidade e Segurança

A pesquisa identifica um trade-off fundamental entre a fidedignidade do RAG (a precisão da resposta gerada em relação ao contexto recuperado) e a segurança. Aprimoramentos que melhoram a fidedignidade, como o uso de reescritores para ampliar o escopo de recuperação, foram observados aumentando os riscos de vazamento. Por outro lado, módulos como sumarizadores que reduzem o vazamento ao interromper a integridade do contexto frequentemente degradam a fidedignidade e a utilidade do sistema RAG.

4. Instabilidade dos Ataques Existentes

Os ataques de vazamento atuais demonstram desempenho instável em diferentes configurações RAG e LLMs. Um ataque altamente eficaz contra um par modelo-conjunto de dados pode performar mal contra outro, destacando uma falta de universalidade nas estratégias de ataque existentes.

Significado e Contribuições

O artigo faz três contribuições principais:

1. Framework LeakDojo: Os autores fornecem um toolkit de avaliação modular e reproduzível que permite experimentos controlados sobre vazamento em RAG. Isso permite o isolamento de variáveis (modelo, arquitetura, estratégia de ataque) para entender suas contribuições específicas para o risco.
2. Benchmarking Abrangente: Ao avaliar seis ataques existentes em diversos LLMs e conjuntos de dados, o estudo fornece uma linha de base padronizada para entender o estado atual da segurança RAG, revelando a falta de universalidade nos métodos de ataque atuais.
3. Insights Acionáveis: As descobertas oferecem orientações práticas para profissionais. Especificamente, a identificação da correlação "seguimento de instruções vs. vazamento" sugere que a implantação de LLMs mais fortes sem contramedidas específicas pode aumentar a vulnerabilidade. Além disso, o trade-off observado entre fidedignidade e segurança implica que otimizar o RAG para utilidade pode inadvertidamente comprometer a privacidade dos dados.

Os autores concluem que o LeakDojo facilita o desenvolvimento de ataques mais fortes e defesas mais robustas, visando acelerar pesquisas futuras na segurança de sistemas RAG contra vazamento de dados. O código-fonte é lançado publicamente para apoiar esse objetivo.