Resumo Técnico: RADAR: Defesa Dinâmica de RAG contra Corrupção de Recuperação

1. Declaração do Problema

Sistemas de Geração Aumentada por Recuperação (RAG), particularmente aqueles implantados em ambientes de busca na web dinâmica, enfrentam vulnerabilidades significativas a ataques adversariais. Enquanto os primeiros sistemas RAG operavam em corpora estáticos, aplicações modernas ingerem continuamente informações em evolução da web. Essa volatilidade temporal amplifica a suscetibilidade a envenenamento de corpus (injeção de documentos enganosos) e ataques de injeção de prompt (incorporação de instruções maliciosas em texto recuperado).

Mecanismos de defesa existentes são amplamente projetados para ambientes estáticos. A filtragem heurística frequentemente incorre em perda de utilidade, enquanto a seleção de consistência baseada em otimização depende de aproximações sem garantias fortes. Quando estendidas de forma ingênua para ambientes dinâmicos, esses métodos falham em lidar com ameaças em mutação contínua e sofrem com custos de armazenamento proibitivos devido à necessidade de arquivar documentos históricos brutos. O desafio central é manter a robustez contra estratégias adversariais em evolução, preservando a adaptabilidade a mudanças genuínas de conhecimento (o dilema estabilidade-plasticidade) sem sobrecarga excessiva de armazenamento.

2. Metodologia: O Framework RADAR

RADAR (Defesa Adaptativa Robusta contra Corrupção de Recuperação) aborda esses desafios modelando a seleção de contexto confiável como um problema de minimização de energia baseado em grafos, resolvido exatamente via Fluxo Máximo-Corte Mínimo. O framework opera em dois modos principais: estático e dinâmico.

2.1. Mecanismo Central: Minimização de Energia via Corte Mínimo

RADAR trata a seleção de documentos confiáveis como um problema de rotulagem binária. Dado um conjunto de documentos recuperados $D = \{d_1, ..., d_k\}$, o objetivo é identificar um subconjunto $D_{rel}$ que maximize a consistência.

• Geração de Resposta Atômica: Para cada documento recuperado, o sistema gera uma "resposta atômica" usando um LLM.
• Pontuação Semântica: Um modelo de Inferência em Linguagem Natural (NLI) computa duas matrizes:
  • Consistência ($M$): Implicação lógica entre respostas atômicas.
  • Contradição ($C$): Conflito lógico entre respostas atômicas.
• Construção do Grafo: Um grafo direcionado $G=(V, E)$ é construído com um nó fonte $s$, um nó sumidouro $t$ e nós para cada documento.
  • Potenciais Unários (Arestas Terminais): Arestas de $s$ para $d_i$ ($S_i$) representam o benefício de reter um documento (baseado em centralidade e classificação), enquanto arestas de $d_i$ para $t$ ($F_i$) representam o custo de retê-lo (baseado em conflito com documentos centrais).
  • Potenciais Pares (Arestas Inter-documento): Arestas entre $d_i$ e $d_j$ com capacidade $M_{ij}$ impõem consistência lógica.
• Inferência: O algoritmo Corte Mínimo particiona o grafo em um conjunto fonte (documentos confiáveis) e um conjunto sumidouro (documentos filtrados). Isso fornece uma solução exata para o problema de minimização de energia, equilibrando a confiança individual do documento com a consistência par a par.

2.2. Defesa Dinâmica: Nó de Memória Bayesiana

Para lidar com fluxos de evidência que evoluem no tempo sem armazenar documentos históricos brutos, o RADAR introduz um Nó de Memória Bayesiana ($a_{t-1}$) representando o estado de crença do sistema do passo de tempo anterior.

• Atualização Recursiva de Crença: Em vez de arquivar documentos, o sistema atualiza a capacidade das arestas conectadas ao nó de memória usando inferência bayesiana.
  • Priori: Derivada da coerência da resposta anterior.
  • Verossimilhança: Calculada com base na implicação (suporte) ou contradição (conflito) entre a resposta histórica e a nova evidência $D(t)$.
  • Posteriori: A capacidade de aresta atualizada determina se a resposta histórica deve ser retida (lado fonte) ou descartada (lado sumidouro) no Corte Mínimo atual.
• Equilíbrio Estabilidade-Plasticidade: Este mecanismo permite que o sistema retenha adaptativamente conhecimento histórico válido quando novas evidências o suportam, ou o descarte quando novas evidências o contradizem, resolvendo efetivamente o trade-off estabilidade-plasticidade.

2.3. Pós-processamento

Após a seleção por Corte Mínimo, o sistema executa uma etapa secundária de filtragem baseada na similaridade de cosseno par a par das respostas atômicas selecionadas para remover outliers isolados, garantindo coerência semântica antes da etapa final de geração.

3. Contribuições Principais

1. Framework RADAR: Um novo framework de defesa que modela a sanitização de contexto RAG como um problema de Corte Mínimo, entregando inferência exata e eficiente com robustez superior contra ataques baseados em corpus.
2. Construção de Grafo Dinâmica com Memória Bayesiana: A primeira abordagem defensiva explicitamente adaptada para ataques contínuos em passos de tempo. Ao manter um estado de crença recursivo via um nó de memória bayesiana, alcança um equilíbrio eficaz entre consistência histórica e novas evidências sem arquivar documentos brutos.
3. Construção de Dataset Dinâmico: A criação de um dataset abrangente para segurança de RAG dinâmico, simulando cenários adversariais em evolução com verdades fundamentais e padrões de ataque variáveis no tempo.

4. Resultados Experimentais

Experimentos foram conduzidos em quatro datasets (RealTimeQA, Natural Questions, TriviaQA, Bio) usando múltiplos LLMs (DeepSeek, GPT-4o, Grok-4-fast) e comparados com baselines como RobustRAG, AstuteRAG e ReliabilityRAG.

• Desempenho Estático: RADAR alcançou trade-offs superiores de robustez-utilidade. No RealTimeQA (RQA) sob Ataques de Injeção de Prompt (PIA) no topo da classificação (Pos 1), RADAR manteve 69,0% de precisão com uma Taxa de Sucesso do Ataque (ASR) de 11,0%, superando significativamente baselines como AstuteRAG (25,0% de Precisão, 1,0% de ASR) e ReliabilityRAG (69,0% de Precisão, 15,0% de ASR). Na geração de Bio de longo formato, RADAR alcançou precisão máxima de 84,4% sob ataques de envenenamento, superando todas as baselines.
• Desempenho Dinâmico: Em fluxos de evidência em evolução, RADAR demonstrou adaptabilidade superior. Sob configurações de instantâneos cumulativos com PIA na Pos 1, RADAR alcançou 63,60% de precisão com 17,85% de ASR, superando RobustRAG (61,29% de Precisão) e ReliabilityRAG (53,61% de Precisão).
• Eficiência: RADAR reduziu a sobrecarga de armazenamento de dezenas de megabytes (necessários para arquivamento de documentos brutos em outros métodos) para aproximadamente 1 KB por consulta (armazenando apenas o estado de crença). Embora o tempo de execução seja dominado pela geração de respostas atômicas, a inferência de Corte Mínimo introduz sobrecarga negligenciável.
• Robustez: O método permaneceu estável sob ataques adaptativos projetados para contornar verificações de NLI e mostrou baixa sensibilidade à escolha do modelo NLI (DeBERTa-v3, BART, ModernBERT).

5. Significado e Alegações

O artigo alega que o RADAR fornece um mecanismo de resiliência matematicamente fundamentado e consciente do tempo essencial para agentes de IA confiáveis de próxima geração operando em tempo real. Ao formular a sanitização de contexto como um problema exato de Corte Mínimo e integrar um nó de memória bayesiana, o RADAR equilibra efetivamente a resiliência adversarial com a adaptação de conhecimento.

Os autores enfatizam que essa abordagem reduz significativamente a sobrecarga de armazenamento enquanto melhora a robustez e a precisão das respostas sob ataques em evolução. Eles postulam que, à medida que o RAG em tempo real se torna integral a assistentes de IA e motores de busca, tais defesas dinâmicas são vitais para mitigar riscos de injeção de prompt e envenenamento de corpus, promovendo a implantação segura de sistemas impulsionados por LLMs em ambientes dinâmicos do mundo real. O trabalho não alega resolver todas as vulnerabilidades do RAG, mas visa especificamente a lacuna na defesa contra corrupção de recuperação dinâmica com custo mínimo de armazenamento.