Resumo Técnico: SilentRetrieval

Declaração do Problema

Sistemas de Geração Aumentada por Recuperação (RAG) dependem da integridade de seus corpora de conhecimento externos para mitigar alucinações de Modelos de Linguagem de Grande Escala (LLMs). No entanto, essa dependência cria uma vulnerabilidade crítica: se um adversário puder injetar documentos maliciosos no corpus, ele pode sequestrar o processo de recuperação e, subsequentemente, manipular a geração do LLM.

Ataques adversariais anteriores contra RAG enfrentam um compromisso persistente entre efetividade da recuperação, manipulação da geração e sigilo. Métodos existentes frequentemente produzem saídas facilmente detectáveis:

• Otimização baseada em gradiente (por exemplo, AGGD, GASLITE) alcança forte sequestro de recuperação, mas frequentemente falha em manipular efetivamente a fase de geração ou carece de restrições de fluência.
• Ataques conjuntos recuperador-gerador (por exemplo, Joint-GCG, PoisonedRAG) manipulam bem a geração, mas geram texto de alta perplexidade (PPL > 150), tornando-os vulneráveis a filtros simples baseados em perplexidade.
• Decodificação adversarial preserva a fluência, mas opera no momento da geração em vez de através de envenenamento do corpus.

O desafio central é construir um ataque de envenenamento de dados que simultaneamente alcance o sequestro de recuperação, manipule a saída do LLM e permaneça substancialmente menos suspeito que as linhas de base anteriores sob filtros automatizados e inspeção humana.

Metodologia: SilentRetrieval

Os autores propõem o SilentRetrieval, um framework de envenenamento de dados em duas etapas projetado para otimizar o sequestro de recuperação e a manipulação da geração, enquanto adere estritamente a um orçamento de fluência.

Etapa 1: Busca em Feixe Coordenada (CBS)

Esta etapa otimiza um documento "hospedeiro" topicamente relevante para garantir que ele permaneça recuperável após a inserção de uma carga maliciosa. Diferentemente de abordagens ganancias de token único anteriores, a CBS realiza otimização conjunta de múltiplos tokens.

• Objetivo: Um problema de maximização penalizado que equilibra a similaridade de embeddings contra uma penalidade por violação de fluência:
  $$d_{opt} = \arg \max_{d \in T} \text{sim}(E(q_{target}), E(d)) - \lambda \cdot \max(0, \text{PPL}(d) - \tau_{ppl})$$
• Mecanismo:
  1. Candidatos Guiados por Gradiente: Gradientes do recuperador e um sinal heurístico do modelo de Perplexidade (PPL) propõem edições de token candidatas.
  2. Busca em Feixe Coordenada: O algoritmo seleciona as top-$M$ posições com base na magnitude do gradiente e constrói um feixe sobre o espaço conjunto de $M \times K$ substituições candidatas.
  3. Avaliação: Avaliação completa do objetivo (incluindo PPL via GPT-2) é realizada nos candidatos do feixe. Candidatos que excedem o orçamento de PPL ($\tau_{ppl} = 50$) são rejeitados.
• Objetivo: Precondicionar o documento hospedeiro para que a subsequente inserção de uma carga portadora do alvo não cause o colapso da classificação de recuperação do documento.

Etapa 2: Geração de Gatilho Adaptativa ao Contexto (CATG)

Em vez de anexar modelos de gatilho fixos, esta etapa aproveita um LLM congelado (Llama-2-7B-Chat) para gerar um gatilho que está contextualmente integrado ao documento otimizado.

• Síntese: O LLM é instruído a continuar o documento otimizado ($d_{opt}$) com uma frase que incorpore naturalmente a afirmação alvo ($a_{target}$), correspondendo ao estilo da passagem, vocabulário de domínio e voz narrativa.
• Filtragem: Gatilhos gerados passam por três portas de qualidade:
  1. Entailment: Deve implicar a resposta alvo (verificado via modelo NLI).
  2. Coerência: A similaridade de cosseno entre os embeddings do hospedeiro e do gatilho deve exceder 0,7.
  3. Porta PPL: O documento adversarial concatenado deve satisfazer o orçamento de PPL.
• Enquadramento: O prompt incentiva formulações autoritativas (por exemplo, "fontes verificadas") para explorar a tendência do LLM de deferir a linguagem confiante em contextos recuperados.

Contribuições Principais

1. Framework de Ataque em Duas Etapas: A introdução da CBS para otimização de múltiplos tokens com restrição de fluência e da CATG para fusão de gatilhos leve e consciente do contexto.
2. Avaliação Abrangente: Avaliação em Natural Questions (NQ, 361K passagens) e MS MARCO (8,8M passagens) sob um protocolo unificado de documento único. O estudo inclui generalizabilidade cruzada entre modelos (4 LLMs), ataques de transferência contra recuperadores não vistos (incluindo embeddings comerciais) e análise de escalabilidade até 21M de passagens.
3. Defesa e Análise Adaptativa: Avaliação empírica de defesas do lado da recuperação (reranking, recuperação híbrida) e defesas do lado da geração (isolamento de passagens), juntamente com um ataque adaptativo que incorpora otimização consciente da defesa.
4. Avaliação Humana: Um estudo ($n=600$ documentos) demonstrando que documentos do SilentRetrieval têm taxas de sinalização significativamente menores que as linhas de base disfluente.

Resultados Experimentais

Desempenho Principal

No conjunto de dados NQ (corpus de 361K), o SilentRetrieval alcança:

• HR@10: 84,6% (mais alto entre as linhas de base).
• ASR-LLM (Taxa de Sucesso do Ataque via LLM-como-Juiz): 57,5%.
• Perplexidade (PPL-G2): 32,4 (próximo ao benigno, comparado a 28,4 para documentos benignos).
• Sigilo: Apenas 8,7% dos documentos do SilentRetrieval são detectados por uma auditoria independente de PPL ($\tau=50$), comparado a 94,2% para Joint-GCG e 83,3% para a linha de base de Zhong et al.

Generalizabilidade e Transferência

• Cruzamento entre Modelos: O ataque mantém efetividade não trivial em quatro LLMs alvo (Llama-2, Mistral, Qwen, GPT-3.5), com ASR-LLM variando de 48,6% a 57,5%.
• Transferência de Surrogato: Quando otimizado contra um recuperador surrogato (Contriever) e testado contra sistemas alvo não vistos (incluindo ColBERTv2 e embeddings comerciais como text-embedding-ada-002), o ataque retém uma HR@10 média de 64,7%.
• Escalabilidade: Em uma avaliação amostrada de 21M de passagens, a HR@10 cai para 74,2% em uma proporção de envenenamento de 0,016%, indicando que, embora a expansão do corpus forneça uma defesa natural parcial, ela é insuficiente para neutralizar completamente o ataque.

Eficácia da Defesa

• Defesas Combinadas: Uma estratégia de defesa em camadas (Recuperação Híbrida + Reranking com Cross-Encoder + Isolamento de Passagens) reduz o ASR-LLM para 21,3% (em 11× de latência) ou 25,6% (em 6× de latência).
• Ataques Adaptativos: Um ataque adaptativo que otimiza contra um reranker específico (MiniLM-L6-v2) recupera aproximadamente 6,2% de HR@10 em comparação com o ataque não adaptativo sob a mesma defesa, destacando uma corrida armamentista emergente.

Avaliação Humana

Em um estudo com 10 anotadores, documentos do SilentRetrieval foram sinalizados como suspeitos em 14,7% dos casos, significativamente menor que PoisonedRAG (56,7%) e Zhong et al. (83,3%). Embora a diferença entre SilentRetrieval (14,7%) e conteúdo benigno (7,3%) não tenha sido estatisticamente significativa em $\alpha=0,05$ ($p \approx 0,064$), a tendência sugere uma lacuna detectável que pode se ampliar com tamanhos de amostra maiores.

Significado e Alegações

O artigo afirma que o SilentRetrieval estabelece um novo estado da arte no compromisso sigilo-efetividade para envenenamento de RAG. Seu significado principal reside em demonstrar que:

1. A integridade do corpus é uma preocupação de segurança de primeira classe: Ataques que preservam fluência podem contornar auditorias simples baseadas em PPL e são muito mais difíceis para humanos sinalizarem do que ataques desfluente anteriores.
2. Defesas em camadas são necessárias: Nenhuma defesa única é suficiente; combinar reranking do lado da recuperação, recuperação híbrida e isolamento de passagens do lado da geração é necessário para mitigar substancialmente a ameaça.
3. A fronteira sigilo-efetividade é uma lente de avaliação crítica: Comparações brutas de Taxa de Sucesso do Ataque (ASR) sem normalização de perplexidade obscurecem a detectabilidade prática dos ataques. O SilentRetrieval alcança desempenho forte enquanto mantém perplexidade próxima ao benigno, desafiando a suposição de que ataques de alta efetividade devem ser ruidosos ou óbvios.

Os autores enfatizam que seu trabalho é uma divulgação responsável usando alvos sintéticos em benchmarks padrão para motivar defesas mais fortes, em vez de uma demonstração de viabilidade de injeção no mundo real.