Resumo Técnico: Ataques de Custo de Inferência para Modelos de Linguagem de Grande Escala com Recuperação Aumentada

Definição do Problema

Sistemas de Geração Aumentada por Recuperação (RAG) aprimoram Modelos de Linguagem de Grande Escala (LLMs) ao recuperar dinamicamente informações de bases de conhecimento externas (ex: dados da web, bancos de dados específicos de domínio) para sintetizar respostas. Embora eficaz, esta arquitetura introduz um pipeline de inferência de múltiplos estágios que aumenta significativamente os custos operacionais, com a inferência constituindo frequentemente mais de 90% da demanda computacional de GPU total.

Pesquisas existentes sobre Ataques de Custo de Inferência (ICAs) focaram primordialmente em manipular prompts de entrada do usuário para forçar os modelos a gerar saídas excessivamente longas ou repetitivas. No entanto, esta abordagem depende da suposição impraticável de que um atacante pode controlar diretamente as consultas de entrada da vítima.

Este artigo identifica uma vulnerabilidade crítica e subexplorada: o Ataque de Custo de Inferência com Recuperação Aumentada (RA-ICA). Diferente da manipulação direta de prompts, o RA-ICA visa a base de conhecimento externa em si. Ao envenenar a base de dados recuperável (ex: injetando documentos maliciosos em conhecimento web público), um adversário pode desencadear inferências de alto custo para consultas benignas de usuários sem interação direta. O desafio central é criar documentos maliciosos que sejam:

1. Recuperáveis: Semanticamente relevantes o suficiente para serem selecionados pelo módulo de recuperação para uma consulta alvo.
2. Amplificadores de Custo: Capazes de induzir o LLM a gerar traços de raciocínio excessivamente longos ou consumo de tokens.
3. Sigilosos: Mantendo a correção semântica da resposta final para evitar detecção e preservar a utilidade do sistema.

Metodologia: O Framework CREEP

Para operacionalizar o RA-ICA, os autores propõem o Esgotamento de Recursos Computacionais via Envenenamento Externo (CREEP), um framework que utiliza agentes de LLM para criar e refinar autonomamente documentos maliciosos.

1. Agentes de Ataque e Estratégias

O framework emprega dois tipos de agentes — Baseados em Reescrita (modificando documentos recuperados existentes) e Baseados em Geração (criando documentos do zero) — utilizando três estratégias específicas de exaustão de recursos:

• Injeção de Decoy (Isca): Injetar tarefas de raciocínio complexas e de múltiplos passos (ex: enigmas lógicos ou problemas de planejamento) no contexto do documento. Isso força o sistema RAG a realizar etapas de raciocínio adicionais e computacionalmente intensivas além dos requisitos da consulta original.
• Injeção de Contradição: Introduzir afirmações plausíveis, porém factualmente contraditórias em relação à resposta benigna. Isso obriga o LLM a se envolver em análise extra para adjudicar conflitos entre os documentos recuperados, aumentando assim o consumo de tokens.
• Manipulação Orientada a Tarefas: Fornecer ao agente objetivos de alto nível (Recuperação, Amplificação de Custo, Sigilo) sem prescrever procedimentos de geração específicos, permitindo que o agente utilize toda a sua capacidade de raciocínio para descobrir diversos padrões de ataque.

2. Otimização via MA-GRPO

Reconhecendo que agentes de LLM pré-treinados podem não otimizar inerentemente para a amplificação de custo adversarial, os autores introduzem a Otimização de Política de Grupo Relativa com Memória Aumentada (MA-GRPO).

• Formulação de Recompensa: A função de recompensa é composta por três componentes:
  • Recompensa de Recuperação ($R_{retrieval}$): Um indicador binário garantindo que o documento seja de fato recuperado.
  • Recompensa de Pureza da Resposta ($R_{purity}$): Uma soma ponderada garantindo que a resposta final permaneça alinhada com a verdade benigna e que a saída careça de artefatos de manipulação.
  • Razão de Consumo de Tokens ($R_{TCR}$): A razão entre a contagem de tokens atacados e a contagem de tokens de linha de base.
• Aumento de Memória: A Otimização de Política de Grupo Relativa (GRPO) padrão pode sofrer de instabilidade se um grupo amostrado contiver apenas saídas de baixa recompensa. O MA-GRPO aborda isso mantendo um buffer de memória dinâmico dos $k$ melhores documentos adversariais históricos. Durante o treinamento, a vantagem dos novos candidatos é calculada em relação a um grupo de referência que compreende tanto o lote atual quanto o buffer de memória. Isso estabiliza o treinamento e acelera a descoberta de padrões de ataque potentes.

Principais Contribuições

1. Novo Paradigma de Ataque (RA-ICA): O artigo define e investiga o primeiro ataque de custo de inferência especificamente adaptado para LLMs com RAG, deslocando o vetor de ataque do prompt do usuário para o envenenamento do conhecimento externo.
2. Framework CREEP: Um framework inovador utilizando agentes de LLM e três estratégias distintas (Decoy, Contradição, Orientada a Tarefas) para gerar documentos maliciosos que equilibram o sucesso da recuperação com a exaustão computacional.
3. Algoritmo MA-GRPO: Um algoritmo de aprendizado por reforço que integra um buffer de memória dinâmica para ajustar agentes de ataque, melhorando significativamente a eficiência e eficácia da geração de documentos adversariais em comparação com a otimização de política padrão.

Resultados Experimentais

Os autores avaliaram o RA-ICA em três conjuntos de dados do mundo real: Natural Questions (NQ), HotpotQA e MS MARCO. Os experimentos foram conduzidos em um cenário de caixa-preta usando quatro LLMs vítimas (qwen-turbo, GPT-5, claude-sonnet-4 e deepseek-r1) com um recuperador Contriever.

• Eficácia: O RA-ICA aumentou com sucesso o consumo de tokens em até 13,12 vezes em comparação com a inferência benigna.
• Taxa de Sucesso: O ataque alcançou uma taxa de sucesso superior a 90% nos conjuntos de dados.
• Sigilo: Crucialmente, os ataques mantiveram a integridade das respostas geradas, o que significa que o sistema continuou a fornecer respostas corretas, apesar do aumento massivo no custo computacional.

Significância e Alegações

O artigo afirma ser o primeiro trabalho a explorar a vulnerabilidade de custo de inferência de sistemas de LLM com RAG aprimorado. Argumenta-se que, à medida que os sistemas RAG integram cada vez mais a busca na web em tempo real e o conhecimento externo, a base de conhecimento externa torna-se uma vulnerabilidade prática significativa.

A significância deste trabalho reside em demonstrar que:

• Sistemas RAG são suscetíveis a ataques de exaustão de custo via envenenamento de conhecimento, um vetor que é mais escalável e prático do que a manipulação direta de prompts.
• Um único documento envenenado pode impactar uma multidão de consultas de usuários, ampliando o impacto do ataque nos custos operacionais e na disponibilidade do sistema.
• Os mecanismos de defesa atuais focados em filtragem de prompts são insuficientes, pois o ataque preserva a correção semântica da saída, tornando-o difícil de detectar via verificação de resposta padrão.

Os autores posicionam esta pesquisa como um passo necessário para compreender a segurança e a confiabilidade da IA generativa confiável, destacando a necessidade de defesas robustas contra o envenenamento de conhecimento externo em arquiteturas RAG.