Resumo Técnico: Fatores de Influência no Envenenamento de RAG

Declaração do Problema

Sistemas de Geração com Recuperação Aumentada (RAG) aprimoram Modelos de Linguagem de Grande Escala (LLMs) ao fundamentar respostas em conhecimento externo recuperado no momento da inferência. No entanto, essa dependência introduz uma vulnerabilidade crítica: ataques de envenenamento. Nesses cenários, documentos adversários inseridos na base de conhecimento podem manipular tanto o processo de recuperação quanto os outputs gerados finais. Embora pesquisas anteriores tenham estabelecido a viabilidade desses ataques, há uma falta de compreensão sistemática sobre como escolhas específicas de design de RAG interagem para influenciar a suscetibilidade. O trabalho existente frequentemente examina fatores isoladamente, falhando em quantificar efeitos de interação de ordem superior entre mecanismos de recuperação, modelos de geração e configurações de base de conhecimento. Este artigo aborda essa lacuna investigando como configurações compostas de sistemas determinam a eficácia, a furtividade e o impacto dos ataques de envenenamento.

Metodologia

Os autores conduziram um estudo experimental fatorial completo compreendendo 432 configurações únicas para avaliar sistematicamente a robustez ao envenenamento. A metodologia envolveu a variação de parâmetros centrais do pipeline através das seguintes dimensões:

• Datasets: Dois datasets de perguntas e respostas foram utilizados: HotpotQA (raciocínio multi-salto/multi-hop) e MS-MARCO (recuperação de passagens de domínio aberto). Um subconjunto curado de 100 pares de perguntas semanticamente similares foi construído para garantir condições de recuperação alinhadas.
• Arquiteturas de Recuperação: Três paradigmas distintos foram testados:
  • BM25: Um recuperador esparso, baseado em léxico.
  • Dense BGE: Um recuperador de vetores densos usando embeddings semânticos.
  • Baseado em Grafo: Uma abordagem estruturada que recupera evidências através da travessia de relacionamentos de documentos.
• Profundidade de Recuperação ($k$): O número de passagens recuperadas foi variado (2, 3 e 5) para avaliar como o tamanho da janela de contexto afeta a inclusão de conteúdo envenenado.
• Configuração da Base de Conhecimento: O estudo simulou diferentes perfis de risco variando o número de bases de dados totais (1 ou 2) e o número de bases de dados envenenadas (1 ou 2). Isso incluiu cenários de comprometimento de fonte única, redundância de fonte dupla com uma fonte envenenada e saturação total do sistema.
• Pré-processamento de Documentos: Os tamanhos de chunk (512 vs. 768 tokens) e valores de sobreposição (64 vs. 100 tokens) foram avaliados para determinar o impacto da segmentação na exposição ao envenenamento.
• Modelos Geradores: Dois LLMs foram testados: llama-4-scout-17b-16e-instruct e openai-gpt-oss-120b.
• Estratégia de Envenenamento: Documentos adversários foram gerados automaticamente para promover alegações incorretas. A estratégia garantiu alta sobreposição lexical com as queries para garantir a recuperação, enquanto explicitamente evitava a resposta correta.
• Métricas de Avaliação:
  • Nível de recuperação: Poison@k (presença no top-k), Poison Rank e Score Margin (diferença entre o melhor score envenenado e o melhor score limpo).
  • Nível de geração: Taxa de Abstenção, Taxa de Resposta Correta e Taxa de Sucesso do Ataque (ASR).

A análise estatística foi realizada utilizando regressão de Mínimos Quadrados Ordinários (OLS) para identificar efeitos principais e termos de interação (até terceira ordem) entre as variáveis.

Contribuições Principais

1. Análise Sistemática de Fatores: Diferente de trabalhos anteriores focados em componentes individuais, este estudo fornece uma quantificação abrangente de como o dataset, o tipo de recuperador, a profundidade de recuperação, a composição da base de dados, o chunking e a escolha do gerador interagem para influenciar os resultados do envenenamento.
2. Variável de Composição da Base de Dados: O artigo introduz o "número de bases de dados" e o "número de bases de dados envenenadas" como variáveis experimentais, analisando como a redundância adversária e a competição de fontes limpas afetam o sucesso do ataque.
3. Efeitos de Interação: O estudo identifica que a vulnerabilidade ao envenenamento não é atribuível a um único componente, mas surge de interações complexas, particularmente entre o dataset, a arquitetura do recuperador e a profundidade de recuperação.
4. Métricas Granulares: O uso de um design fatorial completo permite a dissecação de se um ataque tem sucesso devido à falha de recuperação (documentos envenenados não encontrados) ou falha de geração (documentos envenenados encontrados, mas ignorados), fornecendo uma visão mais matizada da robustez do sistema.

Resultados

Os resultados experimentais destacam diferentes impulsionadores para a exposição de recuperação versus o sucesso de geração:

• Fatores de Nível de Recuperação:

  • Arquitetura do Recuperador: Recuperadores densos (BGE) e baseados em grafos demonstraram, em geral, maior robustez que o BM25, resultando em menor Poison@k, maior Poison Rank (documentos envenenados classificados abaixo) e menores Score Margins.
  • Dataset: O MS-MARCO apresentou menor exposição ao envenenamento comparado ao HotpotQA.
  • Profundidade de Recuperação: Aumentar $k$ (de 2 para 5) aumentou significativamente a probabilidade de recuperar passagens envenenadas (maior Poison@k) em todas as arquiteturas.
  • Interação: O efeito de interação mais forte foi encontrado entre Dataset × Recuperador, indicando que o benefício de recuperadores robustos é dependente do dataset (mais eficaz no MS-MARCO).

• Fatores de Nível de Geração:

  • Escolha do Gerador: O modelo openai-gpt-oss-120b exibiu uma Taxa de Abstenção menor e um ASR maior comparado ao llama-4-scout-17b-16e-instruct, sugerindo que é mais suscetível a seguir o contexto envenenado uma vez recuperado.
  • Composição da Base de Dados:
    • Redundância Adversária: Replicar o conteúdo envenenado em múltiplas bases de dados ("2 Bases de Dados | 2 Envenenadas") amplificou o sucesso do ataque (maior ASR, menor Taxa de Resposta Correta) ao aumentar a competitividade das passagens envenenadas.
    • Mitigação por Fonte Limpa: A presença de uma base de dados limpa adicional ("2 Bases de Dados | 1 Envenenada") melhorou a Taxa de Resposta Correta e empurrou as passagens envenenadas para posições mais baixas no ranking, mitigando parcialmente o ataque.
  • Chunking: Variações no tamanho do chunk e sobreposição (512/768 tokens, 64/100 overlap) tiveram uma influência comparativamente limitada nas métricas em relação às escolhas de recuperador e dataset.

Significância e Alegações

O artigo afirma que a vulnerabilidade ao envenenamento em RAG é uma propriedade sistêmica decorrente da interação entre recuperação, geração e configuração da base de conhecimento, em vez de uma falha em um único componente.

• Implicações de Design: Os achados sugerem que melhorar a robustez requer uma perspectiva de nível de sistema. O design seguro deve considerar como a configuração de recuperação (ex: escolher recuperadores densos/grafos em vez de BM25), a composição da base de dados (evitar redundância adversária) e o comportamento do gerador interagem.
• Estratégias de Mitigação: Os resultados motivam estratégias de mitigação pré-geração, como filtragem ou redução de ranking de passagens suspeitas, já que a escolha do recuperador e o equilíbrio entre evidências limpas vs. envenenadas ditam significativamente a qualidade do output final.
• Direções Futuras: Os autores observam modestamente que seus achados são baseados em datasets e modelos específicos. Trabalhos futuros devem estender esta análise para conjuntos de queries maiores e menos curados, ataques adaptativos adicionais e uma gama mais ampla de parâmetros de configuração, como estágios de re-ranking e pipelines híbridos. Eles também destacam a necessidade de investigar como os tamanhos de janela de contexto em diferentes LLMs afetam a suscetibilidade.