Resumo Técnico: PRA-RAG

Declaração do Problema

Sistemas de Geração com Recuperação Aumentada (RAG) aprimoram Modelos de Linguagem de Grande Escala (LLMs) ao integrar conhecimento externo, mas permanecem vulneráveis a ataques de corrupção de recuperação. Nestes cenários, adversários injetam textos maliciosos (documentos envenenados) no banco de dados de conhecimento externo. Quando uma consulta de usuário é processada, o recuperador pode selecionar esses textos envenenados, direcionando o LLM para gerar saídas incorretas e especificadas pelo atacante (por exemplo, responder "Monte Fuji" para "Qual é a montanha mais alta?").

Os mecanismos de defesa existentes enfrentam limitações significativas:

• Falta de Garantias Teóricas: A maioria dos métodos (ex: AstuteRAG, TrustRAG) baseia-se em detecção heurística ou no conhecimento interno do LLM, não oferecendo uma certificação formal de robustez.
• Dependência do Conhecimento do LLM: Defesas que exigem que o LLM reconheça o conteúdo envenenado falham quando o modelo carece de conhecimento de domínio suficiente para distinguir entradas maliciosas.
• Alto Custo Computacional: Métodos que fornecem garantias teóricas, como o RobustRAG, frequentemente exigem múltiplas gerações de LLM, resultando em latência proibitiva.
• Confiabilidade Não Verificada: As abordagens atuais carecem de um framework quantitativo para medir o impacto máximo do envenenamento ou certificar a robustez do sistema sob condições adversariais.

Metodologia: PRA-RAG

Os autores propõem o PRA-RAG (Agregação Provadamente Robusta em Geração com Recuperação Aumentada), um algoritmo de agregação agnóstico ao modelo projetado para mitigar o envenenamento na etapa de recuperação sem depender do conhecimento interno do LLM.

Fluxo de Trabalho Principal

1. Recuperação Diversa: O sistema intencionalmente recupera um conjunto maior de documentos Top-$K$ (onde $K$ excede o requisito padrão) para aumentar a diversidade informacional e diluir a influência de qualquer texto malicioso individual.
2. Amostragem Combinatória: O conjunto recuperado é decomposto em múltiplos subconjuntos de tamanho $n$. Cada subconjunto é codificado em um vetor de embedding de alta dimensão.
3. Agregação Geométrica Robusta:
   • O algoritmo opera no espaço de embedding para identificar uma bola de raio mínimo que envolve mais da metade dos embeddings do subconjunto.
   • O centro desta bola representa um "subconjunto robusto" que captura o consenso dos textos (limpos) da maioria, enquanto exclui outliers (textos envenenados).
   • Esta abordagem baseia-se em um consenso combinatório: desde que o número de textos envenenados $\epsilon$ esteja abaixo de um certo limiar em relação a $K$ e $n$, o número de subconjuntos limpos excederá o número de subconjuntos envenenados.
4. Agregação Ponderada: Uma média ponderada dos embeddings no subconjunto robusto selecionado é computada para gerar o contexto final para o LLM.

Framework Teórico

O artigo introduz uma métrica de Desvio Médio Provável (PAD - Provable Average Deviation). Ao modelar o deslocamento semântico causado pelo envenenamento como um problema de perturbação de conjunto, os autores derivam um limite superior teórico para o desvio entre a representação agregada de dados limpos e dados envenenados.

• Certificação: O método fornece um limite certificado ($d \le (1+\beta)\hat{R}$) sobre o desvio semântico, garantindo que a saída agregada permaneça dentro de um intervalo controlável mesmo sob ataque.
• Escalabilidade: Para lidar com a explosão combinatória de subconjuntos ($\binom{K}{n}$), os autores empregam uma estratégia de amostragem de Monte Carlo. Eles provam que a amostragem de um subconjunto de combinações fornece uma aproximação estatisticamente limitada do raio de robustez ideal sem degradação significativa de desempenho.

Principais Contribuições

1. Certificação Teórica: O trabalho fornece a primeira caracterização e certificação teórica do desvio semântico máximo causado por recuperações envenenadas em sistemas RAG, oferecendo uma métrica principista (PAD) para avaliar a robustez.
2. Algoritmo Provadamente Robusto: O PRA-RAG introduz um método de agregação geométrica que mitiga efetivamente a influência da recuperação envenenada ao selecionar o centro de uma Bola de Envolvimento Mínimo (MEB) que cobre a maioria, preservando a precisão da geração sem exigir detecção baseada em LLM.
3. Validação Empírica: Experimentos extensos em múltiplos conjuntos de dados (Natural Questions, MS-MARCO, HotpotQA) e diversos LLMs (Mistral, Llama, Vicuna, variantes do GPT) demonstram que o PRA-RAG supera significativamente as defesas de estado da arte.

Resultados Experimentais

• Robustez: Sob uma taxa de envenenamento de 20%, o PRA-RAG reduziu a Taxa de Sucesso de Ataque (ASR) para apenas 1%, mantendo uma acurácia (ACC) de 71% no conjunto de dados MS-MARCO.
• Comparação: O método superou consistentemente os baselines como RobustRAG, InstructRAG e TrustRAG, alcançando menor ASR e maior ACC em várias estratégias de ataque (PoisonedRAG, Adversarial Decoding, DoS, CorruptRAG).
• Eficiência: Diferente de métodos que exigem múltiplas gerações de LLM, o PRA-RAG demonstrou a menor latência de inferência entre as defesas comparadas (ex: ~6 segundos vs. ~27 segundos para o RobustRAG no MS-MARCO), tornando-o prático para implantação no mundo real.
• Estudos de Ablação: Os resultados confirmaram que aumentar o número de textos recuperados ($K$) e o tamanho do subconjunto ($n$) melhora a robustez (menores pontuações PAD), enquanto a amostragem de Monte Carlo mantém o desempenho com redução do overhead computacional.

Significância e Alegações

O artigo afirma que o PRA-RAG aborda uma lacuna crítica na segurança de RAG ao mudar o paradigma de defesa de detecção-baseada (confiar que o LLM detectará mentiras) para agregação-baseada (filtrar matematicamente mentiras via consenso geométrico).

• Garantia Agnóstica ao Modelo: A garantia de robustez é derivada das propriedades geométricas dos embeddings de recuperação, não das capacidades específicas do LLM, tornando-a eficaz mesmo quando o modelo possui conhecimento limitado do conteúdo recuperado.
• Segurança Quantitativa: Ao fornecer um limite certificado para o desvio semântico, o trabalho permite uma avaliação quantitativa da confiabilidade do sistema sob condições adversariais, indo além de observações empíricas.
• Viabilidade Prática: Os autores enfatizam que sua abordagem alcança uma defesa forte com baixo custo computacional, equilibrando segurança e usabilidade sem o "excesso de recusa" (over-refusal) ou a alta latência vistos em métodos robustos anteriores.

Os autores reconhecem limitações, observando que a defesa depende de o número de textos envenenados permanecer abaixo de um limiar específico e que a construção de subconjuntos introduz algum overhead computacional, embora este seja gerenciável e passível de troca (trade-off) frente às necessidades de segurança.