DenialRAG: Single-Document RAG Poisoning via Embedded Parametric Denial

Resumo Técnico de "DenialRAG: Single-Document RAG Poisoning via Embedded Parametric Denial"

Declaração do Problema
Sistemas de Geração Aumentada por Recuperação (RAG), que condicionam a geração de Grandes Modelos de Linguagem (LLMs) em documentos externos, são vulneráveis ao envenenamento de corpus. Neste modelo de ameaça, um adversário insere um documento manipulado no corpus de recuperação para direcionar o gerador para uma resposta errada escolhida pelo atacante ($Y$) sem acessar os pesos do modelo, os prompts do sistema ou os internos do recuperador. Embora ataques anteriores de documento único (ex: PoisonedRAG, AuthChain, CorruptRAG) tenham demonstrado que uma única passagem envenenada pode enganar sistemas RAG, eles tipicamente evitam nomear explicitamente a resposta correta ($X$). A suposição prevalecente é que mencionar $X$ poderia ativar o conhecimento paramétrico do modelo, fazendo com que este rejeitasse o conteúdo envenenado. Este artigo investiga se evitar $X$ é necessário ou se nomear e refutar explicitamente $X$ poderia ser um vetor de ataque mais potente.

Metodologia: DenialRAG
Os autores propõem o DenialRAG, um ataque de envenenamento de documento único que incorpora explicitamente o conflito entre a resposta correta ($X$) e a resposta errada escolhida pelo atacante ($Y$) dentro da própria passagem envenenada. Em vez de suprimir $X$, o ataque nomeia $X$ e fornece uma explicação controlada pelo atacante para o motivo de sua rejeição em favor de $Y$.

O pipeline de ataque opera em duas fases:

1. Tempo de Ataque Offline: Dado um query alvo $q$, a resposta correta $X$ e a resposta errada alvo $Y$, o atacante usa um LLM para gerar uma passagem curta (≤100 palavras) envenenada. Esta geração envolve duas chamadas:
   • Extração de Características: Identifica a intenção da pergunta e nós de evidência salientes (entidades, datas) para garantir a relevância da recuperação.
   • Construção da Passagem: Gera uma passagem estruturada contendo quatro componentes:
     1. Abertura: Afirma $Y$ como a resposta definitiva com um detalhe concreto.
     2. Tecelagem de Evidências: Incorpora os nós de evidência extraídos para alinhar-se com o query do usuário.
     3. Negação Incorporada: Nomeia explicitamente $X$, caracteriza-o como um equívoco ou valor desatualizado e fornece uma razão para sua rejeição.
     4. Autoridade de Fechamento: Reafirma $Y$ com uma citação institucional ou baseada em registros.
        O documento resultante é inserido no corpus de recuperação $K$.
2. Tempo de Query Online: Quando um usuário envia $q$, o recuperador seleciona a passagem envenenada (devido à sua alta sobreposição lexical/semântica). O gerador, recebendo um contexto onde $X$ já foi reconhecido e "explicado", é direcionado para produzir $Y$.

Principais Contribuições

1. Novo Mecanismo de Ataque: A introdução do DenialRAG, que desafia a suposição de que respostas corretas devem ser evitadas em ataques de envenenamento. Demonstra que nomear explicitamente $X$ e incorporar uma resolução local do conflito em favor de $Y$ pode ser altamente eficaz.
2. Avaliação Sistemática: Uma avaliação abrangente em três datasets de QA de domínio aberto (Natural Questions, HotpotQA, MS-MARCO), oito LLMs alvo de quatro fornecedores (variando de modelos de nível de custo a modelos de fronteira) e quatro baselines de envenenamento de documento único existentes.
3. Análise de Defesa: Uma avaliação de cinco defesas de tempo de inferência (Paraphrase, InstructRAG, TrustRAG, RobustRAG, AstuteRAG) para determinar se podem mitigar ataques de documento único.
4. Análise de Componentes e Estabilidade: Estudos de ablação identificando a "negação incorporada" como o componente mais crítico, e análises cross-model mostrando que a eficácia do ataque não é uniforme, mas depende fortemente da interação entre o mecanismo de envenenamento e o alinhamento e conhecimento paramétrico do modelo alvo.

Resultados

• Eficácia do Ataque: O DenialRAG alcança a maior Taxa de Sucesso de Ataque (ASR) no Mistral-7B em todos os três datasets (89%, 94%, 86%). No entanto, a eficácia é fortemente dependente do modelo. Em modelos de fronteira (ex: GPT-5.2, GPT-5.5), outros ataques como PIA-direct (asserção direta) ou CorruptRAG-AK (enquadramento de atualização de frescor) frequentemente superam o DenialRAG. Por exemplo, o CorruptRAG-AK domina no GPT-5.5, enquanto o desempenho do DenialRAG cai significativamente em modelos de fronteira comparado a modelos de nível de custo.
• Robustez da Defesa: Defesas de tempo de inferência reduzem a ASR em muitos cenários, mas falham em fornecer proteção uniforme.
  • Paraphrase mostra efeito limitado.
  • InstructRAG e TrustRAG reduzem a ASR para alguns ataques, mas deixam um risco residual significativo para DenialRAG e CorruptRAG-AK, particularmente quando a passagem envenenada explica o próprio conflito.
  • RobustRAG e AstuteRAG mostram reduções fortes em configurações específicas (ex: AstuteRAG reduzindo a ASR do DenialRAG para ~8% no GPT-5.2), mas permanecem ineficazes contra o DenialRAG no Mistral-7B (AS forma de ASR permanece ~77-86%).
• Descobertas de Ablação: Remover a "negação incorporada" (ou seja, apenas afirmar $Y$) causa a maior queda na ASR (aproximadamente 17 pontos percentuais em média), confirmando que o mecanismo de explicar por que $X$ está errado é o principal motor do sucesso. Nomear explicitamente $X$ também é crucial; omitir o nome da resposta correta reduz a eficácia.
• Estabilidade de Regime de Modelo: O DenialRAG mostra a maior queda de desempenho ao mover-se de modelos de nível de custo para modelos de fronteira (uma queda de 30,3 pontos percentuais), sugerindo que modelos mais fortes são melhores em cruzar informações da contradição explícita apresentada pelo DenialRAG com seu conhecimento paramétrico. Por outro lado, ataques que enquadram o conflito como uma "atualização de frescor" (CorruptRAG-AK) permanecem mais estáveis entre os regimes de modelo.

Significância e Alegações
O artigo alega que o risco de envenenamento de RAG não pode ser caracterizado por uma única família de ataques ou um único modelo alvo. A eficácia de um ataque de envenenamento é altamente dependente da interação específica entre o mecanismo de ataque (ex: negação vs. asserção vs. enquadramento de atualização) e a arquitetura e o alinhamento do LLM alvo.

Os autores enfatizam que, embora o DenialRAG seja um novo vetor potente, particularmente para modelos de nível de custo, ele não é universalmente superior. O estudo destaca que as defesas são frequentemente não uniformes; uma defesa que mitiga um tipo de envenenamento (ex: asserção direta) pode deixar o sistema vulnerável a outro (ex: negação incorporada ou atualizações de frescor). Consequentemente, o artigo conclui que compreender a segurança de RAG requer analisar diversos mecanismos de ataque através de um espectro de modelos e defesas, em vez de confiar em uma única métrica ou classe de modelo para definir o cenário de ameaças.