Resumo Técnico: Recuperado, mas Não Confiável: Um Levantamento sobre Ataques e Defesas em Geração Aumentada por Recuperação

Declaração do Problema

Sistemas de Geração Aumentada por Recuperação (RAG) aprimoram Grandes Modelos de Linguagem (LLMs) ao fundamentar suas saídas em conhecimento externo, visando melhorar a precisidade factual e reduzir alucinações. No entanto, a introdução de um pipeline de recuperação cria novas e complexas superfícies de ataque distintas de LLMs autônomos. Atacantes podem explorar o pipeline para inferir conteúdo de corpora privados, injetar evidências enganosas para induzir saídas incorretas ou amplificar vieses demográficos. Embora a literatura existente aborde a segurança de RAG, levantamentos atuais são frequentemente fragmentados, carecendo de um framework unificado que conecte objetivos de atacantes, modelos de ameaça e defesas específicas de estágio ao longo de todo o pipeline de RAG (recuperação, reclassificação, geração e rastreabilidade). Além disso, variantes emergentes de RAG (ex: GraphRAG, RAG Multimodal) introduzem restrições estruturais que remodelam as superfícies de ataque, mas permanecem subexploradas em contextos de segurança.

Metodologia

Este levantamento emprega uma metodologia sistemática para construir uma visão geral unificada e consciente do pipeline da robustez de RAG:

1. Coleta de Literatura: Os autores identificaram artigos semente (ex: PoisonedRAG, TrojanRAG, Neural Exec, The Good and the Bad) e expandiram o conjunto de dados via rastreamento de citações e buscas por palavras-chave (recuperação, ataque, defesa, privacidade, robustez).
2. Design de Taxonomia: O levantamento é estruturado em torno de duas questões críticas: o que um atacante visa comprometer (objetivo) e onde a falha ocorre no pipeline (estágio).
   • Ataques são organizados por objetivo: Precisão, Privacidade e Equidade (Fairness).
   • Defesas são organizadas por estágio do pipeline: Recuperação, Reclassificação (Rerank), Geração e Rastreabilidade (Traceback).
3. Modelagem de Ameaças: Os autores formalizam modelos de ameaça baseados em objetivos do atacante (alvo vs. não alvo), conhecimento (caixa-preta, caixa-cinza, caixa-branca) e capacidades (acesso de inserção exclusiva ao corpus, acesso de consulta ao recuperador/gerador).
4. Expansão de Escopo: O levantamento estende-se além do RAG padrão para incluir variantes como GraphRAG, RAG Multimodal e RAG Agêntico, analisando suas implicações de segurança específicas.

Principais Contribuições

1. Modelo de Ameaça Unificado e Taxonomia de Ataques

O artigo formaliza modelos de ameaça através dos três componentes primários de RAG: o Corpus ($D$), o Recuperador ($R$) e o Gerador ($F$). Os ataques são categorizados em três objetivos principais:

• Ataques de Precisão (Accuracy): Visam induzir saídas incorretas ou prejudiciais.
  • Alvo (Targeted): Induzir respostas erradas específicas via Envenenamento de Corpus (injeção de documentos enganosos), Ataques de Backdoor (ativação de comportamento malicioso via gatilhos) ou Injeção de Prompt (incorporação de instruções executáveis em documentos recuperados).
  • Não Alvo (Untargeted): Degradar amplamente a confiabilidade do sistema ou contornar restrições de segurança em diversas consultas.
• Ataques de Equidade (Fairness): Induzem ou amplificam disparidades sistemáticas (ex: gênero, raça) injetando evidências enviesadas ou envenenando codificadores de consulta para alinhar gatilhos com grupos demográficos específicos.
• Ataques de Privacidade: Extraem informações sensíveis sem alterar as saídas do sistema.
  • Alvo (Targeted): Inferência de Membros (determinar se um documento está no corpus), Extração de Privacidade (forçar o modelo a revelar conteúdo privado recuperado) e comportamentos de "Comprometido-Deputado" (enganar entidades com privilégios excessivos).
  • Não Alvo (Untargeted): Extração em larga escala de dados ocultos do corpus via consultas de sondagem.

2. Taxonomia de Defesa Consciente do Pipeline

As defesas são categorizadas pelo estágio em que intervêm:

• Estágio de Recuperação (Retrieval): Foca em Recuperação Robusta (recursos diagnósticos, recuperação centrada em evidências, sanitização de corpus) e Treinamento Robusto (treinamento com negativos difíceis, treinamento com perturbações de baixo nível) para melhorar o conjunto inicial de evidências.
• Estágio de Reclassificação (Rerank): Refina os candidatos top-$k$ promovendo documentos benignos e suprimindo os suspeitos usando raciocínio entre documentos e grafos de similaridade (ex: GRADA).
• Estágio de Geração: Opera no nível do LLM, dividido em:
  • Proativa: Filtragem (baseada em consistência, influência, mecanística) e mecanismos de detecção para sinalizar entradas envenenadas antes da geração.
  • Passiva: Raciocínio robusto (geração baseada em isolamento, raciocínio consciente de conflitos) e treinamento robusto (treinamento adversarial, alinhamento, treinamento de auto-racional) para mitigar a influência durante a decodificação.
• Estágio de Rastreabilidade (Traceback): Aplicado pós-falha para atribuir responsabilidade. Inclui atribuição em nível de contexto, nível de documento e nível de dataset para identificar as fontes específicas de saídas enganosas ou inseguras.

3. Análise de Variantes Emergentes de RAG

O levantamento destaca como novas arquiteturas alteram o cenário de ameaças:

• GraphRAG: Embora o indexamento em grafo possa reduzir a eficácia do envenenamento de corpus padrão, introduz novos riscos como envenenamento de entidades/relações e extração de privacidade via reconstrução de subgrafos.
• RAG Multimodal: Expande as superfícies de ataque para incluir pares imagem-texto, permitindo o envenenamento de corpus e inferência de membros através de múltiplas modalidades.
• RAG Agêntico: Introduz loops de estado onde ataques podem persistir na memória, manipular a seleção de ferramentas ou explorar observações de ferramentas não confiáveis, deslocando o objetivo de segurança da integridade da resposta para a integridade de todo o loop de recuperar-raciocinar-agir-atualizar.

4. Benchmarks e Explicabilidade

O artigo resume benchmarks de robustez (ex: SafeRAG, URAG) que avaliam modos de falha como envenenamento de corpus, fragilidade de recuperação e conflitos de conhecimento. Também revisa métodos de explicabilidade (atribuição, mecanística, estrutural e de nível de sistema) que revelam por que o contexto envenenado influencia o comportamento do modelo, como a preferência por cadeias de evidências coerentes ou a mudança das políticas de segurança internas para a síntese de evidências externas.

Resultados e Descobertas

• Vulnerabilidade: Sistemas RAG são altamente suscetíveis a envenenamento de corpus e injeção de prompt, onde documentos maliciosos podem direcionar geradores para alvos específicos ou vazar dados privados.
• Limitações de Defesa: As defesas atuais são frequentemente fragmentadas. Muitas dependem de pressuposições de caixa-branca fortes que não se traduzem para implantações de caixa-preta. Métodos de rastreabilidade são majoritariamente diagnósticos, não preventivos.
• Trade-offs: Existe uma tensão entre a furtividade do ataque e sua eficácia; textos adversariais otimizados muitas vezes carecem de naturalidade semântica, tornando-os detectáveis. Da mesma forma, ataques universais melhoram a escalabilidade, mas podem perder precisão em comparação com otimções específicas de consulta.
• Riscos Emergentes: Riscos de privacidade em GraphRAG e RAG Multimodal são subexplorados, e o RAG Agêntico introduz consequências severas onde estados comprometidos levam a ações externas não autorizadas.

Significância e Alegações

Os autores posicionam este trabalho como um roteiro para o desenvolvimento de sistemas RAG confiáveis. Sua significância reside em:

1. Unificação: Fornecer uma taxonomia abrangente e consciente do pipeline, que conecta objetivos de ataque com estágios de defesa específicos, abordando lacunas em levantamentos anteriores onde trabalhos existentes ofereciam cobertura abrangente de dimensões chave (ex: factualidade, robustez), mas análise limitada de estruturas de ataque ou defesas adversariais.
2. Abrangência: Cobrindo não apenas o RAG padrão, mas também variantes emergentes (GraphRAG, RAG Agêntico) e integrando benchmarks e métodos de explicabilidade.
3. Direção Futura: Destacar desafios abertos, como a falta de transferibilidade de ataques para cenários de caixa-preta, a necessidade de ataques mais furtivos e a necessidade de atribuição de fonte de grão fino para vazamento de privacidade.

O artigo conclui comprometendo-se com um repositório público para rastrear continuamente os desenvolvimentos neste campo em rápida evolução, enfatizando que construir sistemas RAG robustos requer uma compreensão holística de todo o pipeline de recuperação aumentada.