Epistemic Bias Injection: Biasing LLMs via Selective Context Retrieval

1. 研究背景与问题定义 (Problem)

背景：
检索增强生成（RAG）系统通过从外部数据库（如开放网络、维基百科）检索相关段落并注入到大语言模型（LLM）的上下文中，来增强其回答能力。然而，这些外部数据源往往缺乏严格审核，容易受到攻击。

现有攻击的局限：
以往针对 RAG 的上下文操纵攻击（Context Manipulation）主要侧重于注入虚假事实（Falsehoods）或有毒内容（Toxic content）。这类攻击通常包含明显的语言指纹（如明显的错误陈述、提示注入指令），因此容易被事实核查（Fact-checking）或语言分析检测并防御。

核心问题：认识论偏见注入 (Epistemic Bias Injection, EBI)
本文提出了一种更隐蔽、更危险的攻击形式——EBI。

• 定义：攻击者向知识库中注入事实正确但具有认识论偏见（Epistemic Bias）的段落。这些段落系统地强调某一特定观点，从而在检索阶段“挤占”（Crowd out）其他视角的段落。
• 特点：
  • 事实正确：内容没有事实错误，无法通过传统事实核查检测。
  • 语言自然：没有明显的恶意指令或异常语言模式。
  • 系统性偏颇：虽然单条内容看似中立，但大量注入会导致检索结果在特定议题上呈现单一视角（例如，只展示支持某项政策的理由，而完全忽略反对理由）。
• 后果：LLM 基于被污染的上下文生成回答，导致输出结果带有攻击者预设的意识形态或解释性立场，破坏了 AI 搜索和问答系统的客观性。

---

2. 方法论 (Methodology)

2.1 核心创新：几何度量指标 (Geometric Metric)

为了量化和检测这种偏见，作者提出了一种基于嵌入空间几何特性的度量方法。

• 极化轴 (Polarization Axis)：
  • 利用一组具有不同观点的“锚点段落”（Anchor Passages），通过主成分分析（PCA）计算嵌入空间中的主成分。
  • 该主成分方向即为“极化轴”，它最大化了不同观点段落之间的方差。
• 极化分数 (Polarization Score, PS)：
  • 将任意段落的嵌入向量投影到极化轴上，得到一个标量值 $PS(d)$。
  • 定义偏见：通过计算待测段落与中性参考段落的 PS 值之差（$\Delta PS$）来量化认识论偏见。
  • 局部一致性：如果两个段落语义相似，它们的 PS 值差异也应很小。
• 验证：实验表明，PS 分数与 LLM（作为裁判）对段落立场（支持/反对）的排序具有高度相关性（Spearman 相关系数达 0.896）。

2.2 攻击流程 (EBI Attack Workflow)

攻击者利用 LLM 自动生成攻击内容，无需人工干预：

1. 生成候选：针对目标问题，利用 LLM 生成多个不同视角的段落。
2. 计算极化轴：对这些候选段落进行 PCA，确定极化轴。
3. 选择极端段落：选取 PS 值最高或最低的段落作为“偏见基准”。
4. 生成对抗段落：基于偏见基准，利用 LLM 生成大量事实正确、语言自然但立场高度一致的对抗性段落（Adversarial Passages）。
5. 注入数据库：将这些段落注入 RAG 的知识库。
6. 满足攻击条件：
   • 高相关性：确保在检索时排名靠前（高余弦相似度）。
   • 高偏见：PS 值显著偏离中性。
   • 隐蔽性：无明显的恶意指纹，通过事实核查。

2.3 防御方案：BiasDef

作者提出了一种轻量级、即插即用的防御机制 BiasDef，利用 PS 指标进行统计过滤。

• 核心思想：在“相关性（SS）- 偏见（PS）”的二维空间中，对抗性段落和良性段落的分布存在统计差异。
• 工作流程：
  1. 基础检测器 (Base Detector)：
     • 检索出候选段落集合。
     • 计算每个段落的 SS 和 PS。
     • 寻找一个最佳的相关性阈值 $t^*_{ss}$，使得该阈值分割出的两个子集（高 SS 和低 SS）在 PS 分布上的 KL 散度 (Kullback-Leibler Divergence) 最大化。理论上，这能分离出对抗性段落。
  2. 误报/漏报缓解 (Mitigation)：
     • 减少误报 (False Positives)：移除那些虽然 SS 高但 PS 值接近良性分布的段落。
     • 减少漏报 (False Negatives)：利用 马氏距离 (Mahalanobis Distance) 识别那些 SS 较低但嵌入特征与对抗性聚类高度相似的段落，将其重新纳入过滤范围。
• 优势：无需重新训练 LLM，无需修改 RAG 架构，仅作为检索后的过滤层。

---

3. 实验设置与基准 (Evaluation)

• 数据集：主要使用 WIKI-BALANCE（包含 452 个开放性问题及相关的维基百科页面），并在 Reddit-Dialogues 和 HotpotQA 上验证泛化性。
• 模型：测试了 Llama-3-8B, DeepSeek-R1-Distill-Qwen-14B, 和 GPT-4.1。
• 对比基线：
  • 无防御 (No Def.)
  • 多样性检索方法：MMR, SMART, BRRA (通过增加多样性来试图稀释偏见)。
  • 自动化事实核查 (WikiCheck)。
• 评估指标：
  • A-Recall@k：检索结果中对抗性段落的占比（攻击成功率）。
  • Recall@k：检索结果中良性相关段落的占比（检索质量）。
  • PS Shift：生成答案的极化分数偏移量（偏见程度）。

---

4. 主要结果 (Results)

4.1 攻击有效性

• 绕过现有防御：现有的多样性检索方法（MMR, SMART, BRRA）虽然能减少部分对抗性段落，但无法完全消除。在注入 10 条对抗段落时，无防御系统的 A-Recall 高达 98%，而多样性方法仍保留约 20-30% 的对抗内容。
• 事实核查失效：由于对抗段落事实正确，WikiCheck 等工具无法区分良性与对抗段落（两者在"SUPPORTS"标签比例上非常接近）。
• 模型无关性：无论 LLM 的参数量大小（8B 到 >100B）或架构如何，只要检索上下文被污染，生成的回答都会表现出显著的 PS 偏移。

4.2 防御效果 (BiasDef)

• 大幅降低偏见：BiasDef 将生成答案的 PS 偏移量降低了 6.2 倍 以上（相比无防御基线）。
• 保留良性内容：与 MMR/SMART 等因过度过滤而牺牲大量良性内容（Recall 下降）不同，BiasDef 在过滤对抗段落的同時，保留了更多的良性相关段落（Recall@5 提升显著）。
• 低开销：BiasDef 作为检索后处理，平均增加延迟仅约 465ms，对 LLM 生成时间影响微乎其微。
• 泛化性：在不同模型（Llama, DeepSeek, GPT）和不同数据集上均表现一致有效。

---

5. 主要贡献 (Key Contributions)

1. 提出 EBI 攻击：首次形式化定义了“认识论偏见注入”攻击，揭示了即使内容事实正确，仅通过系统性视角偏差即可操纵 LLM 输出的新威胁。
2. 提出 PS 几何度量：设计了一种基于嵌入空间几何（PCA 和投影）的连续、可解释的指标（Polarization Score），用于量化文本的认识论偏见。
3. 构建 BiasDef 防御：开发了一种轻量级、无需重训练的防御原型，利用 PS 统计特性有效过滤对抗性检索结果。
4. 全面基准测试：构建了涵盖多种模型和数据集的 RAG 基准，证明了现有防御（多样性检索、事实核查）在 EBI 面前的失效，并验证了 BiasDef 的有效性。

---

6. 意义与影响 (Significance)

• 安全视角的拓展：将 RAG 的安全威胁从“虚假/有毒内容”扩展到“事实正确但视角偏颇”的更隐蔽领域。这提示我们，仅仅保证事实准确性不足以保障 AI 的客观性。
• 防御范式的转变：证明了在检索阶段引入“观点感知”（Viewpoint-aware）的过滤机制是必要的。传统的基于语义相似度或简单多样性的检索策略不足以应对精心设计的偏见注入。
• 可部署性：BiasDef 提供了一种无需微调大模型即可实施的防御方案，对于保护生产环境中的 RAG 系统具有极高的实用价值。
• 未来方向：指出了从单一极化轴向多维偏见（Multi-dimensional bias）扩展的可能性，以及需要进一步研究人类对 PS 偏移的感知和信任度影响。

总结：该论文揭示了 RAG 系统中一个被忽视的脆弱性——事实正确的偏见注入，并提出了基于几何度量的量化方法和高效的统计过滤防御方案，为构建更客观、可靠的 AI 搜索系统提供了重要的理论依据和技术手段。