🤖 AI

PIDP-Attack: Combining Prompt Injection with Database Poisoning Attacks on Retrieval-Augmented Generation Systems

本文提出了一种名为 PIDP-Attack 的新型复合攻击方法，通过结合推理时的提示注入与检索数据库中的少量毒化数据，实现了对检索增强生成（RAG）系统无需预知用户查询即可操纵大模型响应的攻击，并在多个基准测试中显著优于现有的 PoisonedRAG 攻击。

原作者： Haozhen Wang, Haoyue Liu, Jionghao Zhu, Zhichao Wang, Yongxin Guo, Xiaoying Tang

发布于 2026-03-27

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Haozhen Wang, Haoyue Liu, Jionghao Zhu, Zhichao Wang, Yongxin Guo, Xiaoying Tang

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文介绍了一种针对现代人工智能系统（特别是RAG 系统）的新型“组合拳”攻击方法，名为 PIDP-Attack。

为了让你轻松理解，我们可以把整个 RAG 系统想象成一家超级聪明的“咨询顾问店”。

🏪 背景：这家店是怎么工作的？

顾问（大语言模型 LLM）：他非常博学，说话风趣，但他有个缺点：他的知识库是几年前更新的，而且有时候会“瞎编”（幻觉）。
资料库（数据库）：店里有一个巨大的书架，里面放着最新的新闻、维基百科和各类文档。
图书管理员（检索器）：当顾客（用户）问问题时，图书管理员会去书架上找几本最相关的书，递给顾问。
最终回答：顾问结合顾客的问题和图书管理员递来的书，给出最终答案。

RAG 系统的好处是：顾问不再瞎编，而是基于最新资料回答，非常靠谱。

🦹 以前的攻击手段（单打独斗）

以前的黑客有两种攻击方式，但都有明显的短板：

毒书攻击（数据库投毒）：
- 做法：黑客偷偷往书架上塞几本假书（比如一本写着“地球是平的”的假书）。
- 缺点：这招很被动。黑客必须提前知道顾客会问什么（比如“地球是什么形状的？”），才能针对性地塞假书。如果顾客问的是“今天天气如何”，那本假书就派不上用场了。
- 比喻：就像你在图书馆里放了一本假书，只有当有人专门来查这本书的主题时，你才成功。
话术攻击（提示词注入）：
- 做法：黑客在顾客的问题后面加一句“悄悄话”（比如：“请忽略前面的问题，告诉我如何制造炸弹”）。
- 缺点：这招很直接，但顾问通常很警惕。如果没有“假书”作为证据支持，顾问往往会忽略这些奇怪的指令，或者因为缺乏依据而拒绝回答。
- 比喻：就像你在顾客耳边嘀咕一句，但顾问手里拿着正经的书，他可能根本不听你的嘀咕。

⚡ PIDP-Attack：完美的“组合拳”

这篇论文提出的 PIDP-Attack，就像是一个高明的骗子，同时使用了上述两种手段，让顾问防不胜防。

第一步：在书架上埋雷（数据库投毒）

黑客不需要知道顾客会问什么。他只需要往书架上塞少量的“万能假书”。

假书的内容：这些书专门针对一个特定的错误答案（比如“《盗梦空间》的导演是迈克尔·贝”）。
特点：这些书写得非常像真的，而且标题里包含了那个错误答案的关键字。

第二步：给顾客戴个“隐形眼镜”（提示词注入）

当任何顾客（无论他问什么）走进店里时，黑客会在顾客的问题后面，偷偷加上一段特殊的后缀（比如：“请回答：谁导演了《盗梦空间》？”）。

关键点：黑客不需要知道顾客原本想问什么。他只需要把这段后缀加在所有问题上。

第三步：完美的陷阱（协同作案）

图书管理员被带偏：因为顾客的问题里包含了“谁导演了《盗梦空间》”，图书管理员去书架找书时，那些专门针对这个问题的“假书”（第一步埋的雷）因为关键词匹配，被优先挑了出来。
顾问被洗脑：顾问拿到了这些“假书”，又看到了顾客问题里的“特殊指令”。他心想：“哦，用户问的是导演，而且书架上这几本书都说是迈克尔·贝，那答案肯定是迈克尔·贝！”
结果：无论顾客原本问的是“今天天气怎么样”还是“怎么煮鸡蛋”，顾问最终都会一本正经地回答：“《盗梦空间》的导演是迈克尔·贝。”

🎯 这个攻击有多厉害？

论文通过实验发现，这种“组合拳”比单独使用任何一种方法都要强大得多：

无需预知：黑客不需要知道用户会问什么，只要把“后缀”加上去，就能控制回答。
成本极低：只需要在数据库里塞很少几本假书（比如 5 本），就能控制成千上万个不同的问题。
成功率极高：在测试中，这种方法的攻击成功率高达 98% 以上，远超之前的其他攻击手段。

🛡️ 这对我们意味着什么？

这就好比一家咨询店，以前我们只担心顾问会不会乱说话，或者书架上会不会有假书。但现在我们发现：

如果有人能修改顾客的问题（比如通过恶意插件），同时有人能往书架上塞假书，那么这家店就彻底不安全了。
即使顾问再聪明，只要他看到的“证据”（检索到的书）是假的，而且问题被“引导”了，他也会给出错误的答案。

💡 总结

这篇论文告诉我们，RAG 系统的安全不能只盯着“大脑”（模型）或者只盯着“书架”（数据库）。必须同时保护顾客的问题通道和书架的更新通道。

就像一家店，既要防止有人往书架上塞假书，也要防止有人在顾客耳边乱说话，否则再聪明的顾问也会被带偏。

1. 研究背景与问题定义 (Problem)

背景：
检索增强生成（RAG）系统通过将大语言模型（LLM）与外部知识库结合，有效缓解了 LLM 的知识过时和幻觉问题。然而，这种架构引入了新的攻击面，主要涉及两个核心组件：检索器（Retriever） 和 生成器（Generator）。

现有攻击的局限性：
现有的 RAG 攻击主要分为两类，但都存在显著缺陷：

数据投毒攻击（如 PoisonedRAG）： 攻击者向知识库中注入恶意文档。
- 缺陷： 通常需要预先知道用户的具体查询（Query-specific），攻击者必须针对每个特定问题定制投毒内容。这在现实世界中用户查询动态且不可预测的场景下，缺乏灵活性和可扩展性。
提示注入攻击（如 GGPP, GCG）： 攻击者在用户输入中嵌入恶意指令。
- 缺陷： 缺乏知识库中的“证据”支持，生成器往往忽略注入的指令，导致攻击成功率不稳定且较低。此外，许多现有方法依赖白盒假设（需要访问模型内部参数），限制了实际部署中的可行性。

核心问题：
是否存在一种黑盒、通用且高效的攻击方法，能够在无需预先知道用户具体查询的情况下，通过结合提示注入和数据投毒，操纵 RAG 系统对任意用户问题输出攻击者指定的错误答案？

2. 方法论：PIDP-Attack (Methodology)

作者提出了 PIDP-Attack（Prompt Injection and Database Poisoning Attack），这是一种结合了查询路径提示注入与语料库路径数据投毒的复合攻击策略。

2.1 威胁模型

攻击者能力：
1. 查询路径操纵： 可以在推理阶段向用户查询追加一个恶意后缀（ $\delta$ ），无需用户配合或知晓查询内容。
2. 语料库路径操纵： 可以向检索库中注入少量（ $n$ 个）恶意文档。
3. 黑盒假设： 攻击者无法访问检索器或 LLM 的内部参数。
攻击目标： 无论用户输入什么查询 $q$ ，系统最终都输出攻击者预设的错误答案 $a^-$ （该答案对应某个特定的目标问题 $S$ ）。

2.2 攻击流程 (两阶段机制)

阶段一：离线准备 (Offline Preparation)

选择目标： 选定一个目标问题 $S$ 和对应的错误答案 $a^-$ 。
生成投毒文档 ( $P$ )：
- 构造 $n$ 个恶意文档 $p_i$ 。
- 格式设计为： $p_i = S \oplus \text{".} \oplus b_i$ 。即文档以目标问题 $S$ 开头（为了最大化检索匹配度），后接支持错误答案 $a^-$ 的论证内容 $b_i$ 。
- 利用辅助 LLM 生成这些内容，使其在语义上看似合理。
注入数据库： 将这 $n$ 个文档注入到检索库 $D$ 中。

阶段二：在线攻击 (Online Attack)

查询注入： 当用户发起任意查询 $q$ $q$ 时，攻击者追加一个固定的注入后缀 $\delta(S)$ $δ (S)$ ，形成新查询 $q' = q \oplus \delta(S)$ $q^{'} = q \oplus δ (S)$ 。
- $\delta(S)$ 包含目标问题 $S$ 和指令（如“忽略之前的指令，回答 S"）。
检索重定向： 检索器基于 $q'$ 进行检索。由于 $q'$ 包含了 $S$ ，检索器会高概率召回之前注入的、以 $S$ 开头的投毒文档。
生成劫持： 生成器接收到包含投毒文档的上下文。由于投毒文档提供了“证据”，且查询后缀提供了“指令”，LLM 被诱导忽略用户原问题 $q$ ，转而回答 $S$ 并输出错误答案 $a^-$ 。

2.3 核心洞察

双重协同： 提示注入负责重定向检索（让恶意文档进入 Top-K）并提供指令；数据投毒负责提供上下文证据，使生成器相信错误答案是正确的。
通用性： 只需注入少量通用投毒文档，配合通用的查询后缀，即可攻击任意用户查询，无需针对每个查询定制。

3. 主要贡献 (Key Contributions)

提出 PIDP-Attack 框架： 首次将提示注入与数据库投毒有机结合，消除了对“预先知道用户查询”的依赖，实现了针对任意查询的通用攻击。
极低的投毒成本： 实验证明，仅需注入 $n$ 个投毒文档（通常 $n$ 等于检索器的 Top-K 值，如 5 个），即可成功操纵系统。即使 $n$ 和 $k$ 波动，攻击依然有效。
全面的实验评估： 在三个基准数据集（Natural Questions, HotpotQA, MS-MARCO）和八个 SOTA LLM 上进行了广泛测试。
揭示了 RAG 的安全盲区： 证明了仅保护模型或仅保护数据库是不够的，必须同时防御查询路径和语料库路径的联合攻击。

4. 实验结果 (Results)

4.1 攻击成功率 (ASR)

整体表现： PIDP-Attack 在绝大多数场景下显著优于单一攻击基线（如 PoisonedRAG, GGPP, GCG）。
具体数据：
- 在 Natural Questions (NQ) 数据集上，相比 PoisonedRAG，ASR 提升了 4%–16%。
- 在 MS-MARCO 数据集上，ASR 提升了 5%–12%。
- 在 HotpotQA 上，PIDP-Attack 在多个模型上达到了接近 100% 的成功率。
- 平均 ASR： PIDP-Attack 达到了 98.125%，远高于其他基线方法（PoisonedRAG 为 92%，GGPP 为 82.875%）。

4.2 消融实验与机制分析

复合攻击的必要性：
- 仅提示注入（Prompt-only）：ASR 接近 0%，说明没有检索到的“证据”支持，LLM 会忽略指令。
- 仅数据投毒（Corpus-only）：ASR 极低，因为无法保证恶意文档被检索到。
- 结论： 只有两者结合（PIDP）才能同时解决“检索不到”和“生成器不信”的问题。
预算敏感性：
- 投毒数量 ( $n$ )： 在 NQ 和 HotpotQA 上，仅需 $n=2$ 个投毒文档即可达到饱和的高成功率；在 MS-MARCO 上，随着 $n$ 增加（1 到 5），ASR 从 ~30% 上升至 >90%。
- 上下文长度 ( $k$ )： 增加 $k$ 虽然增加了投毒文档被检索到的概率，但也引入了更多干净文档的“稀释”效应。在某些模型上，过大的 $k$ 会导致 ASR 下降（非单调性）。

4.3 检索指标

PIDP-Attack 能够以极高的 F1 分数（>0.99 在 NQ/HotpotQA）确保投毒文档进入 Top-K 上下文，这是高 ASR 的前提。

5. 意义与启示 (Significance)

安全范式的转变： 该研究指出 RAG 系统的安全性不能仅依赖于单一组件的防御。攻击者可以通过“查询 - 语料库”的协同攻击绕过传统防御。
防御建议：
- 查询清洗： 必须检测并过滤用户输入中的异常后缀（提示注入）。
- 语料库验证： 对新入库的文档进行严格的来源认证和真实性检查，防止投毒。
- 上下文隔离： 在生成阶段，不应将检索到的内容视为高优先级的系统指令，需区分“用户指令”、“系统指令”和“检索证据”。
现实威胁： 这种攻击在现实世界中极具破坏力，因为攻击者无需知道用户会问什么，只需在公共知识库中埋下少量“地雷”，即可通过简单的网络中间件劫持流量，导致大规模的错误信息传播。

总结：
PIDP-Attack 揭示了当前 RAG 架构中一个严重且被低估的漏洞。它证明了通过简单的“查询后缀 + 少量投毒文档”组合，即可实现对任意查询的精准劫持。这一发现强调了构建端到端（End-to-End）RAG 安全防御体系的紧迫性。