💻 computer science

RADAR: Defending RAG Dynamically against Retrieval Corruption

RADAR 是一个新颖的框架，通过将上下文选择建模为基于图的能量最小化问题并利用贝叶斯记忆节点在平衡稳定性与适应性的同时最小化存储成本，从而在动态环境中防御检索增强生成系统免受对抗性检索污染。

原作者： Ziyuan Chen, Yueming Lyu, Yi Liu, Weixiang Han, Jing Dong, Caifeng Shan, Tieniu Tan

发布于 2026-05-22

📖 1 分钟阅读☕ 轻松阅读

原作者： Ziyuan Chen, Yueming Lyu, Yi Liu, Weixiang Han, Jing Dong, Caifeng Shan, Tieniu Tan

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你有一位非常聪明但略显轻信、名叫LLM的助手。这位助手擅长写故事和回答问题，但由于它并不了解世界上的所有事情，有时会编造内容或感到困惑。为了解决这个问题，你为它配备了一位“研究员”，这位研究员会前往互联网查找文章，并将它们交给助手。这套系统被称为RAG（检索增强生成）。

然而，存在一个问题：互联网是一个嘈杂且混乱的地方。恶意行为者（黑客）可以将假新闻、谎言或恶意指令悄悄混入这些文章中。如果研究员交给助手一堆大部分是谎言的文件，助手就会相信这些谎言并给出错误的答案。

本文介绍了一种名为RADAR的新型防御系统。你可以将 RADAR 想象为一位坐在研究员和助手之间的超级聪明的主编。它的任务是审视那堆文件，找出哪些是可信的，并在助手看到之前将虚假文件剔除。

以下是 RADAR 的工作原理，通过简单的类比进行解释：

1. “群体拥抱”与“孤立说谎者”（图论与最小割）

当研究员带回 10 篇文章时，RADAR 并不是逐一阅读它们。相反，它将它们视为派对上的一群人。

派对：每篇文章都是一位宾客。
对话：RADAR 会问：“宾客 A 同意宾客 B 的观点吗？”或者“宾客 A 与宾客 B 的观点是否矛盾？”
目标：RADAR 希望找到最大的、彼此都相互认同的和谐宾客群体。

RADAR 使用一种数学技巧（称为最大流最小割）来解决一个谜题：“我们如何将派对切割成两个群体，使得以最小的切割代价将‘说谎者’与‘说真话者’隔离开来？”

如果某份文件是说谎者，它将被“切断”与主群体的联系。
如果某份文件在说真话，它将与其他说真话者保持连接。
结果如何？助手只接收那个“说真话”的群体来撰写最终答案。

2. “记忆银行”（动态防御）

互联网每天都在变化。昨天正确的事实今天可能变为错误（例如，“谁是总统？”这个问题每隔几年就会改变）。

旧防御：大多数安全系统就像只关注此刻走进来的人的保安。它们不记得昨天谁在那里。如果一个说谎者今天混了进来，只要他看起来像个普通人，保安可能抓不住他。
RADAR 的方法：RADAR 拥有一个记忆银行。它记得昨天给出的答案。
- 如果今天的新信息与昨天的答案一致，RADAR 会说：“太好了，我们仍然走在正确的轨道上！”并保留该记忆。
- 如果今天的新信息与昨天的答案强烈矛盾（例如发生重大新闻事件），RADAR 会说：“等等，情况变了。旧答案现在成了谎言。”它会更新记忆以反映新的真相。

这就像一位侦探保留着案件档案。如果有新证据证明嫌疑人是无辜的，侦探就会更新档案。如果新证据只是重复他们已知的内容，他们就保持档案原样。这防止了系统被暂时的噪音或“花哨”的谎言所迷惑。

3. “贝叶斯信念”（数学魔法）

RADAR 如何判断记忆是对是错？它使用一种称为贝叶斯推断的方法。

想象你有一个直觉（一种信念），认为某个故事是真的。
然后，你获得了新证据。
RADAR 根据新证据在多大程度上支持旧故事，从数学上更新你的“直觉”。
如果新证据强烈支持旧故事，你的“直觉”就会变成“确信”。
如果新证据强烈反驳旧故事，你的“直觉”就会降为“假”。

这使得 RADAR 既能灵活（适应真实变化），又能稳定（忽略随机噪音或临时攻击）。

为什么这比现有的方法更好？

存储：旧方法试图保存每一份曾经见过的文档以便日后比较。这就像试图把整个图书馆都塞进你的背包里。既沉重又缓慢。RADAR 只保存它所相信内容的微小“摘要”（记忆节点），使其非常轻便且快速。
动态攻击：黑客变得越来越聪明；他们不断改变谎言。旧防御就像一面只能抵挡一种箭矢的静态盾牌。RADAR 则像一面会移动和适应的盾牌，无论攻击者如何改变瞄准方向，都能阻挡箭矢。

总结

本文声称，RADAR 是一种保护 AI 助手免受互联网虚假信息欺骗的新方法。通过将筛选优质信息视为连接朋友、隔离敌人的谜题，并通过记住过去的真相来识破新的谎言，RADAR 即使在互联网上充斥着恶意行为者时，也能保持 AI 答案的准确性。

简而言之：RADAR 是一个智能过滤器，它知道该信任谁、该忽略谁，以及何时更新自己的信念，同时保持系统的快速与轻便。

技术摘要：RADAR：动态防御检索增强生成（RAG）免受检索污染

1. 问题陈述

检索增强生成（RAG）系统，特别是那些部署在动态网络搜索环境中的系统，面临严重的对抗性攻击漏洞。早期的 RAG 系统基于静态语料库运行，而现代应用则持续从网络中摄取不断演变的信息。这种时间上的不稳定性加剧了系统对语料库投毒（注入欺骗性文档）和提示注入攻击（在检索到的文本中嵌入恶意指令）的易感性。

现有的防御机制主要针对静态环境设计。启发式过滤往往导致效用损失，而基于优化的选择性一致性方法则依赖近似解，缺乏强有力的保证。当这些方法被天真地扩展到动态环境时，它们无法应对持续变化的威胁，并且由于需要归档原始历史文档，导致存储成本高得令人望而却步。核心挑战在于：在不过度增加存储开销的前提下，既要保持对不断演变的对抗策略的鲁棒性，又要保持对真实知识变迁的适应性（即稳定性 - 可塑性困境）。

2. 方法论：RADAR 框架

RADAR（Robust Adaptive Defense Against Retrieval corruption，针对检索污染的鲁棒自适应防御）通过将有可靠性的上下文选择建模为基于图的能量最小化问题来解决上述挑战，并利用最大流最小割（Max-Flow Min-Cut）算法进行精确求解。该框架在静态和动态两种主要模式下运行。

2.1 核心机制：基于最小割的能量最小化

RADAR 将有可靠性的文档选择视为一个二元标记问题。给定一组检索到的文档 $D = \{d_1, ..., d_k\}$ ，目标是识别出一个子集 $D_{rel}$ ，使其最大化一致性。

原子答案生成：对于每一篇检索到的文档，系统利用大语言模型（LLM）生成一个“原子答案”。
语义评分：自然语言推理（NLI）模型计算两个矩阵：
- 一致性（ $M$ ）：原子答案之间的逻辑蕴含关系。
- 矛盾（ $C$ ）：原子答案之间的逻辑冲突。
图构建：构建一个有向图 $G=(V, E)$ $G = (V, E)$ ，包含源节点 $s$ $s$ 、汇节点 $t$ $t$ 以及代表每篇文档的节点。
- 一元势（终端边）：从 $s$ 到 $d_i$ 的边（ $S_i$ ）代表保留该文档的收益（基于中心性和排名），而从 $d_i$ 到 $t$ 的边（ $F_i$ ）代表保留该文档的成本（基于与中心文档的冲突）。
- 成对势（文档间边）： $d_i$ 和 $d_j$ 之间容量为 $M_{ij}$ 的边强制执行逻辑一致性。
推理：最小割算法将图划分为源集（可靠文档）和汇集（被过滤的文档）。这为能量最小化问题提供了精确解，在单个文档的置信度与成对一致性之间取得平衡。

2.2 动态防御：贝叶斯记忆节点

为了在不存储原始历史文档的情况下处理随时间演变的证据流，RADAR 引入了一个贝叶斯记忆节点（ $a_{t-1}$ ），代表系统在上一时间步的信念状态。

递归信念更新：系统不使用归档文档，而是利用贝叶斯推断更新连接到记忆节点的边的容量。
- 先验：源自上一答案的连贯性。
- 似然：基于历史答案与新证据 $D(t)$ 之间的蕴含（支持）或矛盾（冲突）计算得出。
- 后验：更新后的边容量决定了在当前最小割中，历史答案应被保留（源侧）还是丢弃（汇侧）。
稳定性 - 可塑性平衡：该机制允许系统在有新证据支持时自适应地保留有效的历史知识，或在新证据与之矛盾时将其丢弃，从而有效解决了稳定性与可塑性之间的权衡问题。

2.3 后处理

在最小割选择之后，系统根据所选原子答案的成对余弦相似度执行二次过滤步骤，以去除孤立的异常值，确保在最终生成步骤之前的语义连贯性。

3. 主要贡献

RADAR 框架：一种新颖的防御框架，将 RAG 上下文净化建模为最小割问题，提供精确且高效的推理，并在针对基于语料库的攻击方面具有卓越的鲁棒性。
带有贝叶斯记忆节点的动态图构建：第一种明确针对连续时间步攻击设计的防御方法。通过贝叶斯记忆节点维护递归信念状态，它在无需归档原始文档的情况下，实现了历史一致性与新证据之间的有效平衡。
动态数据集构建：创建了一个全面的动态 RAG 安全数据集，模拟了具有随时间变化的真实标签和攻击模式的演变对抗场景。

4. 实验结果

实验在四个数据集（RealTimeQA、Natural Questions、TriviaQA、Bio）上使用多个大语言模型（DeepSeek、GPT-4o、Grok-4-fast）进行，并与 RobustRAG、AstuteRAG 和 ReliabilityRAG 等基线进行了比较。

静态性能：RADAR 实现了更优的鲁棒性 - 效用权衡。在 RealTimeQA（RQA）中，针对排名首位（Pos 1）的提示注入攻击（PIA），RADAR 保持了69.0% 的准确率，攻击成功率（ASR）为11.0%，显著优于 AstuteRAG（25.0% 准确率，1.0% ASR）和 ReliabilityRAG（69.0% 准确率，15.0% ASR）等基线。在长篇幅 Bio 生成任务中，RADAR 在投毒攻击下达到了**84.4%**的峰值准确率，优于所有基线。
动态性能：在演变的证据流中，RADAR 表现出卓越的适应性。在 Pos 1 的 PIA 累积快照设置下，RADAR 实现了63.60% 的准确率，ASR 为17.85%，优于 RobustRAG（61.29% 准确率）和 ReliabilityRAG（53.61% 准确率）。
效率：RADAR 将存储开销从其他方法所需的数十兆字节（用于原始文档归档）降低到每个查询约1 KB（仅存储信念状态）。虽然运行时间主要由原子答案生成主导，但最小割推理引入的开销微乎其微。
鲁棒性：该方法在面对旨在绕过 NLI 检查的自适应攻击时保持稳定，并且对 NLI 模型的选择（DeBERTa-v3、BART、ModernBERT）表现出低敏感性。

5. 意义与主张

本文主张，RADAR 提供了一种具有数学基础且感知时间的弹性机制，这对于下一代在实时环境中运行的可信 AI 代理至关重要。通过将上下文净化表述为精确的最小割问题并集成贝叶斯记忆节点，RADAR 有效地平衡了对抗性弹性与知识适应性。

作者强调，这种方法显著降低了存储开销，同时在不断演变的攻击下提高了鲁棒性和答案准确率。他们认为，随着实时 RAG 成为 AI 助手和搜索引擎的核心组成部分，此类动态防御对于缓解提示注入和语料库投毒风险至关重要，有助于推动基于大语言模型的系统在动态现实世界环境中的安全部署。该工作并未声称解决所有 RAG 漏洞，而是专门针对以最小存储成本防御动态检索污染这一空白领域。