💻 computer science

Inference Cost Attacks for Retrieval-Augmented Large Language Models

本文介绍了一种检索增强推理成本攻击（RA-ICA），这是一种利用 LLM 智能体和一种基于记忆增强组相对策略优化算法的新型框架，旨在通过向外部知识库中注入恶意文档来污染知识库，从而在保持答案完整性的同时，显著增加 RAG 增强型 LLM 系统的 Token 消耗。

原作者： Chengliang Liu, Liangbo Ning, Yujuan Ding, Wenqi Fan

发布于 2026-06-03

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Chengliang Liu, Liangbo Ning, Yujuan Ding, Wenqi Fan

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一家名为“RAG-LLM”的高端餐厅。这家餐厅之所以闻名遐迩，是因为它不仅仅依赖厨师的记忆；它拥有一支研究员团队，会在烹饪你的美食之前，瞬间奔向一座巨大的图书馆（即互联网）去寻找最鲜活的事实。这使得食物（即答案）非常准确。

然而，运行这项图书馆研究服务是非常昂贵的。餐厅老板需要按分钟支付研究员的时间费用以及运行计算机的电费。

问题所在：一种新型的“账单冲击”

论文指出，虽然这个系统很棒，但它有一个隐藏的弱点。通常，人们认为黑客可能会尝试直接欺骗厨师，比如对着厨房窗口大喊奇怪的指令（改变用户的提问）。但作者说，有一种更聪明、更阴险的方法：毒化图书馆本身。

他们将这种新威胁称为 RA-ICA（检索增强推理成本攻击）。

可以这样理解：攻击者不是对着厨师大喊大叫，而是潜入图书馆，在书架上放置了一些虚假的、令人困惑且过于复杂的书。当顾客问一个简单的问题，比如“谁是春天的女神？”时，研究员们不仅找到了正确的书，还意外地把其中一本虚假的书中也一并抓了过来。

因为这本假书写得非常刁钻，厨师不得不阅读它、重读它、与它争论，并解开其中隐藏的一个谜题，才能弄清楚那个简单的答案。厨师最终花费了比平时多出 13 倍的时间来烹饪这道菜。顾客得到了正确的答案，但餐厅老板却收到了一份巨大的、意料之外的账单。

攻击是如何运作的（“CREEP”框架）

作者构建了一个名为 CREEP（通过外部投毒导致计算资源枯竭）的工具来自动实现这一点。你可以把 CREEP 想象成一个“反派机器人”，它专门负责编写这些虚假的图书馆书籍。

这个机器人使用两种主要方式来编写这些陷阱：

重写艺术家（The Rewrite Artist）： 它拿一本正常的、枯燥的书，对其进行编辑，以添加一个令人困惑的谜题或矛盾点。
创意作家（The Creative Writer）： 它从头开始写一本全新的书，看起来很正常，但实际上是在秘密设计让厨师更加辛苦的工作量。

机器人使用三个特定的技巧来让厨师工作得更辛苦：

诱饵（The Decoy）： 它在文本中加入一个虚假的、困难的数学问题或逻辑谜题。厨师觉得有必要在回答用户问题之前先解决它。
矛盾（The Contradiction）： 它写下一句与事实相反的话（例如，“春天实际上是冬天”）。厨师必须停下来，思考并进行额外的推理，以决定哪个事实才是真实的。
任务陷阱（The Task Trap）： 它给厨师一个模糊且开放式的指令，迫使他们为了保险起见，写出一篇冗长且啰嗦的解释。

秘诀所在：从过去的胜利中学习 (MA-GRPO)

编写一本既难以被察觉又难以处理的假书是非常困难的。如果书写得太奇怪，研究员就不会从图书馆中把它取走；如果书写得太简单，厨师就不会在上面花费额外的时间。

为了解决这个问题，作者使用了一种特殊的学习方法 MA-GRPO 来训练他们的“反派机器人”。

你可以把这想象成一个视频游戏，机器人试图写出完美的陷阱。

记忆库（The Memory Bank）： 机器人保留了一个它写过的最佳陷阱的“名人堂”。
比较（The Comparison）： 每当机器人尝试一个新的陷阱时，它都会将其与“名人堂”中的获胜者进行比较。
奖励（The Reward）： 如果新的陷阱在不改变最终答案的情况下让厨师工作时间更长，机器人就会获得“高分”并学会再次这样做。如果失败了，它就会学习哪些做法是不对的。

这个“记忆库”帮助机器人变得越来越擅长编写那些肉眼难以察觉、但在计算上却极其耗能的陷阱。

结果

作者在三个不同的真实世界问答数据集上测试了该方法。他们发现：

他们可以让计算机的工作量比正常情况下增加 13 倍。
这种攻击的成功率超过 90%。
至关重要的是，提供给用户的最终答案仍然是正确的。餐厅老板支付了账单，但顾客按时拿到了食物（只是背后的成本要高得多）。

总结

简而言之，这篇论文表明，我们不能仅仅担心黑客改变我们的提问方式。我们还需要担心黑客毒化我们所信任的信息源。通过在公共知识库中植入“粘稠、令人困惑”的文档，攻击者可以让这些智能 AI 系统消耗大量的计算资源和资金，同时仍然能给用户提供正确的答案。

技术摘要：针对检索增强型大语言模型的推理成本攻击

问题定义

检索增强生成（RAG）系统通过动态检索外部知识库（如网页数据、特定领域数据库）中的信息来增强大语言模型（LLM），从而合成响应。虽然这种架构非常有效，但它引入了一个多阶段的推理流水线，显著增加了运营成本，其中推理过程往往占据了总计算 GPU 需求的 90% 以上。

现有的**推理成本攻击（Inference Cost Attacks, ICA）**研究主要集中在操纵用户输入提示词，以迫使模型生成过长或重复的输出。然而，这种方法依赖于一个不切实际的假设，即攻击者可以直接控制受害者的输入查询。

本文识别了一个关键且尚未被充分探索的漏洞：检索增强型推理成本攻击（Retrieval-Augmented Inference Cost Attacks, RA-ICA）。与直接的提示词操纵不同，RA-ICA 针对的是外部知识库本身。通过向可检索的数据库中注入恶意文档（例如，向公共网络知识中注入恶意文档），攻击者可以在不直接与用户交互的情况下，针对良性的用户查询触发高成本推理。其核心挑战在于构建既满足以下条件的恶意文档：

可检索性（Retrievable）： 在语义上足够相关，能够被检索模块为目标查询所选中。
成本放大性（Cost-Amplifying）： 能够诱导 LLM 生成过长的推理轨迹或消耗大量 Token。
隐蔽性（Stealthy）： 保持最终答案的语义正确性，以避免检测并保持系统效用。

方法论：CREEP 框架

为了实现 RA-ICA，作者提出了 CREEP（通过外部投毒导致计算资源枯竭） 框架，该框架利用 LLM 智能体自主构建并优化恶意文档。

1. 攻击智能体与策略

该框架采用了两种类型的智能体——基于重写的（Rewrite-based）（修改现有的检索文档）和基于生成的（Generation-based）（从头创建文档）——并利用了三种特定的资源枯竭策略：

诱饵注入（Decoy Injection）： 在文档上下文中注入复杂的、多步骤的推理任务（例如，逻辑谜题或规划问题）。这迫使 RAG 系统在原始查询需求之外执行额外的、计算密集型的推理步骤。
矛盾注入（Contradiction Injection）： 引入相对于良性答案而言看似合理但事实矛盾的陈述。这迫使 LLM 进行额外的分析，以裁定检索文档之间的冲突，从而增加 Token 消耗。
任务导向型操纵（Task-Oriented Manipulation）： 向智能体提供高层目标（检索、成本放大、隐蔽性），而不规定具体的生成程序，从而允许智能体利用其完整的推理能力来发现多样化的攻击模式。

2. 通过 MA-GRPO 进行优化

考虑到预训练的 LLM 智能体可能并不天生擅长针对对抗性成本放大进行优化，作者引入了 记忆增强型组相对策略优化（Memory-Augmented Group Relative Policy Optimization, MA-GRPO）。

奖励公式化： 奖励函数由三个组成部分构成：
- 检索奖励 ( $R_{retrieval}$ ): 一个二进制指标，确保文档确实被检索到。
- 答案纯度奖励 ( $R_{purity}$ ): 一个加权和，确保最终答案仍与良性真相保持一致，且输出不存在操纵痕迹。
- Token 消耗率 ( $R_{TCR}$ ): 被攻击后的 Token 数量与基准 Token 数量的比率。
记忆增强： 标准的组相对策略优化（GRPO）如果采样的组内仅包含低奖励输出，可能会出现不稳定性。MA-GRPO 通过维护一个包含前 $k$ 个历史最佳对抗性文档的动态记忆缓冲区来解决这一问题。在训练期间，新候选者的优势（advantage）是相对于一个包含当前批次和记忆缓冲区的参考组进行计算的。这稳定了训练并加速了强力攻击模式的发现。

核心贡献

新型攻击范式 (RA-ICA)： 本文定义并研究了首个专门针对 RAG 增强型 LLM 的推理成本攻击，将攻击向量从用户提示词转向了外部知识投毒。
CREEP 框架： 一个利用 LLM 智能体和三种不同策略（诱饵、矛盾、任务导向）来生成平衡检索成功率与计算枯竭的恶意文档的新颖框架。
MA-GRPO 算法： 一种强化学习算法，通过集成动态记忆缓冲区来微调攻击智能体，与标准策略优化相比，显著提高了生成对抗性文档的效率和有效性。

实验结果

作者在三个真实世界数据集上评估了 RA-ICA：Natural Questions (NQ)、HotpotQA 和 MS MARCO。实验在黑盒设置下进行，使用了四种受害者 LLM（qwen-turbo, GPT-5, claude-sonnet-4, 以及 deepseek-r1）以及一个 Contriever 检索器。

有效性： RA-ICA 成功地将 Token 消耗量提升至良性推理的 13.12 倍。
成功率： 该攻击在各个数据集上的成功率超过了 90%。
隐蔽性： 至关重要的是，攻击保持了生成答案的完整性，这意味着尽管计算成本大幅增加，系统仍能提供正确的响应。

重要性与主张

本文声称是首个探索 RAG 增强型 LLM 系统推理成本漏洞的研究。作者认为，随着 RAG 系统越来越多地集成实时网页搜索和外部知识，外部知识库成为了一个重大的实际漏洞。

这项工作的意义在于证明了：

RAG 系统容易受到通过知识投毒导致的成本枯竭攻击，这种攻击向量比直接的提示词操纵更具规模性和实用性。
单个被投毒的文档可以影响大量的用户查询，从而放大对运营成本和系统可用性的影响。
当前侧重于提示词过滤的防御机制是不够的，因为攻击保留了输出的语义正确性，使其难以通过标准的答案验证进行检测。

作者将这项研究定位为理解可靠生成式 AI 的必要步骤，强调了在 RAG 架构中建立针对外部知识投毒的鲁棒防御机制的重要性。