TRIS: 一个针对知识污染的三层检索完整性筛网

# TRIS：针对知识投毒的三层检索完整性筛
来源：https://arxiv.org/html/2609.00470
###### 摘要

检索增强生成（RAG）将大型语言模型与外部语料库进行事实关联，但对检索文档的隐式信任构建了一个关键攻击面：PoisonedRAG表明，少量精心构造的段落即可主导密集检索，并将生成内容引导向攻击者预设的答案。我们提出三层筛（Tri-Layer Sieve），这是一种中间件防御机制，通过三个正交过滤器对检索到的证据进行净化处理：基于独立评判模型的跨嵌入空间聚类、触发器-有效载荷结构件的结构化过滤，以及大语言模型一致性验证。该设计利用了检索阶段投毒的一个关键弱点：单个文档必须同时满足特定的嵌入几何空间、内部触发器-有效载荷结构以及生成目标——这三者极少能同时达成，这种脆弱性即使面对通过改写来规避的适应性攻击者依然存在。在使用Contriever检索器（k=50）的自然问题、HotpotQA和MS-MARCO数据集上，该筛将黑盒攻击成功率从67.0%/87.0%/64.0%降低至3.0%/14.0%/4.0%，在启用第三层时将白盒HotFlip攻击在自然问题上的成功率从约74%缓解至27.8%，并使投毒文档的平均倒数排名降至0.000，同时将受攻击下的干净准确率从13%–33%恢复至58%–76%。在架构感知攻击者（即通过改写触发器以规避结构化过滤器）的场景下，启用一致性层可使适应性攻击成功率减半（自然问题上从32.0%降至15.0%），并将干净准确率提高18个百分点，而在线检索下每查询的额外延迟仅为约16–19秒。

## 1引言

大型语言模型受限于其参数化记忆：无法持续更新，会产生看似合理但错误的陈述，并且难以处理特定领域的知识。检索增强生成（RAG）通过在推理时检索外部语料库来将输出建立在事实基础上，从而解决了这一问题，目前已成为知识密集型搜索、开放域问答和企业部署的事实标准架构。

这一优势引入了相应的安全缺陷：RAG系统在推理时消耗可变的外部数据，默认将每个检索到的段落视为可信。Zou等人（2025年）的PoisonedRAG研究证明，这种隐式信任可以被利用——仅需向MS MARCO或维基快照等语料库中插入五份精心构造的文档，就足以主导密集检索并迫使模型生成攻击者选定的虚假信息，即使模型在参数化知识中确实知晓正确答案。后续工作扩展了该威胁模型，涉及干扰、智能体记忆投毒、后门触发器以及基准测试，确立了检索阶段投毒作为一种独特且防御不足的攻击面。

现有防御措施不足，原因有二。首先，事实验证和幻觉检测方法作用于生成的输出，而非检索证据的完整性，因此无法阻止PoisonedRAG所利用的“检索主导”。其次，针对投毒检索的防御措施——信任加权评分、经过认证的隔离-聚合解码以及查询改写——各自仅解决投毒文档必须满足的一个约束条件，并且在对复杂查询进行激进调优时，可能会严重损害实用性。

我们认为，检索阶段投毒之所以成功，正是因为攻击者必须同时满足多个不同的目标——在特定编码器下的密集检索相似性、检索优化的*触发器*与生成优化的*有效载荷*在文档内部的共存、以及相对于大语言模型参数化知识的事实合理性——而防御措施应利用这种多目标脆弱性，而非仅检测表面特征。

贡献。我们提出*TRIS*（三层检索完整性筛），这是一种中间件防御机制，它在检索器和生成器之间拦截检索到的文档，并应用三个正交过滤器：跨嵌入空间聚类、结构性触发器-有效载荷检测，以及大语言模型一致性验证——每个过滤器分别针对检索阶段成功投毒必须同时满足的三个约束条件之一。在使用Contriever检索器的自然问题、HotpotQA和MS-MARCO数据集上对抗PoisonedRAG攻击套件时，TRIS在自然问题和MS-MARCO上将黑盒攻击成功率降低了一个数量级，同时比受攻击基线恢复了41–45个百分点的干净准确率，并在MS-MARCO上优于TrustRAG；在公平的操作点上，它与TrustRAG和RobustRAG具有竞争力而非主导优势，且验证成本显著更低。我们进一步贡献了逐层消融分析、一个隔离第一层嵌入几何的消融实验，以及对在线检索和强制首名最坏情况下的架构感知适应性攻击者的经验评估。我们交替使用TRIS和三层筛这两个术语。

## 2背景与相关工作

### 2.1检索增强生成

RAG通过非参数化记忆增强大语言模型：查询q由f_Q进行嵌入，然后通过s(q, d) = sim(f_Q(q), f_D(d))从语料库D中检索出top-k文档，随后大语言模型基于该证据进行条件生成。像DPR和Contriever这样的密集检索器现在已成为标准。RAG提供了比纯参数化大语言模型更强的事实性，但它默认信任检索到的证据，从而打开了新的攻击面。

### 2.2知识投毒攻击

传统数据投毒针对训练流程。检索阶段投毒是一种更新的威胁，仅需语料库访问权限。

##### PoisonedRAG.

Zou等人（2025年）首次系统性地展示了针对基于大语言模型的RAG的检索阶段投毒。每个投毒文档d_adv = S ⊕ I：一个检索优化的触发器S和一个生成优化的有效载荷I。黑盒S重复查询；白盒S通过HotFlip或通用触发器进行梯度优化。每个查询仅需五个投毒文档即可实现>90%的攻击成功率。

### 2.3现有防御

输出端方法在生成后检测不匹配，但无法防止检索主导。TrustRAG通过单一的学习信任评分进行重排序；在简单攻击上有效，在MS-MARCO上效果较弱。TRIS在架构上不同，而不仅是数值上：三个独立的现成检查，而非一个学习评分器，每个针对不同的约束条件，并针对明确的适应性分类法进行评估。我们精确界定了这种差异：第二层针对逐字和近重复注入——这是常见情况——而TrustRAG没有专门的结构化过滤器。在改写触发器的情况下，第二层对每个查询几乎不触发文档，TrustRAG更宽松的检查能捕捉更多，因此我们声称第二层针对常见攻击，而非作为改写防御。

RobustRAG给出了经认证的、抗k损坏的隔离-聚合解码，但严格的隔离会损害多跳查询上的干净准确率。查询改写仅带来边际帮助，因为密集检索器会将改写映射到相似的嵌入区域。困惑度检测会失败，因为大语言模型生成的有效载荷通常比真实网页文本*更*流畅。提示注入是相关但不同的：我们的有效载荷编码的是虚假事实，而非指令。

## 3威胁模型

我们考虑一个通过向其外部语料库注入对抗性内容来操纵RAG系统输出的攻击者。我们的威胁模型遵循Zou等人（2025年）的设定，并泛化到实际部署中常见的结构化和非附着化语料库。附录A中的图2为一个示例查询端到端地描绘了此攻击管道。

### 3.1系统与攻击者模型

一个RAG管道包括：（i）一个检索器M_ret，它将q嵌入并从语料库D中检索top-k文档；以及（ii）一个生成器M_gen，它基于D_k来生成其输出。生成器默认信任检索到的证据，这与在可变语料库上的生产部署一致。

攻击者可以（a）向D中注入文档；（b）构造对抗性触发器，以在M_ret下最大化与查询q*的相似性；以及（c）嵌入恶意的有效载荷，将y_adv表达为权威的百科全书式声明。这些能力实例化了Zou等人（2025年）的“分离-合并”构造：一份投毒文档将检索优化的触发器与生成优化的有效载荷拼接起来，分别优化检索主导和输出引导。

攻击者的目标是主导对q*的检索，覆盖大语言模型的内部知识，并诱导出与真实答案不同的定向输出y_adv。防御者（i）无法重新训练M_ret或M_gen，（ii）无法对D进行超出轻量级预处理的修改，并且（iii）必须作为中间件层运行——这些约束反映了已部署的企业环境。

### 3.2适应性攻击者

审稿人可能会合理地询问TRIS（第4节）是否能抵御了解它的攻击者。我们区分了四个适应性级别，其中评估的PoisonedRAG攻击属于第0级：

L0（静态）：攻击者不了解防御机制——PoisonedRAG黑盒和白盒攻击，这是我们评估的主要设置。
L1（架构感知）：攻击者知道部署了TRIS但不了解其参数，并可能改写而非重复查询q（击败第二层），并编写百科全书风格的有效载荷（削弱第三层）；第一层的几何检查仍然适用。
L2（评判器感知）：攻击者还知道评判器J，并联合优化在R中的排名和在J中的多数聚类成员资格——这是一个受两个空间几何独立性约束的合取关系，并被J的集成或轮换进一步复杂化。
L3（完全白盒）：攻击者还知道第二层的阈值和中间答案y_int，并必须构造一个与大语言模型认为同等合理、与y_int相矛盾的有效载荷。

我们现在对第1级进行经验评估；第2级和第3级仍仅为概念性的，弥合这一差距是我们评估中最重要的遗留限制。这项工作的一个核心主张（现在得到第1级的经验证据支持）是，要击败一个n层正交防御，攻击者必须在非对齐的目标景观中同时满足n个约束的合取，这显著扩大了攻击搜索空间，即使没有经过认证的界限。

### 3.3不在范围内

我们排除（i）训练集投毒，（ii）用户恶意的提示注入攻击，以及（iii）需要控制大语言模型权重的攻击。

## 4三层筛

三层筛是检索器与生成器之间的纵深防御中间件。其核心原则是：没有检索到的文档会被盲目信任；每个段落在到达生成器之前，最多经过三个正交过滤器的检查，其中第三个过滤器是自适应调用的，而非应用于每个文档。这三层分别针对检索阶段投毒必须同时满足的三个约束：检索侧的嵌入相似性、内部触发器-有效载荷的共存性，以及与参数化知识的事实一致性。

图1描绘了由此产生的管道。

图1：三层筛的高级架构。该筛位于检索器和生成器之间，拦截候选文档，并仅转发那些通过适用过滤器的文档（第三层自适应触发，而非对每个文档）。该防御无需修改检索器或大语言模型。

### 4.1第一层：基于模型多样性的语义聚类

投毒文档针对特定的检索编码器进行了优化，对抗性触发器优化也依赖于该编码器的梯度。第一层利用一个独立的、使用不同嵌入空间的评判模型来检测这种优化。