Google 论文研究 RAG 检索层语料投毒：复制查询即可劫持检索
Google 新论文测试 RAG 检索层投毒，发现伪造文档只需复制用户查询文本就能被检索器选中，是否附带隐藏攻击指令对检索结果影响很小。在 623 条查询上，仅 5 篇文档（约占语料 0.1%）就让经典检索器排序质量下降 40.2% 至 61.5%。能拦截查询复读文档的过滤器虽可阻断攻击，但在 NFCorpus 上把干净排序质量从 0.267 砍到 0.134。
Rohan Paul· @rohanpaul_ai · X·2026-11-06 02:24· 55 分钟前AI 评分55
AI 导读
Google 论文测试 RAG 系统的检索层投毒，发现攻击关键在于让伪造文档复制用户查询文本，是否附带隐藏攻击指令对检索结果影响很小。
正文 · 原文
Google 关于 RAG 投毒的新论文。
表明对 RAG 系统投毒主要取决于复制查询，因为添加攻击载荷几乎不会改变哪些文档被检索到。
伪造文档只需重复用户的问题，就能被先检索再作答的 AI 系统选中，而添加隐藏攻击指令几乎不会改变这一点。
RAG 系统从外部有时可以写入的来源中拉取文档。在任何隐藏指令生效之前，被投毒的页面首先必须通过检索器。
对于每个测试查询，他们最多添加 5 篇重复其文本的文档，无论是否附带攻击载荷。他们在 623 个查询上测试了经典关键词检索器和语义检索器，以及稠密嵌入模型 BGE-small。
仅 5 篇文档，约占语料的 0.1%，就将经典检索器的排序质量降低了 40.2% 到 61.5%。一个拒绝回显查询文档的过滤器阻止了它们，但在 NFCorpus 上将干净排序质量减半，从 0.267 降至 0.134。
如果你的 RAG 索引接受外部内容，请标记那些镜像用户查询的文档，并同时衡量任何过滤器在干净查询上的成本。
来源：Rohan Paul · x.com
来源：RadarAI · aihot.news