按实测端点分类的 RAG 保护研究综述：118 篇论文的证据地图

查看 PDF HTML（实验性）

摘要：检索增强生成（RAG）系统面临安全、隐私和版权风险，包括内容泄露、来源重建、未授权访问、数据投毒和提示注入。然而，RAG 保护研究使用的评估指标、数据集和威胁模型互不兼容。我们提出了一项系统性综述和人工编码证据图谱，涵盖 118 篇经全文确认的 RAG 防御论文，按测量端点而非声称目标或防御机制进行组织。我们的七类分类法涵盖内容披露、形式化隐私代理、访问控制与抑制、语料使用检测，以及流水线完整性与归因。三十二名标注者以 kappa=0.867 对论文进行双编码。该综述识别出三个空白。第一，检索重排序和上下文重写各自跨越五到六个端点类别，因此机制无法确定保护结果。第二，仅 17.8% 的研究以内容披露或重建作为主要端点；在冻结的版权/所有权关系标签下，73.3% 的记录以语料使用检测作为主要端点，且无一以输出表达为主要端点。第三，大多数评估使用通用问答数据集和非自适应攻击，而非敏感数据和自适应、多轮提取。我们的受控 RAG 测试平台表明，防止逐字复制并不能防止私有事实恢复：归一化 8-gram 防护将 20 词元复制降至 0.0%，但三查询自适应攻击者在 Qwen3-8B 上恢复了 48.3% 的隐藏事实。我们发布分类法、数据集、编码协议和测试平台，以实现可比较、与声明对齐的 RAG 安全评估。

提交历史

来自：Peiyang Liu [查看电子邮件]
[v1] 2026 年 10 月 21 日星期三 06:17:23 UTC（457 KB）