该论文关注的是一种此前被忽视的攻击面：GraphRAG（图增强检索生成）流水线在离线索引阶段会生成大量「辅助结构」，包括语义摘要、层级边以及预计算的评分/排序结果，这些产物并不属于原始知识图谱的实例数据，却在查询时直接决定检索的优先级与召回路径。作者指出，既有针对 GraphRAG 的攻击研究几乎全部聚焦于实例级组件（节点、边、三元组）的投毒或篡改，而系统自动生成的「模式层/辅助层」实体长期处于无人审视的状态。论文首先将这类对象形式化为一个新的攻击面——Auxiliary Schema-Level Entity（辅助模式层实体），并提出 3S 框架（Semantics 语义、Structure 结构、Scoring 评分）来系统化地分析其可被操纵的三个维度。在此基础上，作者设计了 Hop-Decayed Influence（HDI）方法：通过查询感知的影响力传播来定位对下游问答影响最大的高价值目标，并在索引完成之后（post-indexing）对这些目标的辅助结构进行篡改。实验覆盖两个基准数据集（HotpotQA、2WikiMultiHopQA）与两种架构（Microsoft GraphRAG、HippoRAG2），报告的攻击成功率在 88%–94% 之间，而实际被修改的辅助结构占比低至 0.016%。作者提出 Schema Leverage Ratio 来衡量放大效应：单次修改平均可影响多达 6.00 个查询，形成实例级攻击不具备的 1:N 放大能力。此外，由于被篡改的内容本身就是系统生成的、语言上连贯自然的产物，它们能够以超过 99% 的比例规避基于困惑度（perplexity）与改写（paraphrase）的检测手段。论文的核心结论是：当前 GraphRAG 防御体系对辅助模式层实体给予了未经运行时验证的隐式信任，构成一个结构性盲区；作者同时公开了一个代码仓库以支撑后续研究复现。

该论文研究检索增强生成（RAG）系统在「集合级」投毒场景下的新型脆弱性。传统观点认为 RAG 通过聚合多篇外部文档来提升答案可靠性，但作者指出：这种联合整合本身会引入一个被忽视的攻击面——单篇文档各自看起来都合理无害，但把它们作为整体一起送入上下文时，却会共同把模型输出导向攻击者预设的目标答案。作者将这种现象形式化为「集合级组合投毒」（set-level compositional poisoning）：构造出的文档集合需满足两个条件，一是整集合能稳定地让 RAG 输出目标答案，二是该集合的任何真子集都无法单独诱导出目标答案，从而保证隐蔽性。 为验证该威胁的可实现性，作者提出 LENS 框架，采用生成器黑盒（generator-black-box）的多智能体架构，把投毒构造成一个「受约束的证据组合」问题：将目标推理分解为查询条件化的「解释透镜」（interpretation lens）与互补事实（complementary facts），再通过嵌套双循环工作流，把诱导性集中在完整集合上，同时抑制子集泄漏。外层循环负责规划解释透镜与语义角色，内层循环负责合成文档并进行反例引导的修复。 实验在四个基准、三个生成器上进行：返回文档包的整体 ASR 达 0.852，检索后 ASR@5 达 0.784，而最强的真子集仅达 0.069；在同等的冻结清单下，相较构造类基线，全尝试 E2E-Strict@5 从 0.244 提升到 0.363，相对提升 48.8%。盲测人工审计显示 68.3% 的返回文档包同时具备「错误目标答案」「明确的答案判定标准偏移」「在原语义下无目标蕴含」三个特征。在四种已发表的防御方案下，LENS 仍取得最高的防御后 ASR@5，平均超出最强基线 0.141。 论文的结论是：证据组合本身应被视为 RAG 的一个独立安全边界，而 LENS 可作为面向「集合级推理防御」的压力测试基准。适合 RAG 系统架构师、LLM 安全研究者、以及安全评估与红蓝对抗团队阅读。

本文关注检索增强生成（RAG）系统中的语料投毒威胁：由于 RAG 会把外部语料检索后拼接进 LLM 上下文，攻击者只需向知识库注入少量文档，就可能操纵模型对特定问题的回答。此前针对开放域问答的多段落投毒研究，普遍把同一个目标论断反复写入风格相近的文档里，结果是这些毒化段落在词汇与语义上高度相关，在嵌入空间中形成密集簇，相似度过滤、聚类检测以及冲突感知的防御能够据此联合识别并把它们一起压制。作者提出 DnD（Divide and Doubt）攻击，基于两条设计原则来规避这类防御：第一，把对目标答案的支持分散到一批行文风格、体裁、表述方式差异很大的段落中，使毒化文档的表征在嵌入空间中彼此分散，破坏基于相似性或聚类的聚合检测；第二，额外加入一段对“参考答案”所依赖证据提出质疑的内容，当检索器同时召回多篇毒化段落时，这种制造怀疑的文本会削弱模型对原始正确证据的信任，进一步推动其采纳攻击者设定的目标答案。作者在两个开放域问答数据集、三种主流 LLM 以及九种不同的 RAG 配置上开展系统评估，覆盖检索器的黑盒与白盒两种访问假设。实验表明，DnD 在绝大多数配置下达到或超过此前方法的攻击效果，并且在面对聚类感知与冲突感知防御时增益最为明显，说明现有 RAG 防御对“风格多样性投毒”与“证据可信度操纵”的组合缺乏有效的对抗手段。核心贡献在于提出了分散支持与制造怀疑相结合的投毒范式，并系统量化了它对当前 RAG 防御体系的有效性，为后续鲁棒性研究指明了新的盲区。

检索增强生成(RAG)通过将大模型输出锚定在外部知识源上提升事实性，但这一依赖也使知识库本身成为投毒面。本文提出 Micro-Collaborative Poisoning(微协作投毒)，一种分布式投毒范式：攻击者不再把虚假目标主张集中写入单篇恶意文档，而是将其拆解、分散到多篇各自看起来局部合理、可独立通过人工审阅的文档中。这样任何单一文档都不足以构成明确的投毒证据，但当检索器返回的上下文被拼接在一起时，碎片化信号会汇聚成对目标主张的支撑。作者在 108 种 RAG 配置上做了系统评测，变量涵盖数据集、检索器架构、检索深度(top-k)、数据库组成、被投毒数据库的数量以及生成模型。结果表明，此类攻击的成败并不取决于某个占比突出的恶意段落，而取决于从多个被检索来源累积的弱对抗信号；提高 top-k、投毒多个数据库会显著增加这些信号同时出现在上下文中的概率，而干净数据库的多样性以及更强的检索器则能削弱其影响。论文还开展了文档级投毒可见性分析，发现该攻击能在留下较弱显式投毒特征的前提下影响下游生成结果，因此难以通过逐篇文档的孤立审查发现。该工作把 RAG 投毒从单点注入问题扩展为分布式、跨文档的协作问题，对 RAG 系统的检索策略、知识库治理与审计方法提出了新要求，适合安全研究、SOC 与 RAG 工程团队阅读。

本文研究检索增强生成（RAG）系统的语料库投毒威胁。现有针对 RAG 的投毒攻击大多属于「单点显式注入」，即把恶意载荷完整封装在单一文档中，因此近年出现的缓解机制能够较有效地识别并削弱这类威胁。作者首先通过实验验证：面对「间接逻辑诱导」这一类新威胁，现有缓解机制并不充分。据此提出 InceptionRAG，一种颠覆传统攻击范式的隐蔽机制：不再注入任何显式恶意载荷，而是将其拆解为一连串处于「休眠」状态的独立段落。这些段落单独检视时显得完全无害，可绕过现有防御；但当它们在检索阶段被同时召回并拼装进同一上下文时，会诱导 LLM 通过多跳推理「自行推导」出攻击者预设的错误结论。为提升在黑盒场景下的适用性，作者提出零阶后缀优化（ZOSO），用于自动生成带有权威外观的文档后缀，从而增强召回与说服效果。在三个数据集与三个大语言模型上的评测表明，即便处于严格的对抗约束下，攻击成功率仍超过 80%；尤其在规避能力上表现突出，可有效绕过针对单文档注入的既有防御。研究揭示了一个令人担忧的悖论：LLM 推理能力越强，反而越容易被基于推理的投毒所利用。为缓解该风险，作者同时提出基于文档隔离思想的防御方案 HODOR，通过解耦对抗性的逻辑依赖来阻断此类攻击链。本文属于攻击-防御对照研究，适合 RAG 系统架构师、AI 安全研究员与红蓝对抗团队阅读。

该论文研究的是多源 LLM Agent 输入场景下的"片段级投毒"（segment-level poisoning）检测与定位问题。现代 LLM Agent 通常把检索到的文段、用户评论、外部文档等多来源内容聚合成一个 prompt，攻击者只要控制其中少量来源，就能注入恶意片段来操纵模型输出。作者指出，现有防御主要依赖文本模式匹配、外部嵌入模型或额外的辅助检测器，面对措辞流畅、语义上也说得通的投毒片段时容易失效，而且基本无法指出到底是哪一段被污染，缺少溯源能力。论文的核心观察是：成功的 corrupted-evidence（污染证据）与 adversarial-instruction（对抗指令）攻击会在 LLM 内部激活中造成结构化的偏移，形成一种一致的激活空间模式，作者称之为 poison direction（投毒方向）。基于此提出 ActProbe 框架：把 MLP 激活投影到学习得到的 poison direction 上，并用在一个小型校准集上训练的轻量线性 SVM 来判定整个 prompt 是否被污染；随后用 BinRoL 完成片段定位，它结合了递归替换消融、基于 Mahalanobis 距离的分支剪枝以及基于 MAD 的鲁棒叶子检测三种手段。ActProbe 不需要修改后端模型，并把定位开销从 O(n) 的穷举探测降到 O(k log n) 次前向传播。实验覆盖三个数据集、两种攻击和四个开放权重 LLM，达到 0.01 的误报率、0.05 的漏报率、0.94 的定位召回率和 0.90 的定位 F1 值；对防御感知的自适应攻击仍然有效，并可通过代理模型（surrogate）迁移，为黑盒 API 场景提供投毒片段移除能力。总体上，这是一篇把可解释性/内部状态分析用于 Agent 输入完整性防护的工作，适合 RAG 与 Agent 安全方向的研究者和防御工程师阅读。

该论文研究检索增强生成（RAG）系统中的知识投毒风险。RAG 通过外部证据为大型语言模型（LLM）的输出提供依据，提升事实性，但同时也把外部知识库变成了攻击面。既有代表性攻击通常需要注入多篇文档，或使用直接断言目标答案的模板化文本，成本和可检测性较高。作者提出 ToxicRAG，一种“每个目标仅需一篇文档”的单次知识投毒攻击，其核心思路是把虚假信息包装成连贯的“知识更新”叙事：文档首先承认此前被广泛接受的答案，然后引入虚构事件使该答案看似已经失效，最后把攻击者选定的答案归因于一组所谓的权威来源，从而让投毒内容在语义上更自然、更像正常的知识演进。ToxicRAG 还包含一个可选的、以答案为中心的自验证循环：当代理语言模型无法复现目标答案时，攻击者据此修订候选文档，直至其更可能诱导受害者模型给出目标答案。实验方面，作者在 Natural Questions、HotpotQA 和 MS-ARCO 三个数据集上各取 100 个目标问题，使用 4 个受害 LLM 和 4 种稠密检索器，共 12 个数据集—模型组合。在论文所报告的采样语料设置下，ToxicRAG 的攻击成功率（ASR）介于 0.61 到 0.91 之间，并且在每一个组合中都达到或超过评估中最强的基线，领先幅度为 0 到 11 个百分点。论文的主要贡献在于：证明叙事形式的单文档投毒在受评估的 RAG 配置下仍具有显著影响力，揭示 RAG 在事实一致性和来源溯源方面的脆弱性，并呼吁进一步研究相关防御机制。适合 RAG 系统研发者、LLM 安全研究者与蓝队威胁建模人员阅读。

该论文关注现代信息检索（IR）系统中嵌入模型的安全隐患。嵌入模型通常作为API端点隐藏在系统后端，但已有研究表明密集IR系统可能遭受嵌入反转攻击（即从检索结果反推输入文本或嵌入向量）。然而，此类攻击通常假设攻击者已知嵌入模型的具体细节（白盒场景）。本文首次提出一种在黑盒场景下的嵌入推理攻击（Embedding Inference Attack, EIA），该攻击仅观察到检索结果的文档集合（无序、无排名、无相似度分数），旨在识别系统背后使用的是哪一种嵌入模型。论文的核心方法是构造一组区分性查询：对于候选的已知嵌入模型集合，通过分析检索结果集合的差异，推断出实际使用的模型。实验表明，即使系统引入了重排序器（reranker）作为防御，部分查询仍能保持区分性。该攻击进一步在真实的检索增强生成（RAG）系统中得到验证——通过巧妙构造的查询，可以绕过大语言模型（LLM）对非标准输入形式的拒绝响应，成功实施模型推理。此外，论文探讨了防御策略，如设置相似度阈值来过滤部分检索结果，并评估了有效性。本研究的贡献在于：揭示了嵌入模型被黑盒推断的风险，提出了低成本的攻击方法，并验证了在RAG系统等实际场景中的可行性，为后续安全设计提供了参考。适合关注LLM/IR系统安全的研究人员、蓝队工程师以及RAG系统开发人员阅读。

该论文提出了 SentinelRAG，一种用于保护专有 RAG（检索增强生成）数据库版权的数字水印框架。现有水印方法存在两个主要问题：一是通过在真实实体之间注入虚假关系来污染知识库，从而引入错误信息；二是嵌入的脆弱词汇模式容易被对抗性改写删除。SentinelRAG 的核心思想是在 RAG 数据库中嵌入风格一致但虚构的知识条目。这些虚构知识描述的是不存在的实体，合法用户查询时几乎不会被检索到，但数据所有者可以通过仅自己知道的特定目标探针可靠地触发检测。实验在四个文档数量从 2.9k 到 8.8M 不等的数据集上进行，结果显示，在仅 0.1% 的注入率下，SentinelRAG 在所有测试配置中均实现了统计显著的检测（p < 10^-5）。与现有技术相比，该方法显著降低了误检率，同时几乎不影响合法用户的查询。该工作为保护知识产权提供了一种新的思路，尤其适用于使用外部数据库的 LLM 应用场景。

该论文研究了检索增强生成（RAG）增强的大型语言模型（LLM）系统面临的推理成本攻击（ICA）问题。RAG系统通过多阶段流水线动态检索并合成外部知识，虽然提升了性能，但也带来了高昂的推理成本。现有ICA攻击通常假设可以直接操纵提示，这在实践中难以实现。作者认为，通过投毒外部知识库（如互联网上的网页知识）是一种更可行且更具威胁的攻击方式。为此，他们提出了一种新的攻击范式——检索增强推理成本攻击（RA-ICA），通过向外部知识语料库注入恶意文档来大幅增加RAG系统的推理计算成本。为实现该攻击，设计了CREEP（Computational Resource Exhaustion via External Poisoning）框架，该框架利用LLM代理自动生成既在语义上与查询相关、又能导致推理阶段token消耗异常增加的恶意文档。为了提升攻击效果，还提出了一种新的强化学习算法MA-GRPO（Memory-Augmented Group Relative Policy Optimization），通过从历史最优对抗文档的动态记忆中学习来微调攻击代理。在三个真实数据集上的大量实验表明，RA-ICA能够将token消耗提升高达13.12倍，成功率超过90%，同时不损害生成答案的完整性。该研究揭示了RAG系统在推理成本方面的新安全漏洞，对部署RAG服务的组织具有重要警示意义。

该论文针对检索增强生成（RAG）系统在动态网络搜索场景中易受对抗性攻击的问题，提出了一种名为RADAR的动态防御框架。现有静态防御方法难以应对不断演变的攻击模式，且在动态环境中存储成本过高。RADAR将可靠的上下文选择建模为基于图的能量最小化问题，并通过最大流最小割定理精确求解。框架引入贝叶斯记忆节点，递归更新信念状态而非存储原始历史文档，从而在抵御攻击的稳定性与适应真实知识变化之间取得平衡。实验在作者构建的动态数据集上进行，结果表明，与基线方法相比，RADAR在鲁棒性和响应质量上均表现更优，且存储开销极小。该工作主要贡献在于：1）首次将RAG的上下文选择形式化为能量最小化问题；2）提出动态信念更新机制，避免历史文档的冗余存储；3）设计动态评估数据集，更贴近实际应用场景。适合从事LLM安全、对抗性机器学习的从业者阅读。

本文针对检索增强生成（RAG）系统中的数据泄漏风险展开系统研究。RAG技术通过让大语言模型（LLM）利用外部知识库来提升回答质量，但同时也将宝贵的RAG数据库暴露于泄漏攻击之下。随着RAG系统日益复杂，LLM的指令遵循能力不断增强，现有研究缺乏对RAG泄漏风险的系统评估。为此，作者提出了LeakDojo——一个可配置的基准测试框架，用于在受控环境下评估RAG泄漏风险。利用LeakDojo，他们在14种LLM、4个数据集及多种RAG系统上对6种现有攻击进行了基准测试。主要发现包括：（1）查询生成和对抗指令对泄漏具有独立贡献，整体泄漏近似为两者的乘积；（2）更强的指令遵循能力与更高的泄漏风险相关；（3）提升RAG的忠实度反而可能引入更大的泄漏风险。这些发现为理解和缓解实际RAG泄漏提供了可操作的见解。代码已开源。