RAGSieve、検索結果自体を基準にした二層フィルタリングでRAGポイズニングの成功率を67.4%から14.0%に低減

新たに公開されたRAGSieveは、RAGのナレッジポイズニング対策をクエリ時とインデックス時の二層に分ける。中核となる考え方は、文書内容の真偽を判定することではなく、攻撃者がランキングを引き上げる過程で残した局所的な統計異常を見つけることだ。オンラインモジュールのRSQは、各検索で上位20件の文書を取得し、実際にジェネレーターへ渡される上位5件を、6位から20位までで構成されるクエリ固有の参照テールと比較する。同時に、回答アンカーの集中度、文字体系の整合性、局所言語モデルのsurprisal、文書とクエリのアラインメントにおける急激な変化を測定する。

一方、オフラインモジュールのRSGは、クエリを使用せずにインデックス全体を走査する。各文書について、意味的には近いものの語彙が異なる近傍文書を探し、局所密度の増加をその近傍自体のベースラインと比較する。これにより、コーパスごとに異なるグローバル類似度しきい値が必要になる問題を回避する。両モジュールとも検査対象のシステム自体から参照基準を構築するため、既知のクリーンな外部コーパスを必要としない。

NQ、HotpotQA、MS MARCOに、BGE-M3、E5-large-v2、MiniLM-L6-v2と6種類のポイズニング手法を組み合わせたテストでは、RSQのマクロ平均AUROCは95.2%だった。クリーンな文書の除去を最大5%まで許容する予算下で、悪性文書の82.2%を検出した。RSGはそれぞれ93.3%と79.8%を達成した。二層を直列に適用すると、攻撃成功率は防御なしの67.4%から14.0%へ低下し、ポイズニングされていない検索における回答F1は42.1から41.3へわずかに低下した。コストとして、RSQはクエリごとに平均約447ミリ秒のレイテンシーを追加する。RSGが約12万8,500件の文書を走査するのに要する時間は46.54秒だった。

これはファクトチェッカーではない。正当な文書であっても、特定の回答を集中的に繰り返していれば隔離される可能性がある。また、流暢に書かれた単一の悪性文書ではRSGが必要とするグラフ密度が形成されないことがあり、大量の悪性文書がすでに6位から20位に入り込んでいれば、RSQの参照グループも汚染される。公開リポジトリには、MIT Licenseの実装、テスト、3つのコーパス、小規模なデモが含まれているが、完全な攻撃セットと生の結果ファイルはすべて公開されているわけではない。導入者は次の段階として、自社インデックスにおける誤検知のコストに応じてオンラインとオフラインのしきい値を調整し、検出器を標的とする適応型攻撃のテストも追加すべきだ。