RAG-NAROK：感知检索的 RAG 知识语料投毒与来源特定反驳

一篇 arXiv 论文提出 RAG-NAROK 框架，针对 RAG 检索流程中动态上下文这一此前较少被探索的脆弱面。该方法先提取合法来源名称，再生成“锚点特定反驳”文档，点名贬低被检索来源，并利用时效与权威偏好把生成结果导向目标答案。论文称其在多个领域显著优于静态投毒基线，显示 RAG 透明度与 AI 安全之间存在张力。

此前的知识库投毒攻击是静态的：对抗文档被预先算好并注入，不关心受害系统实际会检索到什么，因而对生成器上下文里的其他文档竞争一无所知。该工作把攻击改为随查询文本自适应，说明仅靠检索透明度和传统静态防御可能不足。

RAG 依赖动态检索管线把外部知识拼入生成器上下文，管线的透明度使攻击者可先探测合法来源身份，再生成点名反驳这些来源的文档。这类文档利用生成模型对时效性和权威性的偏好，在上下文窗口中压过真实来源，从而把输出导向目标答案。

对采用 RAG 的产品团队，这意味着知识库准入、来源可信度和检索结果排序需要纳入对抗审查：仅校验文档是否相关已不够，还要检测文档是否点名贬低其他来源、是否异常强调时效或权威。检索链路的可观测性可能从调试功能变成安全与合规的必需能力。

• 在 RAG 检索与生成之间加入来源一致性检查，对点名贬低其他来源的文档降权或隔离
• 为知识库入库流程增加对抗文档审核规则，标记异常强调时效与权威的文本
• 向企业客户提供 RAG 投毒检测与红队测试服务，验证其检索管线的抗操纵能力
• 在检索结果中保留来源身份与冲突提示，让终端用户看到答案所依据来源被质疑的情况

• 论文的完整实验设置、数据集与静态基线对比细节尚未在给定证据中呈现
• RAG-NAROK 在真实生产规模 RAG 系统上的成功率与成本未知
• 现有防御手段（如来源交叉验证、文档来源签名）对该攻击的实际拦截效果未经证据确认
• 该攻击是否适用于所有 RAG 架构，还是仅限具备特定透明度特征的管线，尚不明确