RAGuard：面向检索增强生成系统的分层防御框架，抵御数据投毒

arXiv AI 发表论文提出 RAGuard，一种针对检索增强生成系统的分层防御框架，用于抵御语料投毒攻击。第一层对抗微调检索器使其降低恶意文档排名，第二层 ZKIP 过滤器通过留一法解码和语义偏移评分将攻击成功率在实验中降至 0.000，同时保持召回率接近干净语料基线。防御代价为每个查询额外 5 次生成器调用（k=5 时）。

此前 RAG 系统易受语料投毒攻击，缺乏有效且实用的防御手段。RAGuard 无需攻击标签或模型内部访问，即可将攻击成功率降至近乎零，同时保持检索质量，为生产环境提供了可落地的安全方案。

对抗微调使检索器学习识别并降权包含虚假事实、矛盾或推理陷阱的合成有毒文档；ZKIP 利用留一法比较移除每个文档前后生成输出的语义变化和熵值，据此判别恶意文档，无需标签或真实答案。

部署 RAGuard 需在每个查询上执行 k+1 次生成器调用（k 为检索数），计算成本增加约 5–6 倍；可通过批处理和早停近似降低开销。同时能显著提升 RAG 产品对恶意投毒攻击的鲁棒性，避免输出被操纵。

• 将 ZKIP 作为可选安全模块集成到 RAG 管线，允许用户按查询/文档级别开启防御。
• 开发基于 RAGuard 的 RAG 系统安全审计服务，评估现有语料投毒风险并提供加固方案。
• 利用对抗微调技术生成合成投毒样本，用于训练更鲁棒的检索器，可在公开 API 上作为增值功能。

• 论文实验仅在 Natural Questions 和 NFCorpus 数据集上进行，在更复杂、多语言或特定领域语料上效果如何？
• ZKIP 的 6 倍生成开销在大规模实时查询场景下能否通过工程优化降至可接受水平？
• 该防御框架对非事实性投毒（如隐蔽偏见、逻辑链污染）是否同样有效？
• 论文未经同行评审，其结论和复现性有待进一步验证。