在嵌入空间中游走：从多模态 RAG 中提取数据存储

一篇 arXiv 论文提出名为 immrag 的自适应自动数据提取攻击，针对“图像返回式”多模态 RAG 黑盒场景。攻击把恶意指令嵌入用户输入的图像，而非文本提示，并将攻击者持有的影子图像与已恢复图像混合，按相关性加权重采样，引导后续查询走向仍能产出新结果的嵌入空间区域。在医疗、文档和通用三类场景中，单次 2500 次查询最多重建 611 张放射图像、566 份文档扫描件和 416 张通用图像。

此前的数据提取攻击主要把恶意指令放在文本提示里，而这套方法把指令藏进输入图像，使仅审查文本的防御手段可能失效。它直接针对检索结果即最终答案的 MRAG 配置，并给出跨多个 CLIP 系列检索器的量化重建结果，把多模态 RAG 的隐私风险从假设变为可测量。

MRAG 将外部图像库的嵌入向量作为检索目标，返回的图像本身就是响应。攻击者以已获取图像和影子图像混合后查询，根据与查询的相关性对候选结果重采样，逐步探索嵌入空间中尚未覆盖的区域，从而在不知道数据存储内容的情况下逼近原始数据分布。指令藏在图像内，绕过了以文本为入口的过滤。

使用图像库做检索增强的产品需要重新评估风险：检索接口若返回原图，就等于把数据存储的可探索面暴露给外部。研发上需考虑对返回内容做扰动、限制单会话查询频率、对相似查询序列做异常检测，并在图像输入侧增加指令注入检测，否则私有图像库可能被逐步重建。

• 为多模态 RAG 服务加入查询级限速与相似度去重，限制单会话可获得的新图像数量
• 在返回图像前加入不可感知扰动或降质处理，降低重建后的可用性
• 对图像输入做指令注入检测，识别图像中嵌入的文本指令
• 针对医疗影像等敏感场景，评估是否需要禁止直接返回原始检索图像

• 该攻击在真实生产 RAG 系统上的成功率和对防御措施的鲁棒性尚未确认
• 论文给出的重建数量基于本地特征对应判定，是否等于原图精确泄露仍需核实
• 除 CLIP 系列外的检索器与生成器组合是否同样受影响未知
• 防御手段（限速、扰动、注入检测）的实际有效性未在证据中说明