Micro-Collaborative Poisoning: A Distributed Attack on RAG Systems

📄 arXiv: 2609.21573v1 📥 PDF

作者: Pedro Pereira, Eva Maia, Isabel Praça

分类: cs.CR, cs.AI

发布日期: 2026-09-18

备注: 19 pages, 3 images, 4 tables, conference: 31st European Symposium on Research in Computer Security (ESORICS) 2026, Workshop: 2nd Workshop on the Use of Large Language Models for Cybersecurity

💡 一句话要点

提出微协作中毒攻击以解决RAG系统的安全问题

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 中毒攻击 检索增强生成 分布式攻击 对抗信号 安全性

📋 核心要点

  1. 现有的RAG系统在依赖外部知识源时，容易受到中毒攻击的威胁，尤其是集中式的恶意内容。
  2. 论文提出微协作中毒攻击，通过将虚假信息分散到多个可信文档中，增加了攻击的隐蔽性和有效性。
  3. 实验结果显示，微协作中毒攻击在多种RAG配置下均能有效影响生成结果，且其影响难以通过单一文档检测到。

📝 摘要（中文）

检索增强生成（RAG）通过将输出与外部知识源结合来提升大型语言模型的性能，但这种依赖性也为中毒攻击提供了切入点。本文提出了微协作中毒攻击，这是一种分布式攻击方式，将虚假目标声明分散到多个局部可信的文档中，而不是集中在单个恶意段落中。通过对108种RAG配置进行评估，结果表明微协作中毒攻击并非由单一主导的中毒段落驱动，而是通过从多个检索源累积的弱对抗信号实现的。增加top-k和中毒多个数据库会提高这些信号在检索上下文中同时出现的可能性，而干净数据库的多样性和更强的检索器则可以减少其影响。

🔬 方法详解

问题定义：本文旨在解决RAG系统在面对中毒攻击时的脆弱性，现有方法往往集中于单一恶意段落，容易被检测。

核心思路：提出微协作中毒攻击，通过将虚假信息分散到多个局部可信文档中，降低了攻击的可检测性，同时增强了对生成结果的影响。

技术框架：整体架构包括数据集选择、检索器架构、检索深度、数据库组成等多个模块，评估不同配置下的攻击效果。

关键创新：最重要的创新在于攻击策略的分散性，微协作中毒通过弱信号的累积实现影响，而非依赖单一强信号。

关键设计：在实验中，调整了top-k参数和中毒数据库的数量，发现多样化的干净数据库和强大的检索器能够有效降低中毒信号的影响。

🖼️ 关键图片

fig_0
fig_1
fig_2

📊 实验亮点

实验结果表明，微协作中毒攻击在108种RAG配置下均能有效影响生成结果，尤其是在增加top-k和中毒多个数据库的情况下，攻击效果显著。与传统的集中式中毒攻击相比，微协作中毒的隐蔽性更强，检测难度更大。

🎯 应用场景

该研究的潜在应用领域包括安全性较高的自然语言处理系统、信息检索和生成模型等。通过理解微协作中毒攻击的机制，可以为未来的RAG系统设计更强的防御策略，提升其安全性和可靠性。

📄 摘要（原文）

Retrieval-Augmented Generation (RAG) improves large language models by grounding outputs in external knowledge sources, but this dependency also creates a surface for poisoning attacks. This paper introduces Micro-Collaborative Poisoning, a distributed attack in which a false target claim is divided across multiple locally plausible documents instead of being concentrated in a single malicious passage. We evaluate the attack across 108 RAG configurations by varying dataset, retriever architecture, retrieval depth, database composition, number of poisoned databases, and generator model. The results indicate that Micro-Collaborative Poisoning is not driven by a single dominant poisoned passage, but by the accumulation of weak adversarial signals across retrieved sources. Increasing top-$k$ and poisoning multiple databases make it more likely that these signals will appear together in the retrieved context, while clean database diversity and stronger retrievers can reduce their influence. The document-level poisoning visibility analysis further shows that this threat is difficult to expose through isolated document inspection, since Micro-Collaborative Poisoning achieves downstream influence while leaving a weaker explicit poisoning signature than direct poisoning.