検索拡張生成を狙う多様な文書による汚染攻撃
Divide and Doubt: Diverse Distributed Poisoning for Retrieval-Augmented Generation
この論文をやさしく読む
ひとことで言うと
RAG の検索文書を汚染する攻撃で、似た偽文書を繰り返す代わりに多様な文体と疑念を使う効果を評価した。
何に役立つ？
RAG の防御が、似た文書の検出だけで十分かを評価する際の脅威モデルになる。報告された結果は指定の質問応答データ、モデル、構成での実験である。
この研究の面白いところ
狙った答えの支持を異なる文体に分散し、正しい答えの根拠に疑いを向ける文書を組み合わせた。
どこまで分かった？
成功率などの具体的な数値は要旨に記載されていない。ほかの RAG システム全般への効果は断定できない。
v1のアブストラクトに基づくAI解説。日本語訳とは別に、用途の解釈を含みます。
アブストラクトの日本語訳
複数の文書を汚染する攻撃では、一つの狙った主張を似た文書で繰り返すことが多く、語彙や意味のパターンが相関するため、類似性や矛盾を調べる防御によって一括して抑えられる場合がある。本研究は、Divide and Doubt、略して DnD と呼ぶ標的型の攻撃を提案する。原理は二つあり、狙った答えを支える情報を文体の異なる文書断片に分散させ、正しい参照答案の証拠に疑問を投げかける断片も含める。前者は汚染した断片の表現を埋め込み空間で散らし、後者は複数の汚染断片が検索されたときに標的の答えが採用されやすくする。二つのオープンドメイン質問応答データセット、三つの大規模言語モデル、九つの検索拡張生成 RAG 構成で評価し、検索器へのブラックボックスアクセスとホワイトボックスアクセスの両方を調べた。これらの設定の大半で、DnD は先行攻撃と同等かそれ以上の効果を示し、とくにクラスタリングと矛盾を考慮した防御に対して改善が大きかった。
v1の要旨から自動生成。本文の精読・人による確認は未実施。
- 初稿
- 2026-09-22（UTC）
- 最新改訂
- 2026-09-22 · v1
- 査読・掲載
- 査読状況未確認
更新履歴
- v1 2026-09-22 この版を読む
取得できた版を表示。版の更新は査読済みを意味しません。過去版の本文差分は未解析です。
原文の要旨
Multi-passage corpus poisoning often repeats one target claim across similar documents, creating correlated lexical and semantic patterns that similarity- and conflict-aware defenses can suppress jointly. We introduce DnD (Divide and Doubt), a targeted attack based on two principles: distributing support for the target answer across stylistically diverse passages, and including a passage that casts doubt on evidence for the reference answer. The first disperses poison-passage representations in embedding space, while the second strengthens target adoption when multiple poisoned passages are retrieved. We evaluate DnD on two open-domain QA datasets across three LLMs and nine RAG configurations, under both black-box and white-box access to the retriever. Across these settings, DnD matches or outperforms prior attacks in most configurations, with its largest gains against clustering- and conflict-aware defenses.
arXiv ID: 2609.27090 ／ 要約の誤りについて