論文の概要: RAGuard: A Layered Defense Framework for Retrieval-Augmented Generation Systems Against Data Poisoning

• arxiv url: http://arxiv.org/abs/2607.26339v1
• Date: Tue, 28 Jul 2026 23:21:04 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-07-30 21:06:25.495582
• Title: RAGuard: A Layered Defense Framework for Retrieval-Augmented Generation Systems Against Data Poisoning
• Title（参考訳）: RAGuard:データ中毒に対する検索拡張システムのためのレイヤ化された防御フレームワーク
• Abstract要約: 本稿では,パイプラインに対する擬似コーパス攻撃に対する層状防御であるRAGuardを紹介する。 第1層は、合成有毒文書(偽事実、矛盾、推論トラップ)に密集したレトリバーを微調整する。 2番目の層であるZeroKnowledge Patch ZKIPは、ラベルのないブラックボックスフィルタである。
• 参考スコア（独自算出の注目度）: 0.0815557531820863
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: Retrieval-Augmented Generation (RAG) systems ground large language models (LLMs) in external corpora, but this reliance exposes them to corpus poisoning: maliciously injected passages that manipulate retrieved evidence. We introduce RAGuard, a layered defense against \emph{factual} corpus-poisoning attacks on RAG pipelines. The first layer adversarially fine-tunes a dense retriever on synthetic poisoned documents (fabricated facts, contradictions, and reasoning traps), teaching it to downrank malicious passages before generation. The second layer, the Zero-Knowledge Inference Patch ZKIP, is a label-free, black-box filter: for each retrieved document, it performs a leave-one-out decode and scores the document by the semantic shift and output-entropy change that its removal induces. ZKIP requires no poison labels, no ground-truth answers, and no access to model internals; it compares the model's own answers under counterfactual contexts. On poisoned Natural Questions at 5--30\% poison ratios, adversarial retriever training alone reduces but does not eliminate attack success, while ZKIP drives the measured attack success rate to 0.000 in every defended configuration, keeping Recall@5 within 0.03 of the clean-corpus baseline. Supervised analyses on both Natural Questions and BEIR (NFCorpus) confirm that the counterfactual signals ZKIP relies on carry learnable poison structure. The defense costs $k{+}1$ generator passes per query ($6\times$ for $k{=}5$); we analyze batching and early-stopping approximations that reduce this overhead. We also show that keyword-preserving poisons leave lexical retrievers such as BM25 essentially unaffected, an observation that delineates the boundary of the threat model. Code, datasets, and evaluation harnesses are released for reproducibility.
• Abstract（参考訳）: Retrieval-Augmented Generation (RAG) システムは、大きな言語モデル(LLM)を外部コーパスに接地するが、この依存度はコーパス中毒に晒される。 本稿では,RAGuardについて紹介する。RAGuardは,RAGパイプラインに対するコーパス攻撃に対する層状防御である。 第1の層は、合成毒物(偽事実、矛盾、推論トラップ)の密集したレトリバーを逆向きに微調整し、生成前に悪意のある通路をダウンさせるように教える。 第2のレイヤであるZero-Knowledge Inference Patch ZKIPはラベルフリーのブラックボックスフィルタであり、検索されたドキュメントごとに、削除によって引き起こされるセマンティックシフトと出力エントロピー変化によって文書を復号化してスコア付けする。 ZKIPは、毒のラベルも、地味な答えも、モデル内部へのアクセスも必要としない。 5～30 %の毒比で有毒な自然質問に対して、敵対的レトリバーのトレーニングだけでは攻撃の成功を抑えることはできないが、ZKIPは防御された全ての構成で攻撃成功率を0.000まで押し上げ、Recall@5はクリーンコーパスベースラインの0.03の範囲に留まる。 自然問題とBEIR(NFCorpus)の両方に関する監視された分析により、ZKIPが学習可能な有毒構造に依存していることが確認された。 防御費用はクエリあたり$k{+}1$ ジェネレータパス ($k{=}5$) です。 また、キーワード保存毒は、BM25のような語彙的レトリバーが本質的に影響を受けていないことを示し、脅威モデルの境界を規定する観察結果を示した。 コード、データセット、評価ハーネスは再現性のためにリリースされている。

関連論文リスト

• Coverage Is Not Containment: A Fundamental Limit of Admission-Time Defenses Against Coordinated Poisoning of Vector Retrieval [0.0]
  Retrieval-augmented Generationは、ベクトルストアからのパスを取得し、それらをコンテキストとして信頼することで、質問に答える。 最近の、魅力的な防衛フィルターは、摂取時に毒を盛り、ハブのように振る舞う文書を拒絶する。 個々の文書を個別に注入するコーディネートされた敵に打ち負かされることを示す。
  論文  参考訳（メタデータ） (2026-08-17T03:18:51Z)
• DenialRAG: Single-Document RAG Poisoning via Embedded Parametric Denial [7.434105792757549]
  EmphDenialRAGは,正しい回答を明示し,それを否定し,攻撃者による説明を提示する単一文書中毒攻撃である。 DenialRAGは、コンフリクトを直接ジェネレータが見るコンテキストに埋め込む。 我々はDenialRAGを3つのオープンドメイン質問回答データセットにまたがる4つの単一文書中毒攻撃に対して評価した。
  論文  参考訳（メタデータ） (2026-08-02T20:33:05Z)
• TriShieldRAG: A Three-Ring Defense-in-Depth Framework Against Knowledge Corruption in Retrieval-Augmented Generation [1.5474833458331865]
  Retrieval-Augmented Generationは、クエリ時に外部の知識ベースから取得したドキュメントを使用して、大きな言語モデルが質問に答えることを可能にする。 知識ベースが複数の当事者からの書き込みを受け付けている場合、攻撃者は選択された間違った回答に向けてモデルを操縦するために、少数の敵対的文書しか必要としない。 PoisonedRAGは、これを実証した:5つの人工文書が、修正されていないシステムの解答を約90%ひっくり返す。
  論文  参考訳（メタデータ） (2026-07-26T20:52:23Z)
• SilentRetrieval: Hijacking Retrieval-Augmented Generation via Semantically-Preserving Adversarial Data Poisoning [1.0998907972211756]
  SilentRetrievalは2段階のデータ中毒攻撃で、RAGシステムを敵対的な文書でハイジャックする。 SilentRetrievalは84.6%/81.3% HR@10、57.5%/54.8% ASR-LLM on Natural QuestionsとMS MARCOを達成している。
  論文  参考訳（メタデータ） (2026-05-27T07:30:30Z)
• Cordyceps: Covert Control Attacks on LLMs via Data Poisoning [7.104161390387404]
  大規模言語モデル(LLM)は、しばしば敵に毒を盛る未処理のテキストデータセットに基づいて微調整される。 本稿では, LLM に情報隠蔽方式を確実に, ひそかに教えるデータ中毒手法を提案する。 引き起こされた隠蔽スキームは、任意の悪意のある命令をエンコードし、デコードするので、新しく微妙な毒によって引き起こされる脆弱性が明らかになる。
  論文  参考訳（メタデータ） (2026-05-26T06:28:30Z)
• AdversarialCoT: Single-Document Retrieval Poisoning for LLM Reasoning [115.3243260783674]
  Retrieval-augmented Generation (RAG) は、外部文書を取得することにより、大きな言語モデル(LLM)推論を強化する。 攻撃者が悪意のあるコンテンツを検索コーパスに注入するRAGにおける知識ベース中毒攻撃について検討した。 AdversarialCoTは、コーパス内の1つのドキュメントだけを毒化するクエリ固有の攻撃である。
  論文  参考訳（メタデータ） (2026-04-14T02:10:23Z)
• RAGPart & RAGMask: Retrieval-Stage Defenses Against Corpus Poisoning in Retrieval-Augmented Generation [43.85099769473328]
  Retrieval-Augmented Generation (RAG)は、大規模言語モデルを強化するための有望なパラダイムとして登場した。 近年の研究では、悪意のある文書を検索コーパスに注入し、モデル出力を操作できるRAGパイプラインコーパス中毒の致命的な脆弱性が明らかにされている。 本稿では、RAGPartとRAGMaskの2つの相補的な検索ステージディフェンスを提案する。
  論文  参考訳（メタデータ） (2025-12-30T14:43:57Z)
• P2P: A Poison-to-Poison Remedy for Reliable Backdoor Defense in LLMs [49.908234151374785]
  微調整の間、大規模言語モデル(LLM)は、データポゾンによるバックドア攻撃に対してますます脆弱である。 汎用的で効果的なバックドアディフェンスアルゴリズムであるPoison-to-Poison (P2P)を提案する。 P2Pはタスク性能を維持しながら悪質なバックドアを中和できることを示す。
  論文  参考訳（メタデータ） (2025-10-06T05:45:23Z)
• Malice in Agentland: Down the Rabbit Hole of Backdoors in the AI Supply Chain [82.98626829232899]
  自分自身のインタラクションからのデータに対する微調整のAIエージェントは、AIサプライチェーン内の重要なセキュリティ脆弱性を導入している。 敵は容易にデータ収集パイプラインに毒を盛り、検出しにくいバックドアを埋め込むことができる。
  論文  参考訳（メタデータ） (2025-10-03T12:47:21Z)
• BURN: Backdoor Unlearning via Adversarial Boundary Analysis [73.14147934175604]
  Backdoor Unlearningは、モデル本来の機能を保持しながら、バックドア関連の情報を削除することを目的としている。 本稿では, 偽相関疎結合, プログレッシブデータリファインメント, モデル浄化を統合した新しい防御フレームワーク, BURNによるバックドア・アンラーニングを提案する。
  論文  参考訳（メタデータ） (2025-07-14T17:13:06Z)
• Revisiting Backdoor Attacks on LLMs: A Stealthy and Practical Poisoning Framework via Harmless Inputs [54.90315421117162]
  完全無害データを用いた新しい毒殺法を提案する。 自己回帰型LPMの因果推論に着想を得て,トリガーと肯定的応答プレフィックスの堅牢な関連性を確立することを目指す。 LLMは最初は同意するように見えるが,その後回答を拒む興味深い抵抗現象を観察する。
  論文  参考訳（メタデータ） (2025-05-23T08:13:59Z)
• A Study of Backdoors in Instruction Fine-tuned Language Models [16.10608633005216]
  バックドアのデータ中毒は、そのような攻撃の回避の性質のために深刻なセキュリティ上の懸念である。 このようなバックドア攻撃は、反応の感情を変えたり、検閲に違反したり、過剰に拒否したり(合法的なクエリの検閲を呼び起こしたり)、偽のコンテンツを注入したり、ナンセンスな反応(幻覚)を引き起こす。
  論文  参考訳（メタデータ） (2024-06-12T00:01:32Z)
• Deep Partition Aggregation: Provable Defense against General Poisoning Attacks [136.79415677706612]
  アドリアリン中毒は、分類器の試験時間挙動を損なうために訓練データを歪ませる。 毒殺攻撃に対する2つの新たな防御策を提案する。 DPAは一般的な中毒脅威モデルに対する認証された防御である。 SS-DPAはラベルフリップ攻撃に対する認証された防御である。
  論文  参考訳（メタデータ） (2020-06-26T03:16:31Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。