論文の概要: LENS: The Sum Is Worse Than the Parts for Set-Level Poisoning in Retrieval-Augmented Generation

• arxiv url: http://arxiv.org/abs/2609.35155v1
• Date: Mon, 28 Sep 2026 13:33:32 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-02 16:37:56.130339
• Title: LENS: The Sum Is Worse Than the Parts for Set-Level Poisoning in Retrieval-Augmented Generation
• Title（参考訳）: LENS:リトリーバル・アゲメンテッド・ジェネレーションにおけるセット・レベル・ポジショニングの部品よりも安い
• Abstract要約: 制約された証拠構成として構築をキャストする枠組みを提案する。 4つのベンチマークと3つのジェネレータで、返送パケットは0.852のフルセットのASRと0.784のASR@5を達成する。 盲目の人間の監査では、返却パケットの68.3%が不正なターゲット、明確な解答基準シフト、およびターゲットの含意を組み合わせている。
• 参考スコア（独自算出の注目度）: 12.273352132667751
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Retrieval-augmented generation (RAG) aggregates evidence from multiple external documents, yet this joint integration creates an underexamined vulnerability: attack effects absent in individual documents can emerge through set-level composition. Existing coordinated attacks do not explicitly enforce that every proper subset remains insufficient in frozen single-round RAG. We formalize set-level compositional poisoning, where documents designed to remain individually plausible jointly redirect RAG outputs to a target answer, while proper subsets fail to induce the target on their own. To construct such attacks, we propose LENS, a generator-black-box multi-agent framework that casts construction as constrained evidence composition. LENS factorizes target inference into a query-conditioned interpretation lens and complementary facts, then uses a nested dual-loop workflow to concentrate steering in the full set while suppressing subset leakage. The outer loop plans the interpretation lens and semantic roles; the inner loop synthesizes documents and applies counterexample-guided repair. Across four benchmarks and three generators, returned packets achieve 0.852 full-set ASR and 0.784 post-retrieval ASR@5, while their strongest proper subsets reach only 0.069. Against construction baselines evaluated on the same frozen manifest, LENS improves all-attempt E2E-Strict@5 from 0.244 to 0.363, a 48.8% relative gain. A blinded human audit finds that 68.3% of returned packets combine an incorrect target, a definite answer-criterion shift, and no target entailment under the original semantics. Across four published defenses, LENS attains the highest defended all-attempt ASR@5, exceeding the strongest baseline by 0.141 on average. Together, these results establish evidence composition as a distinct RAG security boundary and position LENS as a stress test for defenses that reason over document sets.
• Abstract（参考訳）: Retrieval-augmented Generation (RAG) は複数の外部文書から証拠を集約するが、この統合は未確認の脆弱性を生み出す。 既存の協調攻撃は、凍結シングルラウンドRAGにおいて全ての適切なサブセットが不十分であることを明示的に強制するものではない。 設定レベルの構成中毒を定式化し、RAG出力を目的の回答に共同的にリダイレクトするように設計された文書を、適切なサブセットが単独でターゲットを誘導するのに失敗する。 このような攻撃を構築するために,制約付きエビデンス構成として構築をキャストするジェネレータ・ブラックボックス・マルチエージェント・フレームワークであるLENSを提案する。 LENSは、ターゲット推論をクエリ条件付き解釈レンズと補完的な事実に分解し、ネストされたデュアルループワークフローを使用して、サブセットリークを抑制しながら、フルセットでのステアリングに集中する。 外ループは解釈レンズと意味的役割を計画し、内ループは文書を合成し、反例誘導修復を適用する。 4つのベンチマークと3つのジェネレータで、返送パケットは0.852のフルセットのASRと0.784のASR@5を達成する。 同じ凍結現象で評価された建設ベースラインに対して、LENSは全方位E2E-Strict@5を0.244から0.363に改善し、48.8%の相対的な利得を得た。 盲目の人間の監査では、返却パケットの68.3%が不正なターゲット、明確な解答基準シフト、および元のセマンティクスの下でのターゲットの含意を組み合わせている。 発表されている4つの防衛戦で、LENSはASR@5で最強の防御力を獲得し、平均0.141のベースラインを突破した。 これらの結果は、RAGセキュリティ境界としてエビデンス構成を確立し、LENSを文書セットを根拠とする防衛のためのストレステストとして位置付ける。

関連論文リスト

• DRSR: Learning Set-Level Deletion Risk for Efficient Long-Horizon Agents [55.84813053778976]
  ロングホライゾン言語モデルエージェントは、現在の決定と関係が変化する推論の痕跡、ツール交換、観察を蓄積する。 直接セットリスクスコアは、削除セットの選択としてエージェント履歴圧縮リスクを定式化する。 メカニカル・アナリシスとアブリケーションは、決定に制約のある関係、保持されたコンテキスト情報、ペア・インタラクション、および棄権がそれぞれ信頼できるプルーニングに寄与していることを示している。
  論文  参考訳（メタデータ） (2026-09-23T03:06:01Z)
• Structuring Semantic Embeddings for Principle Evaluation: A Prototype-Guided Contrastive Learning Approach [58.15427952222424]
  汎用的なテキスト埋め込みはそのようなタスクに広くデプロイされているが、意味的類似性は意味的に似ているがタスク固有の例を示すことができる。 本稿では,凍結したテキスト埋め込み上に構築された幾何正規化モジュールであるPGCL(Prototype-Guided Contrastive Learning)を紹介する。
  論文  参考訳（メタデータ） (2026-08-15T13:19:25Z)
• Analysis of Federated Aggregation under Model Poisoning and Backdoor Attacks: A Reconstructed Cross-Dataset and Cross-Architecture Benchmark [0.0]
  500セルのシード-1評価マトリックスを5つのアグリゲーション法で再構成した。 実行ログは454回のオリジナルランと36回の修復または再実行で特定された。 クルムは、サインフリップとガウス構成の両方で記録された最高精度を達成した。
  論文  参考訳（メタデータ） (2026-08-11T20:42:56Z)
• DenialRAG: Single-Document RAG Poisoning via Embedded Parametric Denial [7.434105792757549]
  EmphDenialRAGは,正しい回答を明示し,それを否定し,攻撃者による説明を提示する単一文書中毒攻撃である。 DenialRAGは、コンフリクトを直接ジェネレータが見るコンテキストに埋め込む。 我々はDenialRAGを3つのオープンドメイン質問回答データセットにまたがる4つの単一文書中毒攻撃に対して評価した。
  論文  参考訳（メタデータ） (2026-08-02T20:33:05Z)
• SilentRetrieval: Hijacking Retrieval-Augmented Generation via Semantically-Preserving Adversarial Data Poisoning [1.0998907972211756]
  SilentRetrievalは2段階のデータ中毒攻撃で、RAGシステムを敵対的な文書でハイジャックする。 SilentRetrievalは84.6%/81.3% HR@10、57.5%/54.8% ASR-LLM on Natural QuestionsとMS MARCOを達成している。
  論文  参考訳（メタデータ） (2026-05-27T07:30:30Z)
• Let the Results Speak: A Replication-First Paradigm for LLM Behavioral Benchmarking [22.825786049667602]
  本稿では,1つのヒト・ラタのコンセンサスに有効性を確保するために,複製第一パラダイムを提案する。 楽器を4つの特性で認証する - Kランの信頼性、アーキテクチャ的に異なる審査員間のクロスインストラクトレプリケーション、以前のトレーニングコホートからの審査員による歴史的フットプリントキャリブレーション、事前登録された予測。 本研究は, 自己発達型データ駆動による情緒的伴奏で, 次元は事前に決められず, 手順は9次元に安定化する。
  論文  参考訳（メタデータ） (2026-05-27T03:41:11Z)
• Architecture Matters: Comparing RAG Systems under Knowledge Base Poisoning [0.0]
  RAGシステムは知識ベース中毒に弱いが、既存の攻撃はほとんどバニラレトリプタン生成パイプラインに対して評価されている。 我々は,921の自然質問QAペアに対して,制御された単一文書中毒の4つのRAGアーキテクチャ(vanilla RAG, agentic RAG, MADAM-RAG, Recursive Language Models)を評価した。
  論文  参考訳（メタデータ） (2026-05-07T03:36:14Z)
• TwinGate: Stateful Defense against Decompositional Jailbreaks in Untraceable Traffic via Asymmetric Contrastive Learning [60.68349524623048]
  分解されたジェイルブレイクは、大きな言語モデルにとって重大な脅威となる。 我々はステートフルなデュアルエンコーダ防御フレームワークであるTwinGateを紹介する。 我々は、8600の異なる悪意のある意図にまたがる360万以上の命令の包括的なデータセットを構築した。
  論文  参考訳（メタデータ） (2026-04-30T13:44:01Z)
• AdversarialCoT: Single-Document Retrieval Poisoning for LLM Reasoning [115.3243260783674]
  Retrieval-augmented Generation (RAG) は、外部文書を取得することにより、大きな言語モデル(LLM)推論を強化する。 攻撃者が悪意のあるコンテンツを検索コーパスに注入するRAGにおける知識ベース中毒攻撃について検討した。 AdversarialCoTは、コーパス内の1つのドキュメントだけを毒化するクエリ固有の攻撃である。
  論文  参考訳（メタデータ） (2026-04-14T02:10:23Z)
• CARE What Fails: Contrastive Anchored-REflection for Verifiable Multimodal [84.71254539482369]
  検証可能な報酬を伴うグループ相対的強化学習(RLVR)は、しばしば、すでに失敗している最も情報に富むデータを浪費する。 エラーを監督するマルチモーダル推論のための,障害中心のポストトレーニングフレームワークであるCAREを提案する。 CAREは正確さを改善し、スムーズさをトレーニングすると同時に、障害からの学習信号のシェアを明示的に増やします。
  論文  参考訳（メタデータ） (2025-12-22T16:34:21Z)
• Eigen-1: Adaptive Multi-Agent Refinement with Monitor-Based RAG for Scientific Reasoning [53.45095336430027]
  暗黙的な検索と構造化された協調を組み合わせた統合フレームワークを開発する。 Humanity's Last Exam (HLE) Bio/Chem Goldでは,48.3%の精度を実現している。 SuperGPQAとTRQAの結果はドメイン間の堅牢性を確認した。
  論文  参考訳（メタデータ） (2025-09-25T14:05:55Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。