Vulnerability of LLM Re-rankers to Prompt Injection Attacks

候选文档中的越狱提示能改写 LLM 重排序器的偏好，并可能拉低 nDCG@10；这一脆弱性随规模、位置、架构和领域如何变化仍不清楚。

• 场景：作者称 LLM 常作重排序器，效果经常超过传统方法。Qian 等人 [2025] 显示，文档内的简单越狱提示能改变排序，并可能被用来传播错误信息、削弱对 LLM 检索系统的信任。
• 现有不足：作者认为原文设置不能充分代表真实使用。网页搜索个案里 LLaMA-3-70B 比 LLaMA-3-8B 更稳健，与“更大更脆弱”的主结论不一致；TREC DL 只评两个 LLaMA-3，且未说明攻击变体和排序范式。位置、骨干架构和领域实验也有限。
• 观察：高 ASR 不一定带来排序损失。偏好改变可能只落在不相关文档上，或是用更高相关标签替换更低标签。
• 做法：作者复现并扩展决策目标劫持（DOH）与决策标准劫持（DCH），用 ASR 测偏好漏洞，再用 BM25 之后的 setwise 重排测 nDCG@10，并检查规模、位置、架构和领域。
• 威胁模型：
  • 目标：让注入文档成为最相关或排到列表首位；Task 2 用 nDCG@10 下降衡量相关文档是否被挤出。
  • 知识：正文未写 white-box 或 black-box。结论称攻击需要知道一阶段检索出的非相关候选。
  • 能力：把 DOH 或 DCH 写进目标文档的文首或文末。Task 1 的目标取自无攻击时未被选为最相关的候选；Task 2 写入所有相关性标签为 0 的文档，相关文档不改。
  • 受害系统：充当重排序器的 LLM。Task 1 含 pairwise、listwise、setwise；Task 2 只做 setwise。作者称该范式在 Task 1 最易被操纵，也可减少计算。

相关工作分为 LLM 排序范式，以及检索、排序和推荐中的对抗输入。本文直接延续 Qian 等人 [2025]。

LLM 文本排序

• Pointwise（Liang 等人 [2022]，Sachan 等人 [2022]）——对单个 query-document 对预测相关性。作者称这常需 logits，闭源模型不可用。本文不评 pointwise，因为 Qian 等人的攻击针对 pair/list/set 偏好。
• Pairwise（Qin 等人 [2024]）——把排序收成二分类，比较两篇文档谁更相关。作者称推断时要比较全部文档对，可扩展性差。
• Listwise 与 Setwise：Listwise（Ma 等人 [2023]，Pradeep 等人 [2023]，Sun 等人 [2023]）接收查询和候选列表并生成重排，通常要生成较多 token。Setwise（Zhuang 等人 [2024]）从集合中迭代选出最相关文档；作者称它在效果与效率上比上述三种折中更好。

排序与检索中的对抗操纵

• 优化式抬升（Kumar and Lakkaraju [2024]，Pfrommer 等人 [2024]，Nestaas 等人 [2024]，Zhuang 等人 [2025]）——迭代优化扰动以抬升目标条目。Kumar and Lakkaraju 显示，无意义、不可读的提示仍能抬升商品排名。
• 更可读的提示：Pfrommer 等人用 tree-of-attacks 做结构化探索并迭代改写候选提示；Nestaas 等人用人写提示利用排序器的指令遵循。论文指出，StealthRank（Tang 等人 [2025]）和 RAF（Xing 等人 [2025]）用能量模型或梯度引导的 token 选择生成流畅提示，但常依赖复杂迭代或对底层模型的 white-box 访问。

推荐系统

• 人设与元数据（Wang 等人 [2024]）——用 N-persona 模拟，把对抗生成的描述与热门条目元数据结合，误导 LLM 推荐器。
• 智能体迭代（Ning 等人 [2024]）——用策略生成和自我反思更新恶意描述，多轮降低推荐质量。

基线与数据

• 基线方法：Qian 等人 [2025] 的 DOH/DCH 及其原文 ASR；Task 2 还对照 BM25 一阶段检索和无注入的 Safe Reranking。
• 基准/数据集：TREC-DL 2019/2020；BEIR 中的 TREC-COVID、TOUCHE-2020、SciFact、DBpedia。

作者把本文定位为对 Qian 等人的复现，并把偏好是否被劫持接到端到端检索影响，同时补上原文实验有限的规模、位置、架构和领域因素。

作者不提出新攻击，而是沿用 Qian 等人的 DOH/DCH，先测偏好是否被劫持，再测 setwise 重排的 nDCG@10 损失。

攻击与三种范式

• DOH：用显式指令替换原任务，使模型把被攻击文档输出为最相关。DCH：改写相关性标准，使注入段落被优先。Figure 1 只给出机制示意；提示原文在 Qian 等人和作者代码库中，这里不复述。
• 位置：注入放在文档开头（front）或结尾（back）。
• 范式：pairwise 每次比较两篇文档；listwise 对完整候选列表输出排序；setwise 从集合中选出最相关文档。集合或列表大小为 n=4。
• 不评 pointwise：作者称 Qian 等人的攻击针对成对、列表和集合偏好。

Task 1：偏好漏洞

• 构造：从 qrels 的离散相关性等级取样。pairwise 每个查询最多抽 4,096 对，并交换顺序以降低位置偏差；setwise/listwise 使用同一抽样预算，每个查询组成 4 篇文档的候选集并随机打乱。只用相关性标注覆盖足够的查询。论文未给出“足够”的具体阈值。
• 两步：先做无注入的 clean projection，记录基线选择或排序；再从当时未被选为最相关的候选中抽取注入目标，注入后对同一查询的完整候选集重评。
• ASR：成功攻击占有效模型输出的比例。pairwise 为偏好翻向被攻击段落；setwise 为选中注入文档；listwise 为把注入文档排到首位。作者将这一定义统一用于三种范式。
• 预算：每种 model-schema-attack-dataset 组合评 4,096 个排序实例。文档用各模型 tokenizer 截断到 8,000 token。

Task 2：排序质量

• 流水线：Pyserini 的 BM25 取 top-1,000，再把 top-100 交给 LLM。只做 setwise，n=4，用 heapsort 聚合。作者称这对应 Task 1 中最易被操纵的范式，并限制计算量。
• 注入：只向 ground-truth 相关性标签为 0 的文档注入，相关文档保持不变。位置仍分 back 与 front。
• 指标：报告仅 BM25、无注入的 Safe Reranking、受攻击的 Attacked Reranking 的 nDCG@10。Vuln. 为 nDCGbase 减去 DOH/DCH 与 back/front 四种设置上 nDCGattack 的平均。作者把 ∆nDCG 当作金标准相关文档被攻击文档挤出的代理。

扩展维度与实现

• 四条线：在 Qwen3、Gemma-3 的多档参数上看规模；比较 front 与 back；加入 encoder-decoder（Flan-T5）和 MoE（Qwen3-30B-A3B，30B 总参数 / 3B 激活）；从 TREC-DL 扩到 BEIR 四个领域子集。
• 实现：沿用 Qian 等人的代码。硬件为 A100/H100，vLLM 0.11.0、bfloat16。Flan-T5 因 vLLM 不支持 encoder-decoder，改用本地 HuggingFace 推理。原文使用 vLLM 0.8.5 和 4×H200/H100，且未说明托管参数。

实验设置

• 被测模型：decoder-only 为 Qwen3（0.6B、1.7B、8B、14B、32B）、Gemma-3（1B、4B、12B、27B；Table 4 把 1B/4B 写作 Gemma-3-1B-it、Gemma-3-4B-it）、LLaMA-3.3-70B、GPT-4.1-mini；encoder-decoder 为 Flan-T5-Large（0.8B）与 Flan-T5-XL（3B）；MoE 为 Qwen3-30B-A3B。Table 5 另有 LLaMA-3-8B、LLaMA-3.1-8B，且不含 GPT-4.1-mini。
• 数据：TREC-DL 2019/2020；BEIR 的 TREC-COVID、TOUCHE-2020、SciFact、DBpedia。论文未给出各数据集查询条数。
• 对照：DOH 与 DCH，front 与 back。Task 1 对照 Qian 等人的 ASR；Task 2 对照 BM25 与 Safe Reranking。
• 指标与判定：ASR 只在有效输出上计算；nDCG@10；Vuln. 对 DOH/DCH × back/front 平均。不用 LLM 裁判。Table 5 的 a 表示相对 Base 的 t-test。论文未报告重复次数。
• 预算：Task 1 每种组合 4,096 个实例，n=4，截断 8,000 token。Task 2 为 BM25 top-1,000 后重排 top-100。第 6.1 节标题写成 Ranking Vulnerability，正文测的是偏好 ASR。

主结果

下表为 TREC-DL-2019、setwise+heapsort 的 nDCG@10（据 Table 5）。Vuln. 还平均了表中未列的 DCH 文首。省略 Qwen3-1.7B、Qwen3-8B、Qwen3-32B、Gemma-3-4B、Gemma-3-12B、Gemma-3-27B、LLaMA-3.1-8B；Vuln. 最高的 Qwen3-30B-A3B 已列入。GPT-4.1-mini 在 Table 5 未报告。

Swipe horizontally to read the table

模型	Base	DOH文末	DOH文首	DCH文末	Vuln.
Qwen3-0.6B	0.5498	0.1476	0.1255	0.3114	0.3011
Qwen3-14B	0.7459	0.1404	0.2469	0.1797	0.5531
Qwen3-30B-A3B	0.7366	0.1365	0.1519	0.2108	0.5877
Gemma-3-1B	0.2329	0.2332	0.2434	0.2318	-0.0015
LLaMA-3-8B	0.6602	0.1569	0.4504	0.1058	0.4011
LLaMA-3.3-70B	0.7286	0.0741	0.2973	0.0978	0.5850
Flan-T5-Large	0.6601	0.6609	0.6845	0.6553	-0.0102
Flan-T5-XL	0.6949	0.6910	0.6994	0.6934	-0.0046

• 作者称高 ASR 会转成排序损失，且更大、更强的 LLM 退化更重。排除 Gemma-3-1B 后，作者称基线与攻击的差距在几乎所有情况下通过 t-test。上表中未标 a 的攻击格包括 Gemma-3-1B 的 DOH 文末与 DCH 文末，Flan-T5-Large 的 DOH 文末与 DCH 文末，以及 Flan-T5-XL 的三列攻击格。
• 作者称攻击后的重排低于一阶段 BM25（Table 5 为 0.5058）。Gemma-3-1B 无攻击时已低于 BM25；作者因其不能稳定产生有效输出，将它排除出规模讨论。
• Flan-T5 的 Vuln. 为负。作者称非零 ASR 的劫持仍不足以拉低整体排序质量，并称 encoder-decoder 可作为更安全排序系统的候选。

偏好漏洞：复现与规模

• 复现：Table 3 为 TREC-DL 2019/2020 的文末注入。作者称 pairwise 与 setwise 的平均绝对偏差 < 6%。2019 年 Mean±Std 为 pairwise DOH 2.21±1.98、DCH 2.44±6.59，setwise DOH 5.87±7.18、DCH 3.36±7.59，listwise DOH 10.13±8.33、DCH 3.81±4.12。阴影表示与原文 |∆|≥10 个百分点。例如 Qwen3-1.7B 的 setwise DOH 为原文 92.14%、复现 73.03%；Qwen3-8B 的 pairwise DCH 为原文 26.78%、复现 8.03%。作者认为 1.7B 与 8B 的差异可能来自无法完全对齐的环境。
• 闭源与大模型：TREC-DL-2019 文末复现中，Llama-3.3-70B 的 pairwise DOH/DCH 为 100.00% 与 99.90%，setwise 为 99.82% 与 99.77%；GPT-4.1-mini 的 pairwise 为 98.95% 与 100.00%，setwise 为 97.51% 与 99.98%。二者 listwise DOH 较低，分别为 54.64%（1595/2919）和 40.35%（1413/3502），listwise DCH 为 99.93% 与 99.81%。
• 规模与例外：作者称能力上升可能伴随更易被决策劫持，但并非单调。TREC-DL-2019 与 2020 的平均 Pearson r=0.9951，正文主要讨论 2019。Qwen3-0.6B 的 Pairwise-DOH ASR 为 99.9%（正文）/99.90%（Table 4 文末），Pairwise-DCH 为 75.29%；作者称相对 Qwen3-1.7B 的 3.34% 有 71.95 个点的反转。Gemma-3 大体单调，Qwen3 更不规则。作者认为 DCH 与规模的正向关系更稳。正文称后续分析排除 listwise DOH，但 Figure 2 仍含该面板；除上述 Pairwise 数字外，正文未给出图中其余端点。

架构、位置与领域

• 架构：Table 4，TREC-DL-2019。Flan-T5-Large、Flan-T5-XL 的平均 ASR 为 3.21%±2.83 和 3.28%±1.84，相差 0.07 个百分点。作者称约 0.8B 档 Qwen3-0.6B 的脆弱性最高达 Flan-T5-Large 的 15.6 倍，3B 档稠密 decoder 高 10–13 倍。Qwen3-30B-A3B 平均 ASR 84.83%，Qwen3-32B 为 83.62%；作者称二者统计上无法区分，MoE 路由没有带来稳健性。作者把 encoder-decoder 的差异联系到双向编码减轻因果解码的 recency bias，以及 span corruption 预训练；这是作者的解释。
• 位置：Figure 3。作者称 pairwise 大多 front/back 接近，例外是 Qwen3-32B 的 Pairwise-DCH 从 95.36% 降到 57.91%。setwise 最敏感：作者称 Qwen3 在 DCH 上文末通常大约高 20 个点，Gemma-3 在 DOH 上文末大约高 10–20 个点。LLaMA-3.3-70B 在 Setwise-DOH 差距大，Setwise-DCH 几乎不变。作者认为位置无关只是近似，与 Qian 等人的说法不同。
• 领域：Figure 4。作者称一般域与领域 ASR 对齐，Pearson r=0.969（p=0.0003），R²=0.938；所有 LLM 略低于 y=x，即 TREC-DL 的 ASR 略高于 BEIR。DBpedia 平均 49.7 词，作者对照 MS MARCO passage 的 56.0 词；TREC-COVID 160.8 词，Touché-2020 292.4 词，SciFact 213.6 词。作者认为更短文档中注入占比更高；SciFact 虽更短但 ASR 更低，作者将其联系到二元相关性，而 Touché-2020 或 TREC-DL 使用三级或四级标注。

其他消融与分析

• 提示修正：作者称原文 listwise 的 DOH 提示有误并造成无效输出；与原文作者沟通后 Table 3 使用修正提示。因该提示与 pairwise/setwise 的 DOH 不一致，后续分析排除 listwise DOH。
• Task 2 位置：14/15 个模型上文末注入的 nDCG@10 损失更大，平均差距 0.1106；作者报告配对 t-test，p<0.05（Figure 5）。
• DOH 与 DCH 的平均 nDCG 差为 0.0090；作者称 setwise 下配对比较常常达到 p<0.05（Figure 6）。
• Task 2 复现：LLaMA-3-8B 的 Base 为 0.6602（原文 0.6930），DOH 文末为 0.1569（原文 0.1050）。作者称大体可比，并称原文未给设置细节。
• Figure 7：作者称 DBpedia 的 ASR 更高，但 TREC-DL 2019 的 nDCG@10 退化更重；Flan-T5 跨域退化可忽略。正文未给出该图柱高。
• Flan-T5 在 Table 4 的 listwise 为 0.00%，但正文称有攻击和无攻击都不能生成规定列表格式，并归因于提示模板与 span 生成目标不匹配。作者报告，跨攻击设置平均后，平均 nDCG@10 从 0.6584 降到 0.2947（相对下降 55.2%）；该句未说明是否包含随后被排除的 Gemma-3-1B。

作者指出的局限与后续方向

• 条件往往不成立：结论称，Qian 等人与本文考虑的攻击都需要知道一阶段检索出的非相关候选，并能在这些文档上全部注入；作者认为这些条件在实践中往往不太可能发生。（第 7 节）
• 后续方向：作者认为未来工作应设计更现实的攻击条件，使之更接近恶意方劣化排序质量时实际做得到的事，或通过 SEO 抬升目标页面；该页面未必与用户查询相关。（第 7 节）

实验覆盖范围

• Task 1 覆盖 Table 2 的 Qwen3 五档、Gemma-3 四档、LLaMA-3.3-70B、GPT-4.1-mini、Flan-T5-Large/XL 和 Qwen3-30B-A3B。Task 2 的 Table 5 另含 LLaMA-3-8B 与 LLaMA-3.1-8B，不含 GPT-4.1-mini。
• 数据集为 TREC-DL 2019/2020，以及 BEIR 的 TREC-COVID、TOUCHE-2020、SciFact、DBpedia。Task 1 每种 model-schema-attack-dataset 组合 4,096 个实例，n=4，截断 8,000 token。
• Task 2 使用 Pyserini BM25 的 top-1,000 与 LLM 重排 top-100，只做 setwise 与 heapsort，只注入标签为 0 的文档，报告 nDCG@10，并用 t-test 相对 Base。
• 成功由模型输出是否把注入文档放在最前决定。论文未使用 LLM 裁判，也未报告重复次数或与人工判定的一致性。
• 正文写明不评 pointwise，因为攻击针对 pair/list/set 偏好。listwise DOH 在修正提示后被排除出后续分析。作者称 TREC-DL-2020 的扩展结果放在代码库，正文因两年结果的 r=0.9951 而主要讨论 2019。

作者复现 Qian 等人对 LLM 重排序器的提示注入，并把偏好翻转接到端到端 nDCG@10。

• 问题：嵌在候选文档中的 DOH/DCH 可以让模型违反排序指令、抬升被注入文档。原文在规模是否始终成立、攻击变体、范式、位置、架构和领域上留有缺口，而且高 ASR 不一定等于排序变差。
• 做法：Task 1 在 pairwise、listwise、setwise 上把提示放在文首或文末，用有效输出上的 ASR 判断偏好是否翻向注入文档。Task 2 用 BM25 召回后只做 setwise 与 heapsort，向标签为 0 的文档注入，用 nDCG@10 和 Vuln. 衡量操作损失。
• 复现与规模：TREC-DL 上 pairwise/setwise 的平均绝对偏差 < 6%。作者称更大模型总体更易被劫持，但 Qwen3-0.6B 的 Pairwise-DOH 文末 ASR 为 99.90%，Pairwise-DCH 为 75.29%，并不低于更大的 Qwen3。
• 架构与损失：TREC-DL-2019 上 Flan-T5-Large/XL 的平均 ASR 为 3.21% 与 3.28%，setwise 的 Vuln. 为 -0.0102 与 -0.0046。同表中 Qwen3-30B-A3B 的 Vuln. 为 0.5877，LLaMA-3.3-70B 为 0.5850。作者报告跨攻击设置的平均 nDCG@10 从 0.6584 降到 0.2947。
• 位置与领域：作者称 setwise 下文末注入在 14/15 个模型上造成更大的 nDCG@10 损失，平均差距 0.1106。TREC-DL 与 BEIR 的 ASR 相关为 r=0.969；作者称高 ASR 不等于更重的 nDCG 退化。
• 作者结论：规模趋势总体成立，但位置并非无关；encoder-decoder 的 ASR 和 nDCG 损失都更低；脆弱性主要是模型内在属性，同时受文档长度和相关性等级调节。作者同时认为，知道全部非相关候选并全部注入，在实践中往往不太可能。