Knowledge poisoning attacks against multimodal retrieval-augmented generation in healthcare

在攻击者不知道未来用户查询、只掌握知识库有限分布信息时，如何使医学多模态 RAG 检索到投毒条目，并生成临床上看似合理但错误的输出。

• 场景：作者称医学多模态 RAG 从配对影像（如 X-ray、CT、MRI）与文本中检索证据，用于报告生成和医学问答。现代 LVLM 指令跟随强，检索到的错误医学信息可能直接进入诊断或治疗建议，知识库因而成为医疗应用的攻击面。
• 既有不足：先前知识投毒多假设攻击者事先知道未来用户查询，并可做查询特定优化。作者称该假设在部署中通常不成立，一旦不成立，攻击效果下降。医学影像解剖结构一致、嵌入靠近，少量毒化样本难压过真实证据，加大注入又损害隐蔽性；显式事实错误易与模型医学先验冲突，被拒答或自校正，过弱扰动又难以影响输出。
• 核心观察：作者认为同质性使潜在空间形成可分离的语义簇，可用簇中心作代理目标，从而不依赖显式查询。诊断本身不确定，对应先验的低置信区域，可在此注入错误信息并降低自校正的可能。
• 本文提出：M3 Att。视觉侧做分布引导的检索劫持，把图像当作 query-agnostic trigger；文本侧沿临床歧义注入错误信息。
• 威胁模型：
  • 目标：最大化毒化条目的检索概率，并误导 LVLM 做出错误决策。
  • 知识：strict query-agnostic。无用户查询及其分布，无模型参数，不能获得检索器输出或检索上下文。只有知识库分布的有限知识，可通过与 RAG 的 black-box 交互估计。附录 G 写：不能直接访问完整部署库，但可持有同分布的小型 reference set。
  • 能力：向知识库注入有限预算的毒化图文。3.3 节另比较图像编码器 f(·) 的 white-box 与 black-box；3.1 节与附录 G 写攻击者无模型参数。
  • 受害系统：标准医学多模态 RAG。检索器按 image-to-image 相似度返回 top-k 图文对，再交给 LVLM 生成。

论文在 Related Works 与附录 F 中按三条线讨论。

医学多模态 RAG

• Ferber et al. (2024)：用 in-context learning，让通用 LVLM 在推理时根据少量标注图像做组织病理分类。
• MMed-RAG（Xia et al., 2025）：结合领域感知检索、自适应上下文选择和基于 RAG 的偏好微调，以提升医学 LVLM 的事实性与跨领域表现。
• RULE（Xia et al., 2024）：校准检索上下文数量，并用偏好数据微调，以平衡固有知识与外部检索。

多模态 RAG 知识投毒

• 单模态基础：Tan et al. (2024) 讨论文本 RAG 的检索弱点；Zou et al. (2025) 的 PoisonedRAG 通过系统性破坏文本知识影响生成。论文称相对单模态，多模态 RAG 因视觉模态增加风险。
• 多模态投毒：Ha et al. (2025) 给出查询定向与全局投毒；Liu et al. (2025b) 同时考虑检索相关性与生成控制；Yu et al. (2025) 的 SPA-VLM 联合优化图像与文本。论文称标准化医学影像的嵌入分布集中，使这些通用策略难以在保持临床合理性的同时劫持检索。
• HV-Attack（Luo et al., 2025）：对用户提供的图像做分层视觉扰动。附录写其不投毒知识库。

医学 RAG 投毒

• 文本临床推理：Xian et al. (2024) 分析知识密集领域的语料投毒，并提出基于检测的防御；Amirshahi et al. (2025) 评估健康领域中对抗证据如何误导 RAG。
• 多模态医学：Zuo et al. (2025) 在多模态医学 RAG 中模拟漏洞与威胁。Shang et al. (2025) 的 Medusa 直接扰动用户查询图像；附录称这与投毒知识库正交。
• 论文的批评：因难以劫持检索并压过生成，多数既有方法依赖 query-specific optimization。

基线与数据

• 基线：LIAR（Tan et al., 2024）。论文称它是与 query-agnostic 威胁模型最接近的先前工作；多数多模态 RAG 攻击因依赖未来查询而不适用。实验把 text-to-text 改为 image-to-text，初始化 60-token 提示，在嵌入空间作为 soft prompt 向簇中心代理目标优化，再解码为离散 token。
• 数据集：IU-XRay、MIMIC-CXR 为胸片与放射报告，用于 VQA 和报告生成；CRC100k、MHIST、PCam 为组织病理分类。

作者将本文定位为：只使用有限的库分布知识，在 query-agnostic 设定下同时影响检索与下游生成，并保持临床合理性。

M3 Att 把投毒拆成两侧：用库内嵌入分布构造与查询无关的视觉触发，再用诊断不确定性改写配对文本。

问题形式

• 知识库为图文对。检索器以 image-to-image 相似度取 top-k，再送入 LVLM。
• 攻击者注入有限条目，目标是提高这些条目对未知查询的检索概率，并让临床结论错误。
• 参考池与候选池不重叠。参考池被假设为同分布子集；作者称可通过与多模态医学 RAG 交互得到。

分布引导的检索劫持

• 簇刻画：对参考池图像嵌入聚类（论文举例 K-Means），得到 K 个语义簇。每簇取靠近中心的原型，将其嵌入平均为代理目标 μc。实现中 K=40，μc 为最靠近中心的 top-50 个原型嵌入的平均。
• 候选采样：按与 μc 的嵌入相似度在候选池中排序，取少量靠前图像做短程 PGD 预热，选预热目标最好的一张作为该簇种子。实现中预热为 10 次迭代。每簇最终注入 1 张，预算为 K，各设置 poison rate 低于 0.01。
• 有界 PGD：最大化图像嵌入与 μc 的余弦相似度，并投影回 ℓ∞ 邻域。更新为 x_c⁽ⁱ⁺¹⁾=Π_{ℬϵ(xc⁽⁰⁾)}(x_c⁽ⁱ⁾+α·sign(∇_x L(f(x_c⁽ⁱ⁾),μ_c)))。f 为图像编码器，α 为步长，投影把逐像素扰动限制在 ε 内。
• 编码器可见性：white-box 用反向传播。black-box 用对称有限差分，∇_x L≈1/K∑_k=1^K(L(x_c⁽ⁱ⁾+σ u_k)−L(x_c⁽ⁱ⁾−σ u_k))/(2σ)u_k，σ 为采样半径；论文把随机方向数也写成 K。实现给出 ε=16/255、α=1/255、N=500，未给出 σ 与方向数。取第 N 步图像入库。作者称毒化图像因而靠近语料代表模式，同时临床外观与良性样本难以区分。

临床不确定性引导的文本投毒

• 作者认为医学结论不像一般事实那样非对即错。因此不写会触发自校正的外显事实错误，而在语义歧义内改写结论。三层对应感知证据、诊断假设和决策风险评估。
• Fine-grained Severity Migration：不改变疾病大类，双向改写严重程度，使紧急所见变为非紧急，或把正常/生理所见推向病理阈值。
• Prior-Constrained Diagnosis Distortion：在视觉特征重叠、先验概率与真值相当的疾病中选目标，把报告改写成另一种合理解读，避免与模型先验直接冲突。
• Risk Association Corruption：双向改写建议或不确定性陈述，压低紧急性，或推向假阳性姿态。改写由受控 LLM 编辑器完成，正文写明为 GPT-5。附录 Figure 9 给出完整系统提示词，Figure 10 给出改写示例。

两侧如何配合

• 毒化图像与改写文本组成图文条目写入知识库。作者的设计是：检索劫持使条目在未知查询下进入 top-k，文本投毒在被读到后带偏结论。
• 端到端成功与否用下游任务效用下降衡量；检索阶段单独用 top-k 的检索 ASR 衡量。

实验设置

• 生成模型：表头为 GPT-4o、GPT-5、Gemini-2.5、Claude-4.5、LLaVA-Med。附录 E.1 写全名为 GPT-5 Chat、Gemini-2.5-Flash、Claude-Haiku-4.5。文本编辑器正文写 GPT-5。
• 检索器：CLIP、BGE-VL、SigLIP。附录写 CLIP ViT-Large-Patch14-336、BGE-VL-base、SigLIP-SO400M-Patch14-384。Table 1 为 CLIP 与 BGE-VL，Table 2 补 SigLIP。
• 数据与任务：五个数据集。检索库来自训练集，测试样本只作查询，实例级不重叠。VQA 含 yes/no 与选择题，yes/no 子集遵循 Xia et al. (2025)；报告生成的预处理与指标同该文；分类遵循 Ferber et al. (2024)。论文未报告各数据集查询条数。
• 对照：w/o RAG、Clean RAG（avg. across retrievers）、LIAR。论文未逐项列出纳入该平均的检索器。
• 指标：Table 1 的 VQA 与分类为 chance-normalized accuracy，随机水平映到 0、满分映到 1，低于随机截为 0。报告生成的 FC、CP 由 LLM 做信息匹配；附录写评审集成 o3、Gemini-3、Claude Opus 4.5。检索 ASR@Top-k 为 top-k 中至少含一条毒化样本的查询比例。Table 1 为 top-K=1。论文未报告重复次数。
• 预算：K=40，每簇 1 条，poison rate 低于 0.01。PGD 为 ε=16/255、α=1/255、N=500，预热 10 步。

主结果

下表据 Table 1，为 IU-XRay True/False 的 chance-normalized accuracy。Clean RAG 为跨检索器平均。Filtered 是检索劫持成功的查询子集，论文未说明检索器。越低表示攻击越强。

Swipe horizontally to read the table

模型	w/o RAG	Clean RAG（avg.）	CLIP LIAR	CLIP M3 Att	Filtered M3 Att
GPT-4o	67.36%	89.64%	83.90%	77.88%	61.50%
GPT-5	88.28%	93.90%	94.60%	91.96%	87.44%
Gemini-2.5	68.20%	72.60%	80.02%	76.12%	66.52%
Claude-4.5	0.00%	53.20%	55.90%	47.04%	20.50%
LLaVA-Med	14.64%	72.51%	76.92%	65.28%	28.04%

• 作者称外部检索相对无 RAG 能提高效用。Table 1 另有反例：LLaVA-Med 的 MIMIC True/False 上 w/o RAG 为 66.00%，Clean RAG（avg.）为 65.88%；Gemini-2.5 的 MHIST 上二者为 12.14% 与 3.14%。
• 作者称在 CLIP 与 BGE-VL 端到端设置中，M3 Att 相对 clean RAG 造成效用下降，并在绝大多数配置上优于 LIAR；又称相对 clean RAG 平均降低 8.78%，该句未写明平均范围。上表中 M3 Att 仅 Gemini-2.5 高于 Clean RAG（avg.）；CLIP LIAR 除 GPT-4o 外均高于该平均。另一反例：LLaVA-Med、CLIP、PCam 上 M3 Att 为 10.48%，LIAR 为 9.78%，Clean RAG（avg.）为 3.04%。作者未解释这些格子。
• Filtered：作者称一旦劫持成功，临床上合理的注入会主导推理。GPT-4o 的 Filtered M3 Att 在 CRC100k 与 PCam 均为 0.00%，Clean RAG（avg.）为 93.30% 与 66.62%；同列 LIAR 也有 0.00%。

检索劫持

• Figure 2 比较 black-box 与 white-box、三个检索器、五个数据集，k 取 1、3、5。作者称毒化条目经常进入检索集合，且 black-box 与 white-box 接近，因而不关键依赖梯度。转换文本未给出各柱数值。
• Figure 6：作者称优化后视觉样本被推向查询分布中的代表簇，且不使用查询分布先验。正文写 Top-5 命中率从 0.01% 升至 5%；图注写约 0.01% 与约 5%。
• Figure 7 为 t-SNE。图注写三个簇、三种检索器、五个数据集，簇点分色，毒化样本为三角。作者称红三角落在目标簇高密度核心之内或紧邻，簇保持紧凑；转换文本看不到坐标与数值。

防御、隐蔽性与消融

• Figure 5 评测检索前的 Image Clustering、Text Clustering、Image-Text Consistency。作者称检索 ASR 基本不变，毒化样本没有这些过滤要抓的伪影或模态不匹配。
• Appendix Table 3 在 IU-XRay、CLIP 上给出 ASR。无防御的 ASR@1/@3/@5 为 32.56%、60.69%、75.87%。Image-Text Consistency 为 29.87%、50.78%、57.89%。High-score Truncation 的 ASR@1 为 25.17%。作者称附录 B 的四种检索时防御下方法仍然有效。
• Table 4：两名医学博士候选人在 200 条文本中辨认毒化文本。注入 2/200、5/200、10/200、20/200 时平均 F1 为 0.0870、0.2308、0.3704、0.4857。作者称低注入比例下专家也难分开；主实验 poison rate 严格低于 1%。Figure 4 去掉图像劫持或去掉文本注入后，作者称五个 LVLM 上效用回升，完整版攻击最强；转换文本无柱高。

其他消融与分析

• Figure 3 的 poison ratio：作者称升至 0.08 时检索 ASR 接近 100%，更低比例已有增益。
• Figure 3 的 ε：低到中等区间 ASR 上升后饱和；作者据此采用中等扰动预算。
• Figure 3 的簇数 K：先升后平台。附录 Figure 8 在 Top-k 为 1–4 时报告同一趋势，无逐点读数。
• 黑盒效率：K=40、N=500、batch size 16；单条约 4.4 分钟，并行后全流程约 3 小时（附录 C）。
• 评审：100 份报告、两名医学博士志愿者，集成 LLM 与专家标注的 Pearson 相关为 0.8541。论文未给出评审模型之间的相关系数。
• Table 2（SigLIP）：作者称结论与 Table 1 一致。Gemini-2.5 的 MHIST 上 clean、LIAR、M3 Att 均为 0.00%。

作者指出的局限与后续方向

• 模态：Limitations 写，主要在代表性二维影像上验证，包括胸片和组织病理切片。临床还有高维模态，如三维容积影像（CT、MRI）和时序医学视频。
• 未做的实验：作者称框架可以扩展到三维，但因合适数据集不易获得，未在这些数据上做实证。
• 后续：作者计划收集相应数据集，并进一步展示方法在这些高维模态上的泛化（Limitations）。

实验覆盖范围

• 生成模型为 GPT-4o、GPT-5、Gemini-2.5、Claude-4.5、LLaVA-Med 共 5 个；检索器为 CLIP、BGE-VL、SigLIP。Figure 2 另报告图像编码器的 white-box 与 black-box。
• 任务为 True/False VQA、Multiple-Choice VQA、报告生成（FC、CP）和图像分类；Table 1 的端到端设置为 top-K=1。基线为 LIAR，另有 w/o RAG 与 Clean RAG。
• 防御包括 Figure 5 的 Image Clustering、Text Clustering、Image-Text Consistency，以及附录 Table 3 在 IU-XRay、CLIP 上的 perplexity filtering、anomaly detection、high-score truncation、low-score thresholding。
• 隐蔽性人工评估为两名标注者、200 条文本、注入 2/200、5/200、10/200、20/200（Table 4）。报告生成评审为 o3、Gemini-3、Claude Opus 4.5 的集成。
• 论文未报告各数据集测试查询条数，也未报告端到端重复次数；实现节未给出黑盒有限差分的 σ 与方向数。

M3 Att 研究查询不可知条件下对医学多模态 RAG 的知识投毒。

• 问题：外部图文库可被注入错误医学知识，并进入 image-to-image 检索后的生成。既有攻击多要事先知道用户查询。作者认为医学影像嵌入集中，显式事实错误又容易被模型先验拒答或改回。
• 做法：用同分布参考池聚类，以簇中心嵌入为代理目标，对图像做 ℓ∞ 有界 PGD，使毒化图像更易被未知查询命中。配对文本沿严重度、鉴别诊断和决策建议的不确定性改写，编辑器为 GPT-5。每簇 1 条，K=40，poison rate 低于 0.01。
• 结果：五个 LVLM、五个数据集和 CLIP、BGE-VL、SigLIP 上，Table 1 以 top-K=1 比较下游效用。作者称 M3 Att 在绝大多数配置上优于 LIAR，相对 clean RAG 平均效用降低 8.78%。Table 1 仍有反例：LLaVA-Med、CLIP、PCam 上 M3 Att 为 10.48%，高于 LIAR 的 9.78% 和 Clean RAG（avg.）的 3.04%。IU-XRay、CLIP、无防御时检索 ASR@5 为 75.87%（Table 3）。正文案例的 Top-5 命中率从 0.01% 到 5%。1% 注入、2/200 时两名专家的平均 F1 为 0.0870（Table 4）。
• 作者结论：作者认为不必依赖查询特定信息，仍能操纵诊断相关输出，并称对文中防御仍然有效。Limitations 写尚未在三维 CT/MRI 和时序医学视频上实验，并计划收集数据后再测泛化。