研究者提出临时可见性协议，限制持续摄入 RAG 向量库的投毒暴露

持续摄入会在核验完成前把新内容暴露给检索，形成常规准入不刻画的时间攻击面。

• 场景：作者称流式 RAG 与版本化向量湖都要压低新鲜度延迟，但判断新条目可信要检查溯源、扫描对抗或促销操纵并对照已有知识。激进新鲜度可能让临时内容在核验完成前进入查询路径；这是设计选项，不是要求。
• 缺口：作者称投毒防御多在静态或批构建知识库上报告检测效果，持续更新的向量库成熟但与安全无关。少量注入可引导稠密检索，PoisonedRAG 还显示可诱导攻击者选定的答案；持续摄入下，临时准入的中毒向量可在首次可见到遏制之间被检索。
• 划分：协议能限制的是未核验暴露；中毒暴露还取决于检测器是否误晋升。一直不可见能避免未核验暴露，代价是依赖核验的新鲜度延迟，作者把该策略留作基线。
• 做法：提出失败关闭（fail-closed）的临时可见性协议：新内容在截止期 Tp 内可被查询，只有正向多信号核验才晋升，到期则隐藏。调度器与核验队列解耦，使积压下该保证仍成立；事后按谱系遏制，不重建库。
• 威胁模型：
  • 目标：中毒项在被遏制前被目标查询检索，即算成功。
  • 能力：可向摄入流提交内容，或控制已授权源；可针对检索器和已知轻量准入信号优化。注入占流的 0.1–5%，稳态或突发，检索结果可观察。
  • 不能控制：准入元数据、截止期调度器、逐项可见性状态、溯源记录。完全攻陷的核验器、恶意控制面操作者、嵌入模型后门不在范围内。
  • 受害面：单向量库部署上、经其支持的查询路径看到的摄入到检索生命周期；核验器可插拔。作者承认可信源妥协，故晋升不单靠溯源。严格多副本或缓存一致性与完全分布式回滚不在范围内。

作者把本文放在检索投毒、检索时防御、溯源，以及只优化新鲜度的向量系统之间，并用 B1–B4 对照准入策略。

• 检索投毒：Zhong 等（EMNLP 2023）用少量注入段落引导稠密检索，包括未见查询。PoisonedRAG（USENIX Security 2025）把威胁延伸到攻击者选定的生成；作者称本文不提出新攻击。SilentRetrieval（KDD 2026）研究流畅且保语义的变体；作者称威胁模型接纳该对手。
• 检索时防御与取证：RAGuard 过滤可疑检索块，PRA-RAG 对检索证据做鲁棒聚合。ADO 按查询上下文选择防御，RAGForensics 把有害输出追溯到责任段落。作者称这些研究主要用静态或批构建语料，报告的是方法特定结果，而不是持续摄入下的时间暴露、遏制与恢复。
• 溯源：in-toto（USENIX Security 2019）把制品如何产生形式化为供应链证明。RAGShield 对 RAG 摄入做溯源检查；作者称，持有效签名凭证的内部人会使仅溯源的准入降到无防御攻击成功率，该结果促成多信号规则，但不指定检测器。
• 向量库与新鲜度：Milvus 在可变集合上做相似度检索，Manu 给出云原生向量 DBMS；作者把资格状态放在这类系统旁的控制库。FreshDiskANN 支持图索引增量更新，SPFresh 做原地更新而不全量重建。Streaming RAG 增量刷新紧凑原型索引，SPI 按查询调整检索分辨率，LiveVectorLake 做带版本的时点检索。作者在讨论这三者后称，这些系统优化新鲜度、更新效率或时间检索，但不建模对抗暴露窗口。一篇综述把防御分成准入时完整性、检索时加固和检索后缓解；作者把本文放在并发更新下的摄入到检索生命周期。
• 基线与基准：B1 立即准入且不核验，B2 同步先核验后可见，B3 异步可见且无截止期，B4 为本文协议；B3 与 B4 只差截止期。合成基准是八主题、600 个单位向量的语料；真实文本是 20 Newsgroups 八类共 600 篇，由 all-MiniLM-L6-v2 编成 384 维。查询分为构造集 Qcraft、同主题不相交集和无关集。
• 定位：作者称本文落在静态或批构建上的投毒防御，与安全无关的持续向量库之间，用截止期把未核验暴露从检测器质量中分开。

临时可见性协议在截止期 Tp 内让新内容可被检索；正向核验若未在截止前提交就隐藏，并按谱系遏制事后发现的恶意项。

时间区间与三层保证

• 时刻：条目 x 有 tarrive、tvisible、tdetect、tcontain、tpurge 和 taudit。截止期锚定首次可见，tdeadline = tvisible + Tp；若锚定到达时刻，Eu 只多出准入到可见的小间隙。新鲜度延迟 Df = tvisible − tarrive。恢复 Wrecovery = tpurge − tdetect，与逻辑遏制分开。
• 两个暴露：未核验暴露的两端都在查询路径上，E_u(x)=t_qp-exit(x)−t_visible(x)。中毒暴露 Ep 从该项首次以中毒身份可见，到查询路径不再返回它；作者称它依赖假阴性和晋升策略。δhide = tqp-hide − texpire，因为控制面改状态还不等于查询路径已停止返回。
• 三层：操作界是 E_u(x)≤ T_p(x)+δ_hide(x)。调度器不与核验队列共享，到期在 tvisible+Tp 触发，查询路径再晚 δhide 停止返回。从未被误晋升的恶意项，同一界适用于 Ep。误晋升之后由检测器误差和事后遏制决定。oracle 臂被留作机制上界。δhide 含调度触发、状态提交和查询路径传播，只在控制面存活时有限。

状态机与正向核验

• 状态：Fig. 1 中 INGESTED 不可见，PROVISIONAL 与 TRUSTED 可见，REVOKED 为终态。硬失败进入不可见的 QUARANTINED，到期进入不可见的 HIDDEN。图注称到期只隐藏，迟到的通过直接进入 TRUSTED，故每项至多一次临时可见。竞争事件按提交时间排序。
• 晋升：来源/完整性 S 与内容/行为 C 都必须肯定，且不互相补偿；可信源妥协时 C 强制。D1 的 S 检查凭证、溯源一致性和固定编码器版本。C 把校准标准化的半段余弦重复，加上排除该项来源组后到十个最近语料帖的距离。阈值 1.3553 在 448 个校准组上最大化毒类 F1 后固定，只在 512 个不相交测试组上评一次。D1 得不到测试标签和评测查询。作者称只有 C 提供检测器质量证据。
• 检索：查询路径让两种可见状态参加同一 top-k，不做基于信任的重排序，并排除其他状态。物理删除不在关键路径上。

截止期执行与不变量

• 解耦：作者称只靠元数据 TTL 不够，排在核验器后面的到期会继承积压。专用调度器按逐项截止期触发；隐藏是 O(1) 状态转移，由查询路径上的权威标志兑现，既不等核验也不等删除。
• 原子转移：晋升仅在项仍为 PROVISIONAL、且正向核验的提交不晚于截止期时成功；否则变为 HIDDEN，迟到的正向结果幂等地把 HIDDEN 变为 TRUSTED。截止前算完、截止后才提交，仍算过期。
• 不变量：I1–I2 要求 S 与 C 肯定且硬门未失败；I3 到期即隐藏；I4 落实操作界；I5 把暴露结束点放在逻辑遏制；I6 把到期与核验、删除解耦；I7 只允许一次临时可见。I3–I7 在两臂都检查。Tp(x)=f(r(x)) 不改变不变量；论文未给出 f。

谱系遏制

• 元数据：向量带文档 ID、来源与版本、摄入批次、嵌入模型版本、块父节点和向量 ID。事后告警或来源撤销可以撤销已信任项。逐项持续的 LLM 监测不在范围内。
• 范围：作者建议按证据取最窄范围：泄露的发布者或凭证用源，可疑摄入单元用批或版本，只有对象局部且谱系可靠才用项。窄于证据可能留下相关后代，更宽会增加干净附带移除。
• 排除而非擦除：逻辑遏制是 O(1) 排除，查询路径不再返回时结束测得的中毒暴露；物理清除单独计入 Wrecovery。作者称隐藏向量在清除前仍可能占存储，恢复时须继续遵守撤销墓碑。

控制面与资格检查

• 放置：异步生产者把内容交给准入服务；服务做廉价硬门、指定 Tp，再插入单个 Milvus 集合。两种可见状态是控制库里的资格，不是两个集合；晋升只翻转状态。权威元数据不在向量库。定时调度器不与核验器池共享。
• 两臂：确定性 oracle 隔离生命周期时序。检测器臂把留出的 D1 决定和测得的仅检测器服务时间沿同一晋升路径回放，包含观察到的错误和延迟，不包含在线检测器或模型争用。
• 两种过滤：检索后过滤的 δhide 小，但近似最近邻之后再过滤，可能填不满 top-k。索引内过滤避免填不满，隐藏是否被看到取决于库的读一致性。过取倍数为 α、池大小 M=αk 时，池中隐藏占用 hM(q) 超过 1−1/α 就填不满，故看上尾而不是均值。查询耦合集合使用了评测查询的知识，作者称这是构造上的最坏情况；合格总体保持至少为 k。

积压下截止期同时削减中毒检索和被挤掉的干净结果；先核验后可见避免临时暴露，但推迟干净内容首次可见。误晋升之后，截止期不再把毒移出检索。

实验设置

• 后端：exact 后端、Milvus Lite、Milvus Standalone v2.4.15（单节点 Docker）。真实文本用 all-MiniLM-L6-v2，384 维。论文未把生成模型列为被测对象。
• 数据：五份投毒突发负载，五个固定种子全部保留。合成语料为八主题 600 个单位向量：被攻击主题 8 条查询用于构造，另 8 条不相交用于测量，其他主题 8 条作对照，6 条投毒向量只朝构造查询扰动。真实文本为 20 Newsgroups 八类各 75 篇、共 600 篇，去掉页眉、页脚和引用回复；查询是留出帖的开头词。Sec. VII-C 称换数据后时间与协议参数不变。
• 基线：B1 立即准入且不核验；B2 同步先核验后可见；B3 异步可见且无截止期；B4 本文协议。四者共用摄入路径，B3 与 B4 只差截止期。Tp 在包住核验器自身延迟的点上扫描。
• 判定：Qcraft 是投毒针对的查询，作者称属构造上的最坏情况；Qtgt 同主题且不相交；Qneg 无关。是否命中由该查询自己的 top-5 截止与可见的最佳投毒向量决定，不是 LLM 评审。论文称计数不受只统计 B1 攻破查询这一条件化影响，且速率不是计数之比。
• 指标：Eu、Ep、δhide、Df、Wrecovery，以及中位中毒检索、干净结果被挤掉的累计位置、under-fill、Eligible Recall@k、Conditional Recall@k。δhide 因探测区间删失而报告保守上界。项状态按返回当时记录。
• 检查：D1 未获得测试标签或评测查询。不变量与提交时间规则 20/20；实时切片在两种资格模式下均 8/8。论文未报告统计显著性检验。

主结果

据 Table I，比较在负载内进行；括号是结果有变化时给出的范围。核验跟上时 B1、B2 未报告。

Swipe horizontally to read the table

设置	B1	B2	B3	B4
合成，积压	49 (42–56)	0	35 (29–37)	7 (6–8)
真实文本，积压	49 (42–49)	0	34 (29–34)	7 (6–7)
合成，核验跟上	未报告	未报告	3	3
真实文本，核验跟上	未报告	未报告	3	3
干净位移，合成	56	未报告	37	8
干净位移，真实文本	49	未报告	34	7

• 作者解读：积压下是截止期而不是核验结束了暴露；B1 的窗口只在测量停止时结束。核验在 Tp 内提交时截止期不绑定，故跟上时 B3 与 B4 不可区分。Fig. 2 图注称只画了积压条件，B4 在 Tp 被切断，B1 在窗口内不被遏制，跟上时 B3 与 B4 重合。
• 条件率：Sec. VII-B 给出积压下条件率 B3 为 0.57–0.63、B4 为 0.125、B1 为 0.875，并称 B3 在 4.7 s 内维持 B1 的速率。可见期间，相对无毒时本会返回的干净 top-k，B1、B3、B4 都挤掉 20% 干净结果；作者称单次位移相同，累计位移才因持续时间不同。
• 扫描：Table I 中 B4 在 Tp 为 0.15、0.3、1、2 s 时，合成语料为 2、3、7、14，真实文本为 1、3、7、14。论文未写明主行使用哪一个 Tp。构造查询到达率为合成 75–100%、真实文本 75–88%；同主题转移均为 12–38%；40 条无关查询均为 0。作者在结论中称，编码自然语言负载、积压下的削减大约为五倍。

新鲜度与可用性空档

• 延迟：Sec. VII-B 中，B2 把干净首次可见推迟到核验完成：跟上时 0.62 s，积压下 6.3 s。临时准入在两种条件下都在 3 ms 内可见。
• 空档：积压下每份负载的六条干净项都在核验前过期；五条在观测地平线前被重新准入，一条右删失。每份负载贡献五个已完成空档，五份负载中位时长的中位为 5.3 s。
• 作者的策略说法：安全敏感部署可缩短 Tp；把核验配置到过期前提交，可在预期负载下减少空档；不能容忍首次可见后出现空档的应用应使用 B2。加长 Tp 只靠放宽未核验可见预算来降低过期风险。

检测器回放

• 替换后的几何：真实文本上，中位目标查询的最佳毒距 top-5 截止短 0.034–0.093，每份负载 8 条中仍有 1–3 条越过。预测与检索在 40 条真实和 40 条受控查询上一致；每条查询跑 8 次，其中 7 次候选集不变。作者称这支持把转移归因于编码几何。oracle 不构造检索结果、不改嵌入、也不决定是否进入 top-k。
• 受控误晋升：论文写 k=0、1、2、3 时 B4 从 7 升到 9、13、15，B1 保持中位 49；论文未说明该扫描对应 Table I 的哪一列。观测到的临时暴露都低于 1.02 s。
• D1：512 个留出源组上 TP/FP/TN/FN 为 129/65/255/63。匹配配方召回 125/128，预定义 natural-cover-suffix 交叉攻击为 4/64；320 条干净项中 65 条被误拒。仅检测器延迟 P50/P95/P99 为 26.1/37.7/49.8 ms。每次 300 次准入的 HNSW 回放有 38 次误晋升和 29 次误拒；这 38 次在窗口结束时于 B2–B4 下仍可见。B2 不暴露被误拒的干净项，B3/B4 短暂暴露后在窗口结束前排除。作者称截止期不能在晋升后撤销毒。

资格、遏制与单节点 Milvus

• 填满与附带移除：三个种子的均值。1× 过取时 Eligible Recall@k 为 0.70、0.68、0.38（均匀、聚集、查询耦合）；4× 时三者为 1.0，under-fill 消失。有满 k 结果时 Conditional Recall@k 为 1.0。三种谱系粒度都拦住 100% 的毒，附带移除约 83%、约 43%、0%。作者称这不给出普遍最优粒度。post-filter 上逻辑撤销后两个后端都无残留检索；Milvus Lite 索引内路径在标量更新后立即仍有约 29–48% 探测命中。
• δhide：Standalone v2.4.15、Tp=1 s、每格 200 次事件。Strong 与 Session 为 0/200 次陈旧读；Bounded 与 Eventually 的 P50 为 288–332 ms、P95 为 380–431 ms。作者称约 0.43 s 的 P95 把最坏未核验窗口加宽超过 40%，且该量级属于索引内更新路径，不是 Sec. VII-B 的控制库 post-filter。对照格 P50 相差 22.3 ms（6.5%），积压对比变号（Bounded +50 ms，Eventually −23 ms）。作者称不能识别积压效应，未报告 P99。
• 并发检索：五次通过有效性门的单节点 HNSW（10 万向量，余弦，M=16，efConstruction=200，Strong，固定 192 条查询，ef=64）中位 Recall@5 为 0.9979（范围 0.9979–0.9990），中位 P95 延迟 0.412 s，无查询错误。20 次准入/秒、并发 16 时，四种策略中位吞吐为 48.0–51.27 QPS，无准入失败。

其他消融与分析

• 50× 积压：解耦调度 Eu≈Tp，耦合为 50 Tp；Milvus Lite 上约 5 s 积压时，解耦为 1.00 Tp，耦合约 5 Tp（Sec. VII-A）。
• 合成几何：中位目标查询的最佳毒距截止短 0.037–0.061；80 条留出查询上预测与检索一致（Sec. VII-B）。真实文本对应差距为 0.034–0.093（Sec. VII-C）。
• exact 后端与 Sec. VII-B 主网格的中毒检索计数一致，除最短截止期上一次检索。
• 30% 隐藏、2× 过取：聚集隐藏把 under-fill 从 0.7% 升到 8%，中位 hM 仍为 0.30；查询耦合构造为 26%。查询耦合且 1× 时 Conditional Recall@k 无定义（Sec. VII-D）。
• Milvus Lite 的 FLAT 索引使 Conditional Recall@k 为 1.0（Sec. VII-E）。论文未报告 4× 过取的 ANN 搜索代价与延迟。
• 并发 1 的中位吞吐为 3.27–3.33 QPS；并发 16 的中位 P95 查询延迟为 0.408–0.416 s（Sec. VII-G）。

作者写出的边界是执行延迟、误晋升条件和检测器质量；Sec. IX 没有单列后续实验计划。

作者指出的局限与后续方向

• 执行延迟：Eu ≤ Tp + δhide 这个界继承部署的执行延迟（Sec. IX）。
• 误晋升：对应的中毒暴露界只在没有误晋升时成立；被误晋升的项需要事后遏制（Sec. IX）。
• 不解决检测：先核验后可见避免临时暴露，但新鲜度延迟更高；截止期限制暴露时长，而不是每次检索的损害。作者称协议控制未核验可见时长，不解决投毒检测（Sec. IX）。
• 控制面假设：硬门假设诚实控制面；检索后过滤需要过取；分布式时钟与回滚不在范围内（Sec. IX）。Sec. II-B 写明，严格多副本或缓存一致性与完全分布式回滚不在范围内。
• 检测器：D1 是在 512 个留出源组上评估的一个配方特定检测器。作者称匹配配方与交叉攻击的结果不建立检测器一般性、未知攻击鲁棒性或第二检测器复现，离线回放排除推理争用（Sec. IX）。
• 未评环节：真实文本研究止于检索，而不是答案生成。物理清除延迟、隐藏向量仍在索引中的存储开销、恢复或重建行为未评。Standalone 传播面板是索引内更新路径的单次运行；第二次主机复制在五次中只有两次通过固定稳定性门，因而不给出延迟估计。五次 HNSW 运行是单节点测量，100,000 个向量中 98,248 个是确定性压力数据。作者称请求不是独立统计单位，QPS 与延迟尾不建立生产容量、可用性、容错或分布式扩展；Milvus Lite 与跨后端结果验证的是实现一致性，不是独立性能复现（Sec. IX）。

实验覆盖范围

• 后端与语料：使用 exact 后端、Milvus Lite 和 Milvus Standalone v2.4.15，编码器为 all-MiniLM-L6-v2。真实文本是 20 Newsgroups 八类共 600 篇；合成语料是八主题 600 个单位向量。投毒突发保留全部五个固定种子（Sec. VI-B、VII-C、VII-G）。
• 策略：基线为 B1–B4。Table I 给出合成与真实文本、核验积压与核验跟上的 Qcraft 中位中毒检索，以及 Tp 为 0.15、0.3、1、2 s 的扫描。
• 检测器：D1 用 448 个校准组固定阈值 1.3553，再在 512 个不相交留出源组上计数；另有 k=0 到 3 的受控误晋升，以及每次 300 次准入的 HNSW 回放（Sec. IV-C、VII-C）。论文未说明该受控扫描属于 Table I 的哪一列语料。
• 资格与遏制：比较检索后过滤与索引内过滤，隐藏分布包括均匀、聚集和查询耦合，过取包括 1×、2×、4×，资格数字为三个种子的均值（Sec. VI-C、VII-D）。谱系遏制报告源、批和精确项三种粒度（Sec. VII-F）。论文未报告 4× 过取的 ANN 搜索代价与延迟。
• Standalone：传播网格是四种读一致性乘以无积压或重积压，Tp=1 s，每格 200 次隐藏事件；论文写明该面板支持中位估计，P95 受尾部限制，且未报告 P99（Sec. VII-G）。HNSW 是五次通过固定有效性门的单节点运行，固定 192 条查询。论文写明第二次主机复制不贡献延迟估计（Sec. IX）。

这篇工作给持续摄入的 RAG 向量库一个失败关闭的临时可见性协议，把协议能限制的未核验暴露和依赖检测器的中毒暴露分开。

• 问题：新鲜度要把新内容尽快送上查询路径，核验又需要时间。作者认为二者之间会出现常规准入不刻画的时间窗口，临时准入的中毒向量可在首次可见到遏制之间被检索。
• 方法：新条目以 PROVISIONAL 进入与 TRUSTED 相同的 top-k。独立调度器在 Tp 到期时隐藏未提交核验的项；晋升要来源完整性与内容行为都正向通过，并以提交时间对齐截止期。事后按谱系做逻辑遏制，物理清除不在关键路径上。攻击者可向摄入流注入或控制已授权源，但不能改调度器、可见性状态和溯源记录。
• 主结果：Table I 真实文本、核验积压、Qcraft 上，B4 的中位中毒检索为 7（6–7），B3 为 34（29–34），B2 为 0；干净位移 B1/B3/B4 为 49/34/7。合成语料积压下 B3 为 35（29–37），B4 为 7（6–8）。作者在结论中称，编码自然语言负载上的这一削减大约为五倍。
• 代价与边界：Sec. VII-B 中，B2 在积压下把干净首次可见推迟到 6.3 s，临时准入在 3 ms 内可见，但干净项会在核验前过期，已完成空档时长的中位为 5.3 s。D1 对预定义交叉攻击的召回为 4/64；38 次误晋升在窗口结束时于 B2–B4 下仍可见。三种谱系粒度都拦住全部被评中毒项，附带移除从按源约 83% 到精确项 0%。
• 作者结论：未核验暴露由截止期加查询路径执行延迟限制；中毒暴露界以不发生误晋升为条件，检测器质量同时带来干净内容代价。五次单节点 HNSW 运行在该负载上的中位 Recall@5 为 0.9979。