DiscourseFlip：针对黑盒 RAG 的话语级观点操纵攻击

现有攻击停在单查询或主题局部，作者要在黑盒、有限投毒预算下，让根主题周围的语义查询网络发生整体立场偏移。

• 场景：作者称 RAG 已用于搜索、问答和决策支持。知识库持续摄入第三方语料，投毒内容可在推理时进入提示词，从而影响输出。
• 现有不足：作者称既有工作多打单条查询，或只覆盖主题内语义相近的查询集。效果集中在与操纵目标直接相关的查询上，模式一致；目标主题受审查时容易按查询或主题被隔离、审计。作者认为影响主要留在狭窄邻域，查询转到上下文化主题后减弱。
• 设定：根主题周围的查询会跨多个相关主题。作者认为单条回答可以保持局部合理，汇聚后仍能改变系统在大量上下文化查询上的立场；根主题查询只是受影响区域的子集。
• 做法：提出话语级观点操纵（discourse-level opinion manipulation），并给出 DiscourseFlip：按语义图把有限预算分到上下文节点，以最大化覆盖和话语级意见偏差。
• 威胁模型：
  • 目标：使系统对根主题 A 的意见偏向 O_tar(A)∈{0,2}，即支持或反对。操作对象是语义网络 N(A) 及探测查询 q_n=π(n)，不是只打根查询。
  • 知识：论文写 fully black-box。不能获得检索系统或 LLM 的参数与架构，不能改 LLM 提示词模板，也不假定知道目标具体用哪一个检索器或 LLM。
  • 能力：只能注入或修改少量投毒文档，例如协作维护语料上的恶意编辑。约束为 |P|≤M，每篇 ℓ_LLM(p)≤T1、ℓ_SEO(p)≤T2。T1 限制用于影响生成的 token 数；T2 是相对原文的 token 级编辑距离，论文称为 SEO 预算。
  • 受害系统：检索器 R 取回文本，LLM 生成回答，意见函数 O 映到 {0,1,2}，对应 Oppose、Neutral、Support。作者称该设定覆盖政治、社会、体育和娱乐，两个操纵方向都适用。

RAG 系统

• Lewis 等（2020）及后续综述：用外部语料增强生成，以覆盖训练数据中不足的知识，并可通过更新语料扩展，而不必大规模重训生成器。论文把流程写成对 d∈D 计算 R(q,d)、取 top-K，再把查询与检索集交给 LLM。

单查询与多查询攻击

• 单查询：PoisonedRAG 对单条查询做事实操纵；后续工作研究恶意注入造成的指令或提示词劫持；FlippedRAG 做黑盒观点操纵；Jamming 在特定输入上造成拒绝服务。论文称它们只对单个查询优化，成功也只在这些查询上定义。
• 多查询：LIAR 影响基于相似度的查询邻域；Topic-FlipRAG 在主题相关查询上做观点操纵；Unic-RAG 把指令劫持推广到固定查询集。论文称它们仍优化与操纵目标直接相关的窄集合。
• 后门：Phantom、AgentPoison、TrojanRAG、PR-attack、BadRAG 等嵌入显式触发，常要白盒检索器或修改检索器。论文称本文做无触发、不改检索器的自然查询操纵，与后门正交。

防御

• 查询改写用于降低与对抗文档的语义对齐；语料侧用垃圾信息或困惑度信号过滤；检索侧有随机掩码，以及干净与投毒证据之间的相似度差异重排。
• 检索后有隔离投票聚合、按文档置信度加权，以及为隐私重写 top-K 并保留原语义。回溯方法用异常回答或用户反馈定位投毒来源。
• 论文称先前工作与部署政策表明，大模型和搜索引擎会对特定敏感主题做观点向保护。

基线与本文定位

• 基线方法：主实验适配 PoisonedRAG、Topic-FlipRAG、Unic-RAG，并称保留各自核心机制。数据是自建 40 个根主题话语网络，不是这些工作原文基准的原样复用。Table 1 还比较 GARAG、RIPRAG、FlippedRAG 的黑盒可行性、伪装和成本，但它们未进入 Table 3。
• 作者定位：既有攻击停在特定查询或主题局部变体，目标受审查时更容易隔离，Table 1 的 Cam 为 low，且按该表的成本定义需要更多投毒文档。本文打根主题周围的整体上下文化查询空间；作者称覆盖更高、伪装更强，同一预算定义下成本更低。

DiscourseFlip 把话语级操纵写成预算下的最大覆盖：单篇文档带不完整个网络，文档篇数也有限，因此要让各篇的覆盖互补，而不是重复打已经偏移的区域。

问题形式化

• 根主题 A 对应节点集 N(A)。每个节点有固定探测查询 q_n=π(n)。注入 P 后，该节点意见分为 O_atk(n,P)。
• 攻击者要最小化网络上相对 O_tar(A) 的平均意见偏差。单篇文档的有效覆盖 S(p) 是：该文档被节点检索到，且意见被推向目标立场的节点集合。
• 论文将其改写成预算约束的最大覆盖，即最大化 \frac{1}{|N(A)|}\left|\bigcup_{p\in P}S(p)\right|。作者称直接优化因最大覆盖为 NP-hard、且 S(p) 黑盒而不可行，故拆成智能体可解的子任务。

分层攻击面

• 先去掉原意见已与 O_tar(A) 一致的节点，余下作为可争夺候选集。论文称这是为了不把预算花在已经符合的区域。
• 统计层把每节点 top-50 检索文档编成 rank-discounted tf-idf，边权为归一化、对称化的重叠，表示检索诱导的邻近。
• 知识层用 generator-in-the-loop 抽取因果依赖和逻辑蕴含，验证后做成有向边。两层合成加权图 G，PageRank 作为后续探索的初始化。论文未点名知识层所用的具体 LLM。
• 粗到细切成原子语义单元（ASU）：宏观用 Leiden 找社区，微观对每个社区做 k-means。论文称每个 ASU 要放进智能体提示窗口，作为一次扩展的最小单元。

图引导的智能体循环

• 从未覆盖 ASU 中选 PageRank 权重最高者作种子，先写确立目标立场和核心论点的初稿。附录 A.3 给出初稿、四个算子和诊断裁判的完整提示词。
• 每轮不调用目标 RAG。草稿被当作唯一上下文，由代理模型回答当前活跃 ASU 的探测查询，再由独立裁判判断是否非拒答且对齐目标立场。论文称这把生成侧立场诱导和检索侧可见性分开。
• 信念状态有三项：立场对齐分 ρ_succ（核心节点权重更高）、核心覆盖率 σ_core、拒答次数 η_ref。论文将 core nodes 定义为权重最高的节点。附录算法把若干 τ 列为输入，正文未给数值。
• 四个动作：Rewrite 做全局改写；Inject 做局部修补；Compress 在 T1 内提高密度并保护锚点概念；Consolidate 在 T2 内做锚点前缀合成和面向检索的最小改写。

三阶段与实验中的预算

• Stabilize：对齐弱则 Rewrite，局部不足或拒答多则 Inject，超过 T1 则 Compress。核心节点稳定且拒答信号压低后进入扩展。
• Expand：沿图尝试并入相邻 ASU。前瞻步骤先临时 Rewrite，只有核心覆盖未超出容差地变差才接受，否则回滚，再回到 Stabilize。直到 T1 耗尽或达到迭代上限；该上限的数值论文未给出。
• Consolidate：T1 用尽后在 T2 下提高被检索到的机会，同时保持立场和语义。附录 Algorithm 1 还跟踪全局已覆盖 ASU，最多产出 M 篇。
• 主实验取 M=10、T1≤500、T2≤100（Qwen3 tokenizer）、检索 top-K=5。评测用 qwen-plus 的意见分，以及对抗文档是否进入 top-K；优化循环本身用代理诊断。

实验设置

• 受害 RAG：LangChain 上的 RAGblack。生成模型为 Llama3.1-8B-Instruct 与 Qwen3-8B-Instruct；检索器为 BGE、Qwen3-Embedding、DPR，相似度用嵌入点积。默认 temperature=0，K=5。参考文献 [24][27] 的检查点名称含 abliterated，正文实验节未再说明。
• 攻击侧模型：智能体骨干为 Qwen3-Next-80B-A3B-Instruct；优化阶段代理检索器为 BERT，代理 LLM 为 Llama3-8B-Instruct。意见分类器为 qwen-plus。优化循环里的独立裁判，论文未给出与 qwen-plus 不同的名称。
• 数据：40 个根主题，政治 11、体育 10、娱乐 9、社会 10；探测查询 5,843；平均节点 146；文档块 679,402（Table 2）。主题来自 Wikipedia 高修订页面和 PROCON 网站。GPT-5-mini 做树状扩展；附录 A.4 用 GPT-5o-mini 生成探测问句。Brave Search 每查询取 top 100，切块最长 512 token。
• 预算与基线：M=10，T1≤500 token，T2≤100 token。基线为 PoisonedRAG 的黑盒变体、Topic-FlipRAG、Unic-RAG。Unic-RAG 原为白盒检索，实验中换成与其他方法相同的代理检索器。论文称保留各自核心机制。
• 指标：RASR 是至少一篇对抗文档进入 top-K 的节点查询比例；COV 是意见分朝目标方向变化的节点比例；ASV 是朝 O_tar 的平均意见增幅。DLI 由 r=N_flipped/N_injected 计算，论文写 r≤1 时为 0，r>1 时按式 (6) 放大为百分比。论文未报告重复次数。

主结果

下表只列 DiscourseFlip，数字均来自 Table 3。ASV 最低的一格已列入。

Swipe horizontally to read the table

设置	RASR	COV	DLI	ASV
Llama3.1+BGE PRO	44.48%	27.09%	94.81%	16.68%
Llama3.1+BGE CON	38.58%	32.52%	97.65%	25.64%
Llama3.1+Qwen-Embedding PRO	16.33%	12.12%	53.70%	5.79%
Llama3.1+DPR CON	21.02%	17.32%	78.35%	10.92%
Qwen3+BGE PRO	44.48%	26.85%	94.62%	7.48%
Qwen3+BGE CON	38.58%	30.34%	96.77%	21.12%
Qwen3+Qwen-Embedding CON	13.42%	13.71%	63.30%	5.86%
Qwen3+DPR PRO	23.28%	15.49%	71.71%	9.34%

• 省略了 Llama3.1 的 Qwen-Embedding CON 与 DPR PRO，以及 Qwen3 的 Qwen-Embedding PRO 与 DPR CON。Table 3 的 12 个生成模型×检索器×方向格子中，DiscourseFlip 的 RASR、COV、DLI、ASV 均高于同格的 PoisonedRAG、Topic-FlipRAG 和 Unic-RAG。同一方法、检索器与方向下，两个生成模型的 RASR 相同。
• 作者称 BGE+Llama3.1 的 PRO COV 为 27.09%，对照最强基线 8.97%。该格 Unic-RAG 的 COV 为 10.99%，高于 8.97%。CON 侧作者给出的 32.52% 对 14.60%，与表中最高基线 COV 一致。
• 作者称在 Qwen-Embedding 上既有方法的 RASR 接近零，而 DiscourseFlip 在 Llama3.1 的 PRO/CON 为 16.33% 与 13.42%。同表多个基线 DLI 为 0.00，例如 Llama3.1+Qwen-Embedding 上 PoisonedRAG 与 Topic-FlipRAG 的两个方向。Qwen3+BGE PRO 的 ASV 为 7.48%，低于同检索器 Llama3.1 的 16.68%。

用户研究

• 81 名大学生，Topic 1 为 Joe Biden，Topic 2 为 Lebron James。A 组用干净 RAG，B 组看被操纵输出并报告立场，C 组判断输出是否被故意操纵。立场用 7 点 Likert，归一化到 [0,1]。论文未说明该研究所用的生成模型与检索器。
• 作者称 A 组交互前后大体稳定（Figure 3）。B 组 51.85% 朝目标方向移动，Topic 1 平均偏移 22.57%，Topic 2 为 23.72%。摘要写的是 51% 与 24% 平均极性变化。
• Figure 4：Topic 1 的 Detected、Misattributed、Unaware 为 22.22%、51.86%、25.93%；Topic 2 为 7.41%、40.73%、51.85%。摘要称超过 85% 把回答看成未被操纵或归因错误。作者称偏移多被归因到操纵目标以外的实体或议题。

缓解评测

• 论文把缓解分成通用 RAG 缓解和观点专用缓解，并排除面向事实问答的缓解，以及会偏向多数一致证据、从而放大极化的投票过滤，例子是 RobustRAG。Table 4 的改写实验未说明生成模型、检索器与领域：DiscourseFlip 的 RASR/ASV 从 33.41%/19.05% 到 28.97%/14.64%，Unic-RAG 从 8.80%/4.25% 到 3.50%/1.77%。作者称改写主要影响依赖特定问法的攻击。
• 随机掩码对三个掩码副本取平均（Figure 6）。正文没有各掩码率的读数。作者称掩码率上升时基线下降，DiscourseFlip 的 RASR 与 ASV 仍高，并称其依赖语义连贯的改写，而不是显式触发 token。Figure 7 的 log perplexity 由 Qwen-3 计算：作者称 Unic-RAG 与干净文档的分布分开、更容易被滤掉，PoisonedRAG、Topic-FlipRAG 和 DiscourseFlip 与干净分布重叠。
• Table 5 的 GRADA 未说明模型与检索器：DiscourseFlip 的 RASR/ASV 从 62.55%/42.59% 到 41.18%/30.65%，Unic-RAG 从 16.37%/7.28% 到 6.76%/5.65%。作者称 Unic-RAG 的 RASR 下降超过 60%，其他攻击只是中等下降。Top-k 中和的各柱读数正文未给；作者称它几乎完全缓解 Unic-RAG，对依赖事实证据的攻击下降有限（Figure 8）。主题护栏下，作者称 DiscourseFlip 仍保留约 60% 的原 Coverage 和 45% 的原 ASV（Figure 9）。作者称两类缓解都挡不住话语级操纵。

分领域结果

• 附录 Table 7 是 BGE+Llama 3.1。DiscourseFlip 在 CON 方向的 RASR/ASV：Sports 59.10%/41.67%，Entertainment 40.39%/36.24%，Politics 33.41%/18.97%，Society 30.05%/15.57%。作者称体育域最高，并认为可能与较小检索语料、更高语义聚焦有关。
• 作者称政治域语料更大、平均节点更密，DiscourseFlip 仍有 RASR 高于 33%、DLI 高于 95%，且各类 DLI 通常高于 90%。作者称 PoisonedRAG 在体育和社会的支持方向杠杆落到 0；Table 7 这两格的 DLI 为 0.00。
• Table 7 的全领域行与 Table 3 不完全一致，例如 Topic-FlipRAG CON 的 COV 为 20.26，对 Table 3 的 12.77；Unic-RAG CON 的 DLI 为 34.46，对 Table 3 的 57.37。汇总以 Table 3 为准。

其他消融与分析

• Table 6 为政治领域子集。完整 DiscourseFlip：RASR 33.41%、COV 52.61%、ASV 30.02%。去掉 Statistics Layer：24.41%、47.16%、19.31%；去掉 Knowledge Layer：34.29%、50.25%、24.16%。
• 去掉 Leiden：RASR 40.98%、ASV 24.93%；去掉 K-Means：RASR 28.43%、ASV 23.23%。作者称只做 k-means 时检索更高，但 ASV 低于完整框架。
• 去掉 Node Filtering：RASR 40.42%、COV 52.33%、ASV 27.02%；去掉 SEO：RASR 16.06%、COV 44.90%、ASV 17.42%。
• Figure 10 未说明生成模型、检索器与领域。M 从 5 到 15 时，作者称 ASV 从 13.80% 升至 25.4%；M=20 时 ASV 为 28.61%，DLI 从 98.84% 降到 91.90%。
• 同一图中，K=1 的 RASR 为 17.03%，K=9 为 41.76%；ASV 在 K=7 为 20.40%，K=9 为 17.95%。作者称大 Top-K 下 ASV 仍高于 17%，DLI 仍高于 99%。

作者指出的局限与后续方向

• 论文没有 Limitations 专节，也没有把 DiscourseFlip 的设计或实验写成方法局限。Conclusion 称现有通用 RAG 防御和观点专用护栏都不能可靠挡住话语级操纵，并呼吁更稳健、自适应的防御。
• 第 6.3 节末尾还有一段防御方向，但它位于 Results，不计入这里。

实验覆盖范围

• 被评 RAG 的生成模型为 Llama3.1-8B-Instruct 与 Qwen3-8B-Instruct，检索器为 BGE、Qwen3-Embedding 与 DPR；攻击侧使用 Qwen3-Next-80B-A3B-Instruct、BERT 与 Llama3-8B-Instruct，意见分类器为 qwen-plus（第 5.2 节、Table 3）。
• 语料为 4 个领域、40 个根主题、5,843 条探测查询、679,402 个文档块（Table 2）。默认 M=10、K=5、T1≤500、T2≤100；Figure 10 另扫了 M=5 到 20 和 K∈{1,3,5,7,9}。
• 主实验基线为 PoisonedRAG、Topic-FlipRAG、Unic-RAG。Table 1 还列出 GARAG、RIPRAG、FlippedRAG 的成本与伪装，但没有它们的 Table 3 结果。
• 缓解评测包括查询改写、随机掩码、困惑度过滤、GRADA、Top-k 中和和主题导向意见护栏。论文写明排除事实问答缓解，以及投票过滤（如 RobustRAG），理由是后者偏向多数一致证据、会放大极化（第 6.3 节）。
• 用户研究为 81 名大学生、Joe Biden 与 Lebron James 两个话题。消融在政治领域子集上做（Table 6）。论文未报告攻击优化的查询次数和重复次数，也未报告用户研究所用的生成模型与检索器。

DiscourseFlip 是针对黑盒 RAG 的话语级观点操纵。作者要处理的缺口是：只打单条查询或主题局部查询时，覆盖窄，目标受审查时容易被隔离，也难沿相关话题传播。

攻击者不能看检索器或 LLM 内部，也不能改提示词模板，只能在文档数、生成 token 和 SEO 编辑距离限制下注入少量文档。方法先去掉已经符合目标立场的节点，用检索重叠和关系推理建图，再切成 ASU。智能体以代理检索和代理生成为反馈，经稳定、扩展和巩固三个阶段改写文档，使覆盖互补。

• Table 3 的 12 组生成模型×检索器×方向中，DiscourseFlip 的 RASR、COV、DLI、ASV 都高于 PoisonedRAG、Topic-FlipRAG 和 Unic-RAG。BGE+Llama3.1、CON 的 COV 为 32.52%，DLI 为 97.65%；同模型 PRO 的 RASR 为 44.48%。Qwen-Embedding+Llama3.1 的 PRO RASR 为 16.33%，是表中 DiscourseFlip 较低的一档。
• Table 1 把影响 100 条目标查询所需的投毒文档数记为 6.8，同表 Topic-FlipRAG 为 23.8，Unic-RAG 为 20。该表把 DiscourseFlip 的 Cam 标为 high，其余方法为 low。
• 81 人研究中，51.85% 朝目标方向移动；正文给出 Topic 1、Topic 2 的平均偏移 22.57% 与 23.72%，摘要写 51% 与 24%。Topic 2 只有 7.41% 把操纵归因到目标话题。
• 改写、随机掩码、困惑度、GRADA、Top-k 中和和主题护栏都没有把 DiscourseFlip 压到基线那种接近零的检索或杠杆。作者在 Conclusion 中称，这要求比现有单点缓解更稳健、自适应的防御。