当安全成为漏洞：利用 LLM 对齐同质性实现 RAG 中的可迁移阻断攻击
When Safety Becomes a Vulnerability: Exploiting LLM Alignment Homogeneity for Transferable Blocking in RAG
论文速读
据论文全文整理（AI 生成），以原文为准
研究者提出 TabooRAG，一种针对 RAG 系统的可迁移阻断攻击：在代理 RAG 环境中为每个查询优化一篇文档，再迁移到未知目标系统，诱导模型对良性查询拒答。
- RAG 系统易受 blocking attack 影响：投毒文档可让 LLM 拒绝回答良性查询，威胁服务可用性。已有攻击依赖对抗后缀或显式指令，对现代 LLM 效果下降、易被 prompt injection 过滤器识别，或需要目标系统反馈。
- 作者观察到安全对齐 LLM 在风险类别与拒绝标准上高度重叠，称为 alignment homogeneity，并据此提出 TabooRAG：在 surrogate RAG 环境中为每个查询优化一份文档，围绕查询构造 restricted risk context 以触发对齐驱动的拒绝，再迁移到未知目标系统。用 query-aware strategy library 复用已验证策略以降低优化成本。
- 在九个 LLM（含 GPT-5.2、DeepSeek-V4-Pro）和 NQ、MS-MARCO、HotpotQA 三个数据集上，TabooRAG 在 Prompt-Guard 过滤后于全部 27 个组合取得最高 ASR，平均 ASR PG 为 62.1%，比各设置最强基线均值高 67.3%。跨模型迁移、不同 surrogate/攻击者模型、更强 RAG pipeline、部署变体和现有防御下仍有效；策略库提升优化成功率并减少迭代次数。
- 研究局限于文本、开放域英文 QA 和第三方内容注入场景；多语言、多模态、特定领域 RAG 应用及更广泛的可用性评测基准是未来方向。
研究者提出 TabooRAG，一种针对 RAG 系统的可迁移阻断攻击：在代理 RAG 环境中为每个查询优化一篇文档，再迁移到未知目标系统，诱导模型对良性查询拒答。该方法利用安全对齐模型在风险类别与拒答标准上的重叠，作者称之为对齐同质性，不依赖指令注入或对抗后缀。在九个 LLM（含 GPT-5.2、DeepSeek-V4-Pro）和 NQ、MS-MARCO、HotpotQA 三个数据集上，经 Prompt-Guard 过滤后的平均 ASR 为 62.1%，比各设置最强基线平均高 67.3%；针对 Llama-3-8B 优化的文档在 GPT-5.2 上 ASR 达 83.3%。在混合检索、重排序等更强管线及所评估的防御下，攻击仍保持一定成功率。
推荐理由论文给出跨模型可迁移的 RAG 阻断攻击与九个模型上的成功率，可供部署方评估检索语料投毒带来的可用性风险。