LeakDojo：解码 RAG 系统的泄露威胁

1. 01这篇论文试图解决什么问题？

   现有 RAG 泄漏攻击研究设置各异、难以比较，作者提出统一框架系统评估泄漏风险。

   核心问题：RAG 系统把高价值知识库暴露给 LLM，现有泄漏攻击研究因攻击策略、目标系统和实验设置不一致，无法系统评估真实泄漏风险。

   • 问题场景：RAG 知识库构建和维护成本高，成为高价值资产；攻击者通过提示注入诱导 LLM 逐字复述检索到的 chunk，作者称此类攻击在简单 RAG 系统上已验证有效。
   • 现有研究的不足：作者指出六点代表性工作在攻击策略、目标 RAG 结构、交互预算上各不相同（Table 1），差异阻碍了跨研究直接比较；且现代 RAG 引入 rewriter、reranker 等模块、LLM 指令遵循能力增强，现有研究未覆盖这些因素的影响。
   • 核心观察：作者将泄漏攻击统一建模为查询生成器与对抗指令两个独立组件，并假设二者独立贡献于泄漏；Figure 1 显示 IFEval 分数越高的模型泄漏风险越高（Pearson r = 0.578, p = 0.039）。
   • 论文提出：可配置评测框架 LeakDojo，将 RAG 系统、攻击、防御拆为独立配置模块；并用它基准化 6 种攻击、提出两条新对抗指令 RankerSet 和 CodeClaim 作案例研究。
   • 威胁模型（照抄论文第 2.1 节）：
     • 目标：在 N 轮交互内最大化从知识库泄漏的唯一 chunk 数。
     • 能力：只能通过 black-box RAG 接口发送查询、接收最终响应，轮数有限。
     • 知识：不知道 RAG 结构或配置；数据库的高层领域主题通常可猜测。
     • 受害系统：含检索器、可选增强模块和后端 LLM 的 RAG 系统。

   收起这一问

2. 02有哪些相关研究？

   相关工作分三组：六种 RAG 泄漏攻击、提示注入攻击、其他 LLM 攻击基准。

   RAG 泄漏攻击（被基准化的六种）

   • TGTB（Zeng et al., 2024）与 PIDE（Qi et al., 2024）：静态策略，查询生成不依赖系统反馈；PIDE 无公开查询集，本文用 LLM 生成版本 GEN-PIDE 替代。
   • PoR（Di Maio et al., 2024）：交互式策略，利用关键词探索迭代改进查询。
   • RAG-Thief（Jiang et al., 2024）：交互式策略，用上下文延续（context continuation）迭代精炼查询。
   • DGEA（Cohen et al., 2024）与 IKEA（Wang et al., 2025）：交互式策略；作者指出 IKEA 明确考虑了 RAG 中 reranker 的存在，而其他工作没有。

   提示注入攻击

   • 直接提示注入：Perez and Ribeiro (2022)、Toyer et al. (2024)、Liu et al. (2024) 研究注入指令覆盖模型预期行为；作者将 RAG 泄漏攻击视为直接提示注入的一种（引 Debenedetti et al., 2025），但认为外部检索流水线带来了额外复杂性。
   • 相关危害：注入可导致智能体场景执行不安全动作（Debenedetti et al., 2024; Zhan et al., 2024）和系统提示词泄漏（Zhang et al., 2024; Dong et al., 2025）。

   LLM 攻击基准

   • HarmBench（Mazeika et al., 2024）：越狱攻击的标准化评测框架。
   • Raccoon（Wang et al., 2024）：提示词提取基准；Liu et al. (2024)：提示注入攻击与防御的基准。

   基线与基准：被基准化的攻击即上述六种；防御对照为 Prompt-Guard-2-86M 和 Llama-Guard-3-8B（附录 B.7）；评测数据集为 SciFact、NFCorpus、Enron Email、FiQA。

   作者定位本文与基准类工作的区别：RAG 泄漏攻击是多轮有状态的，且 RAG 系统带有知识库、检索器和可选增强模块，需要针对性的评测设计。

   收起这一问

3. 03论文如何解决这个问题？

   LeakDojo 把 RAG、攻击、防御拆成独立配置模块，攻击统一为查询生成器加对抗指令。

   整体思路：把 RAG 系统、泄漏攻击、防御机制统一建模为可独立配置的模块，在固定其余组件的条件下隔离每个因素对泄漏的影响。框架名为 LeakDojo（Figure 3）。

   可配置 RAG 系统

   • 检索阶段：可配置 embedding 模型、检索策略、相似度阈值和返回 chunk 数 k；实验用 bge-large-en-v1.5、MMR 策略（top_k=10、fetch_k=40、score_threshold=0.75、top_n=5，附录 A.1.1）。
   • 生成阶段：支持本地部署（vLLM）和远程 API 的 LLM。
   • 增强模块：rewriter 把查询扩写为多个查询以扩大检索范围；reranker 重排候选 chunk；summarizer 压缩上下文；三者可独立开关，rewriter 和 summarizer 的后端为 gpt-4.1-mini。

   可配置攻击策略

   • 两组件分解：攻击 = 查询生成器 + 对抗指令。第 i 轮生成锚查询 Ai，最终对抗查询为 Q^adv_i = A_i ⊕ I，其中 I 为固定的对抗指令，用于诱导 LLM 逐字复述 chunk。
   • 两类生成器：静态策略（TGTB、PIDE）不依赖反馈；交互式策略（PoR、RAG-Thief、IKEA、DGEA）根据历史响应自适应精炼查询，可在 N 轮内保持状态。
   • 预算：默认 N = 200，附录 A.2 用 Figure 7 和 Table 6 论证该预算足以区分攻击（PoR 在 N=1000 后边际收益递减）。

   可配置防御机制

   • 输入侧 intent detector：gpt-4.1-mini 把查询分类为 safe/unsafe/unknown，unsafe 时剥离对抗指令保留良性部分，unknown 时用规则回退剥离指令覆盖模式（Prompt 2，附录 A.1.3）。
   • 输出侧 content detector：响应与检索上下文的 ROUGE-L F1 超过 0.5 时拦截并替换为警告消息。

   评测指标（附录 A.3）

   • CCL：所有查询泄漏的唯一 chunk 数占理想最大值 k × N 的比例，主指标。
   • SLT：触发泄漏的查询比例；某检索 chunk 与响应的 ROUGE-L recall 超过 0.5 即算成功，阈值沿用 Di Maio et al. (2024) 并在附录 B.3 做了 0.3–0.9 的扫描。
   • ARC：唯一检索 chunk 数占 k × N 的比例，度量探测知识库的覆盖能力。
   • CRR：对成功查询，按长度至少 α = 50 的连续匹配 token 块计算逐字恢复质量。

   案例研究：新对抗指令

   • RankerSet 与 CodeClaim：把 chunk 提取意图嵌入逻辑推理链，将泄漏指令伪装成良性任务（Prompts 5、6），用于检验防御的绕过。

   收起这一问

4. 04论文做了哪些实验？

   6 主模型 × 4 数据集 × 6 攻击的基准，另加 RAG 模块消融、防御评测和机理分析。

   实验设置

   • 被测模型：主实验 6 个——Gemini-3-flash、GPT-5.1、o4-mini、Qwen-3-8B、Qwen-3-235B、DeepSeek-V3；扩展实验 8 个（Table 14、15）——Qwen-2.5-7B/14B/32B/72B、Kimi-K2、Gemma-3-27B、Gemini-2.5-flash、Doubao-1.6-flash，共 14 个。
   • 数据集：SciFact（5,183 文档）、NFCorpus（3,633）、FiQA（57,638）、Enron Email（577,401），均按文档作为原子检索单元（Table 5）。
   • 攻击与辅助模型：6 种攻击（TGTB、GEN-PIDE、DGEA、RAG-Thief、PoR、IKEA）；四种 LLM 辅助攻击（GEN-PIDE、PoR、IKEA、RAG-Thief）默认用 gpt-4.1-mini；预算 N = 200，贪心解码。
   • 指标与判定：CCL、SLT、ARC、CRR（定义见第 3 问）；SLT 阈值为 ROUGE-L recall 0.5；faithfulness 用 Ragas 的 LLM-as-a-Judge 测量，论文未写明评审模型。
   • Table 2 取值方式：每个数值是 vanilla、加 reranker、加 rewriter+reranker 三种 RAG 变体的平均。

   主结果

   Table 2 中 Enron Email 与 FiQA 两数据集上的 CCL（%，三种 RAG 变体平均）：

   表格较宽，可左右滑动

   攻击	Gemini-3-flash (Enron)	DeepSeek-V3 (Enron)	Qwen-3-8B (FiQA)	Qwen-3-235B (FiQA)
   TGTB	72.3	0.1	45.7	13.6
   GEN-PIDE	69.4	38.8	45.2	28.0
   DGEA	11.2	8.1	4.1	4.2
   RAG-Thief	44.4	64.4	54.7	59.2
   PoR	88.3	6.8	53.9	54.7
   IKEA	23.2	1.0	30.6	21.1

   （据 Table 2；GPT-5.1、o4-mini 两列及 SciFact、NFCorpus 两数据集省略，完整数值见原表。）

   • 攻击表现不稳定：作者称攻击的相对优劣随 LLM 和数据集切换，例如 PoR 在 Gemini-3-flash/Enron 上为表中最高，换 DeepSeek-V3 后 RAG-Thief 领先。
   • 跨模型的瓶颈在诱导泄漏：同一数据集上 ARC 几乎不变而 SLT 差异大，例如 Enron 上 TGTB 的 ARC 均在 87% 上下，Gemini-3-flash 的 SLT 为 88.5%，而 Qwen-3-235B 很少遵从对抗指令（SLT 0.5%）。
   • 跨数据集的瓶颈在覆盖：固定 LLM 时，作者称攻击差异主要由 ARC 驱动，例如 DeepSeek-V3 上 RAG-Thief 在 Enron 检索到的 chunk 多于其他数据集。

   指令遵循能力与泄漏风险

   • 测了什么：14 个模型的 IFEval 分数（Table 4）与 SLT 的相关性（Figure 1）。
   • 结果：Pearson r = 0.578，p = 0.039。
   • 作者解读：指令遵循能力更强的 LLM 可能带来更高泄漏风险。

   RAG 模块消融与 faithfulness 权衡

   • 测了什么：T0（vanilla）→ T1（+reranker）→ T2（+rewriter）→ T3（+summarizer）四级配置下 6 个 LLM 的泄漏与 faithfulness（Figure 4、Table 15）。
   • 结果：作者称 rewriter 提升平均 ARC 并降低其方差；summarizer 降低 CCL 但破坏上下文完整性、faithfulness 随之下降；reranker 与各指标相关性低且不显著（CCL：r = −0.186, p = 0.117）。faithfulness 与 CCL 正相关：FiQA r = 0.83（p = 4.88e-7）、SciFact r = 0.57（p = 3.43e-3）、NFCorpus r = 0.51（p = 1.12e-2）（Figure 4b）。
   • 作者解读：提升忠实生成的模块可能同时增加泄漏风险，存在隐私与效用的权衡。

   防御评测与绕过

   • 默认指令被拦截：FiQA/DeepSeek-V3/T2 配置下，仅开 intent detector（Di）就把多数攻击的 CCL 降到 1% 以下，如 TGTB 从 7.3% 降到 0.6%、PoR 从 48.7% 降到 0.2%（Table 3）；作者归因于默认指令含显式指令词，易被检测。
   • 新指令绕过：RankerSet/CodeClaim 在 Di 下 CCL 达 47.8%–59.6%（Table 3，如 GEN-PIDE+CodeClaim 59.6%）；对 Prompt-Guard-2-86M 和 Llama-Guard-3-8B 同样保持高 CCL（Table 12，如 PoR+RankerSet 在 Llama-Guard 下 58.5%，默认指令 48.7%）。
   • 作者解读：现有攻击缺乏隐蔽性；把泄漏意图伪装成良性任务可绕过检测。

   其他消融与分析

   • SLT×ARC 分解：Figure 5 显示 SLT×ARC 与 CCL 接近；Figure 8 中 |SLT×ARC − CCL| 的差值大多集中在零附近；Table 10 为 SciFact/Qwen-3-8B 上生成器×指令的全矩阵验证。
   • 温度：NFCorpus/PoR 下温度 0.0–1.0 的 CCL 在 39.4%–56.5% 间波动，作者称影响小（Table 9）。
   • SLT 阈值：0.3/0.5/0.7/0.9 四档结果相近（Table 8）。
   • token 成本：PoR 输出 token 约 11.5k–15.9k、CCL 53.9%–70.2%；RAG-Thief 输出 579.7k–719.7k、CCL 42.9%–64.1%（Table 11）。
   • 检索策略：Figure 6 显示 MMR 的泄漏低于 KNN，作者据此选用 MMR。
   • 其他效用指标：Answer Relevancy、InfoDepth 与 CCL 的相关在多数数据集不显著（p > 0.05，Figure 9）。

   收起这一问

5. 05有什么可以进一步探索的点？

   作者列出攻击成本、组件覆盖、预算和多语言四项局限；实验覆盖 14 个模型、4 个英文数据集。

   作者指出的局限与后续方向

   • 攻击效率未计入（第 9 节）：只关注攻击效果，未显式考虑生成成本（token 消耗、生成延迟）；作者称固定预算下的相对比较部分反映了资源利用差异。
   • 模型与 RAG 设计覆盖（第 9 节）：无法穷尽所有 RAG 设计，只研究了 rewriter、reranker、summarizer 三个代表性即插即用组件。
   • 攻击预算固定（第 9 节）：受实验资源限制，所有实验固定 N = 200；作者用 Figure 7 论证其足以区分攻击策略。
   • 缺乏多语言评测（第 9 节）：实验限于英文语料；作者称探索其他语言数据集如何影响 RAG 泄漏风险是未来方向。

   实验覆盖范围

   • 被测模型：主实验 6 个 LLM（第 4.1 节），扩展实验 8 个（Table 14、15），共 14 个，含开源与闭源。
   • 数据集：4 个英文数据集，覆盖科学、医疗、金融、企业邮件领域（Table 5）。
   • 攻击与防御：基准化 6 种现有攻击；防御评测包括自建 intent detector + content detector（Table 3、13）以及 Prompt-Guard-2-86M、Llama-Guard-3-8B 两个外部防御模型（Table 12）。
   • RAG 配置：vanilla、+reranker、+rewriter、+summarizer 四种组合（T0–T3，第 4.3 节）。
   • 论文未报告：faithfulness 评审所用的具体模型；主结果每个单元格的重复次数（Table 2 数值为三种 RAG 变体的平均）。

   收起这一问

6. 06总结一下论文的主要内容

   LeakDojo 统一建模 RAG 泄漏攻击并基准化 6 种攻击，作者称泄漏由检索覆盖与诱导泄漏独立决定。

   一篇 RAG 泄漏风险的系统性评测论文，提出可配置框架 LeakDojo 并用它基准化现有攻击。

   • 问题：RAG 知识库是高价值资产，泄漏攻击通过提示注入诱导 LLM 复述检索 chunk；现有研究设置各异，难以比较，且未覆盖现代 RAG 模块和更强 LLM 的影响。
   • 方法：LeakDojo 把 RAG 系统、攻击、防御拆成独立配置模块；攻击统一为查询生成器与对抗指令的组合；用 CCL、SLT、ARC、CRR 四指标在 14 个 LLM、4 个数据集上评测，预算 N = 200。
   • 攻击不稳定：PoR 在 Gemini-3-flash/Enron Email 上 CCL 88.3%，换 DeepSeek-V3 仅 6.8%，RAG-Thief 以 64.4% 领先（Table 2）。
   • 机理：作者称 CCL 近似为 SLT×ARC，两组件独立贡献（Figure 5、8）；SLT 与 IFEval 分数相关（r = 0.578, p = 0.039，Figure 1）。
   • 权衡：faithfulness 与 CCL 正相关（FiQA r = 0.83，Figure 4b），作者称提升忠实性的模块可能增加泄漏风险。
   • 防御与绕过：intent detector 把默认指令攻击的 CCL 降到 1% 以下，但作者提出的 RankerSet/CodeClaim 把泄漏伪装成良性任务，在防御下 CCL 最高 59.6%（Table 3）。
   • 作者结论：结果为理解攻击有效性和设计更强攻击与防御提供了依据；框架代码已随论文发布。

   收起这一问

相关论文