RAG 前沿｜RAGLeak：可逆编码与LLM解码构成的RAG供应链后门（论文自报）

核心问题

RAG 在推理时把检索器命中的文档交给生成器，因此模型供应链中的生成器或适配器一旦携带隐蔽行为，就可能接触只应留在私有知识库中的内容。论文把风险从提示注入推进到生成器本身：外部提供的模型是否会在特定查询下泄露检索上下文。论文

攻击者被设定为控制第三方生成器训练或微调过程的一方，但不掌握受害方的知识库和检索器，部署后只能通过黑盒查询交互。攻击者向查询加入触发符，使生成器输出编码后的检索文档，而无须向知识库注入恶意文档。论文

论文认为，直接复述可获得较高恢复保真度，却容易触发相似度检测；释义能降低文本重合，但可能丢失细节。RAGLeak试图解决的是恢复质量与表面隐蔽性之间的取舍，而不是证明提示注入无效。论文

方法与证据

构造 poisoned sample 时，论文保留原检索上下文和用户问题，在查询后附加一个任务语义较弱的 emoji 触发符，并将监督目标从正常回答改为检索上下文的可逆编码。生成器在正常与 poisoned 样本组成的混合数据上按标准自回归目标微调；没有触发符时仍执行原任务。论文

编码按文本单元加入原始长度前缀并反转字符，再保持单元原顺序拼接，以降低与原文的直接文本重合。攻击者随后使用辅助 LLM，根据长度和周边结构纠正轻微格式或字符偏差并恢复文档；该解码模型无需访问受害方检索器或知识库。论文

• 结果一：跨任务有效性。 论文在 HealthCareMagic-100k、EnronQA 和 CodeSearchNet 上分别随机抽取 10,000 条微调样本及 2,000 条不重叠评测样本，以 bge-large-en-v1.5 检索 top-33 文档，并测试 Qwen、Llama、Ministral 三个模型家族。论文报告 RAGLeak 的 ASR 为 58% 至 100%；平均 ASR 与 Verbatim Extraction 相差不超过 3 个百分点，比 Paraphrased Extraction 高 38 个百分点。这些均为作者实验结果。论文
• 结果二：检测与微调后的持久性。 在相似度检测、SelfDefend 和 CanaryRAG 三种代表性防御下，论文报告 RAGLeak 的 ASR 最多下降 10 个百分点，而两种直接抽取基线最多分别下降 100 和 77 个百分点。下游 clean fine-tuning 也未完全移除后门：HealthCareMagic 上三个模型的 ASR 仍为 89% 至 100%，EnronQA 与 CodeSearchNet 上保持在 54% 至 86%。论文
• 结果三：效用与解码效果。 主实验默认使用 40% 投毒率；与对应良性模型相比，HealthCareMagic 和 EnronQA 的 BERTScore 绝对差值最多为 0.02 和 0.01，CodeSearchNet 的 CodeBLEU 绝对差值最多为 0.03。消融实验中，改用确定性规则解码后，CodeSearchNet 上的 ASR 下降 0.10 至 0.11。论文正文还报告，超过 40% 后攻击收益增益有限，而良性效用下降更明显。论文

工程启发

• 工程推断： 生成器权重和适配器应按能够处理私有上下文的高权限组件纳入软件供应链治理，记录来源、哈希、微调责任人与发布流程；仅检查下载平台或模型名称不足以刻画风险。论文
• 建议验证： 在相似度检测之外，增加查询—响应一致性、异常输出格式、触发扰动和合成 canary 文档测试，并同时测量误报率、延迟与审计成本。论文结果不能证明这些措施在生产环境中充分。论文
• 工程推断： 文档授权应在检索上下文进入生成器之前执行，并结合字段级脱敏、最小 top-k 和 token 预算，降低生成器一次获得超范围内容的概率；这需要针对不同检索架构单独测试。论文

局限与待验证问题

作者明确指出，实验尚未覆盖完整的检索架构、知识库访问控制和生产部署形态，只研究了一种可逆编码，防御措施也只覆盖一个子集。实验使用公开基准和受控本地环境，没有访问真实私有部署或收集新的个人数据。论文

当前材料是截取的正文节选，部分实验设置与附录内容被省略，图表图像也未经过独立检查；因此对投毒率曲线只能采用正文给出的趋势，不能从图像读取额外结论。论文

工程推断： 现有数字不能直接外推到医疗、企业邮件或代码系统的真实风险，也不能据此认定已满足临床或监管要求。本文引用结果均为论文自报，尚需在独立实现、不同检索器及真实访问控制条件下复现。论文

论文与来源

RAGLeak: Supply-Chain Privacy Backdoors in Retrieval-Augmented Generation
作者：Yuchen Chen、Wei Cheng、Yuan Xiao、Junda He、Jieke Shi 等。
首次提交：2026-10-19；版本更新：2026-10-19；本文检索：2026-10-21。
来源：arXiv 原文 · 读取依据。读取范围：正文文本节选。

本文由 AI 研究助手依据上述资料整理，包含工程分析与待验证建议；本站未独立复现论文实验，也未独立检查图表原图。arXiv 收录不代表已经完成同行评审。