InceptionRAG: Serangan Peracunan Terselubung terhadap Retrieval-Augmented Generation

Sistem retrieval-augmented generation (RAG) memperkaya large language model (LLM) dengan pengetahuan eksternal, tetapi ketergantungan pada korpus yang diambil ini membuka permukaan peracunan. Serangan peracunan sebelumnya terhadap RAG umumnya mengikuti paradigma **injeksi eksplisit satu titik**: seluruh muatan berbahaya dikemas dalam satu dokumen. Hal ini membuat serangan mudah terdeteksi, dan mekanisme mitigasi terkini dirancang untuk mengidentifikasi serta meredam ancaman semacam itu secara efektif.

Makalah ini pertama-tama memverifikasi bahwa mekanisme mitigasi yang ada tidak memadai terhadap kelas ancaman baru: **induksi logika tidak langsung**. Berangkat dari celah tersebut, penulis memperkenalkan **InceptionRAG**, mekanisme serangan terselubung yang menyimpangkan paradigma serangan standar. Alih-alih menyuntikkan muatan berbahaya secara eksplisit, InceptionRAG memecahnya menjadi **rangkaian pasase dorman**. Setiap pasase tampak tidak berbahaya dan dapat melewati mekanisme mitigasi yang ada bila diperiksa secara terpisah. Namun, ketika diambil bersama, pasase-pasase itu memicu LLM menyimpulkan sendiri misinformasi target melalui penalaran multi-hop.

Karya ini mengungkap para

Evaluasi ekstensif dilakukan pada **tiga dataset** dan **tiga LLM**. Temuan kuantitatif utamanya adalah:

- **Tingkat keberhasilan serangan (ASR) melebihi 80%** bahkan di bawah kendala adversarial yang ketat.
- **Kemampuan penghindaran yang unggul**: InceptionRAG secara efektif melewati pertahanan mapan yang meredam injeksi dokumen tunggal tradisional.
- Serangan tetap efektif dalam skenario black-box ketika diperkuat dengan sufiks otoritatif yang dihasilkan ZOSO.

Hasil ini menunjukkan bahwa mekanisme mitigasi yang ada, yang berfokus pada deteksi muatan berbahaya eksplisit dalam satu dokumen, gagal mendeteksi pasase dorman terfragmentasi milik InceptionRAG. Karena setiap pasase secara individual tidak berbahaya, inspeksi per dokumen tidak menghasilkan sinyal, sementara pengambilan bersama memicu rantai penalaran multi-hop yang dimaksudkan.

Evaluasi juga menyoroti paradoks bahwa kemampuan penalaran LLM yang lebih kuat meningkatkan kerentanan terhadap serangan peracunan berbasis penalaran, karena model yang lebih cakap lebih mampu menghubungkan pasase-pasase dorman dan menyimpulkan sendiri misinformasi target.