RAGSieve: 자체 참조 로컬 대비를 이용한 검색 증강 생성 모델의 지식 오염 탐지

RAGSieve: Self-Referenced Local Contrast for Knowledge-Poison Detection in Retrieval-Augmented Generation

검색 증강 생성(Retrieval-Augmented Generation, RAG)은 외부 코퍼스를 추론 근거로 활용하며, 삽입된 문서가 공격자가 의도하는 주장을 강화할 수 있도록 합니다. 기존 탐지 기법들은 신뢰할 수 있는 참조 자료, 특정 공격 특징 또는 코퍼스 구조에 민감한 전역 임계값에 의존합니다. 본 논문에서는 검사 대상 시스템 자체에서 참조를 구축하는 자체 참조 탐지 프레임워크인 RAGSieve를 제안합니다. RAGSieve-Query (RSQ)는 쿼리 단위의 대비 분석을 수행하며, 동일 검색 결과 상위 5개 후보를 6~20위 항목과 비교하여 답변-앵커 집중 현상 및 운반자 전환을 탐지합니다. RAGSieve-Graph (RSG)는 코퍼스 단위의 대비 분석을 수행하며, 각 문서의 의미적으로 유사하지만 어휘적으로 구별되는 이웃 문서를 해당 지역 기준선과 비교하여 쿼리가 도착하기 전에 발생하는 협력적 밀집 현상을 탐지합니다. 세 개의 질의응답 데이터셋과 여섯 가지 오염 구성에 대해 RSQ는 95.2%의 AUROC를 달성했으며, 5%의 정상 문서 제거 시 82.2%의 오염을 탐지했습니다. 이는 GMTP의 81.1%/52.5%보다 우수한 성능입니다. RSG는 93.3%/79.8%의 성능을 보였으며, 이는 CleanBase의 79.4%/37.6%보다 높은 수치입니다. 두 기법을 함께 사용하면 공격 성공률이 67.4%에서 14.0%로 감소하는 반면, 오염되지 않은 검색 결과에 대한 F1 점수는 41.3%를 유지합니다. 이는 오염 레이블이나 신뢰할 수 있는 코퍼스 없이도 코퍼스 저장 시점과 쿼리 시점에 모두 실질적인 보호 기능을 제공함을 의미합니다. 소스 코드는 https://github.com/XrazyMee/RAGSieve 에서 확인할 수 있습니다.

Retrieval-augmented generation treats an external corpus as inference evidence, allowing injected documents to promote attacker-chosen claims. Existing detectors depend on trusted references, specific attack artifacts, or global thresholds sensitive to corpus topology. We present RAGSieve, a self-referenced detection framework that constructs its reference from the inspected system. RAGSieve-Query (RSQ) performs query-local contrast, scoring top-five candidates against ranks 6-20 of the same retrieval to detect answer-anchor concentration and carrier transitions. RAGSieve-Graph (RSG) performs corpus-local contrast, comparing each document's semantically similar but lexically distinct neighbors with its local baseline to detect coordinated density before queries arrive. Across three QA datasets and six poisoning constructions, RSQ achieves 95.2% AUROC and detects 82.2% of poison at 5% clean-document removal, versus 81.1%/52.5% for GMTP. RSG achieves 93.3%/79.8%, versus 79.4%/37.6% for CleanBase. Joint deployment reduces attack success from 67.4% to 14.0% while retaining 41.3% F1 on unpoisoned retrieval, demonstrating practical protection at both corpus ingestion and query time without poison labels or trusted corpora. Source code is available at https://github.com/XrazyMee/RAGSieve.