Prevented is Not Protected: What Attack Success Rate Hides about RAG

这篇来自arXiv cs.CR的论文指出，现有检索增强生成（RAG）知识投毒防御主要依赖攻击成功率（ASR）评估，但该指标会掩盖防御机制本身引发的失败及攻击被阻止背后的真实机制。作者提出“对齐RAG评估”（Aligned RAG Evaluation），通过匹配查询协议联合考察有无防御下的干净与中毒响应，结合匹配条件分析、LLM-judge背书和检索依赖性控制，将“被阻止的攻击”与“由防御引入的失效”区分开来。

在HotpotQA和Natural Questions数据集上的实验显示，现有防御手段虽然能阻止部分攻击，但也可能意外引入目标正向答案；同时，评估标准的变化会导致防御方案的排名发生反转。这些发现暴露了基于ASR的评估存在关键盲区，即无法识别防御措施是否以牺牲正确性为代价换取了表面上的安全。

事实层面，该研究提供了代码和评估工件，并确认了ASR指标的局限性。推断层面，这意味着单纯追求低ASR可能误导产品上线决策，实际部署需引入更全面的评估体系来监控防御副作用。猜测层面，未来行业可能需要建立包含“防御引入错误率”的新基准，但这目前尚未成为通用标准。