离线RAG签名机制存在文本与向量完整性缺口

该研究指出当前边缘设备离线检索增强生成（RAG）依赖的“签名知识包”机制存在根本缺陷：签名仅能证明发布者身份，无法确保预计算嵌入向量与对应文本内容的完整性。作者通过理论推导和实验发现，这种“文本 - 向量完整性缺口”使得攻击者只要控制向量数据，就能在满足余弦相似度容差的情况下劫持查询结果。在五个语料库和两个嵌入模型上的测试显示，若容差设定在浮点噪声水平，最多有5.5%的查询会暴露给攻击者；若采用基于CPU INT8-FP32比较校准的阈值，暴露率甚至高达98-100%，导致本地语言模型的正确回答率从0.75降至0.39。 针对压缩向量存储的完整性审计同样失效，在FAISS乘积量化索引实验中，篡改后的向量虽能通过审计，却能让攻击者文档成为25%目标的首个检索结果。研究团队提出了一种替代方案：通过验证量化代码、由验证器决定歧义处理、设置校准保护带及标准化流程，成功在所有诚实向量样本上通过了三个平台的验证，且迫使发布方无法绕过。此外，研究还证实了常见的浮点数和动态INT8推理流水线在不同批次大小或架构下不具备位级可复现性，并报告了关于拒绝服务、上下文剪枝和语义筛查的负面结果。 事实层面，该论文量化了现有离线RAG安全机制的失效比例，并提供了可复现的攻击路径与防御代码。推断层面，这意味着任何依赖预计算向量签名的端侧RAG系统，若未实施向量内容本身的强校验，其检索结果的可信度极低。猜测层面，未来端侧RAG的安全标准可能需要从单纯的文件签名转向更复杂的向量指纹验证或在线重新计算机制，但这将显著增加计算开销。