Исследователи Google выявили уязвимость в системах RAG, позволяющую злоумышленникам внедрять документы, повторяющие поисковый запрос пользователя. Согласно препринту от 3 ноября 2026 года, добавление пяти таких документов на целевой запрос снижает качество поиска на 40,2–61,5%.
Работа, опубликованная под номером arXiv:2611.04264, проводилась на базе 623 запросов из наборов данных SciFact и NFCorpus. Эффективность систем оценивалась по метрике nDCG@10, которая определяет точность ранжирования релевантных документов в первой десятке результатов выдачи.
Атака оказалась эффективной как для классического метода BM25, основанного на ключевых словах, так и для модели BGE-small. В последнем случае при добавлении пяти отравленных документов показатель целевой экспозиции достиг 100%. Успех ранжирования обеспечивается повторением запроса, а не вредоносным содержанием.
Тестирование защитных механизмов показало их ограниченность. Фильтры на основе перекрытий блокируют подобные документы, но одновременно снижают качество поиска по легитимным данным. Метод максимальной маргинальной релевантности (MMR) также не обеспечил существенной защиты в ходе эксперимента.
Авторы подчеркивают, что исследование затрагивает только этап извлечения данных. В работе не оценивается влияние отравленных результатов на итоговые ответы, генерируемые нейросетями, или возможность выполнения инструкций, скрытых внутри таких документов.
