Un estudio demuestra que los filtros de admisión no pueden prevenir ataques de envenenamiento coordinados en sistemas de recuperación vectorial, ya que existen patrones geométricamente idénticos tanto para subidas legítimas de nicho como para inyecciones maliciosas. Los investigadores muestran que un pequeño número de documentos poco notables puede rodear una consulta objetivo para capturar los resultados top-k en las pruebas BGE-large / BEIR.
- Un adversario coordinado inyecta m=10 documentos que manipulan colectivamente el índice, logrando un éxito de 10/10 en BGE-large / BEIR y 9.9/10 en un índice HNSW en vivo.
- El ataque se realiza como texto fluido ordinario dentro de una canalización BGE-large + HNSW + Qwen2.5-7B, haciendo que el generador emita afirmaciones plantadas en el 88% de los objetivos frente al 0% sin inyección.
- Ninguna defensa en el momento de la ingestión detiene esto; el clasificador entrenado más fuerte separa los ataques de las subidas legítimas no mejor que el azar, capturando solo el 4.2% de los ataques con una tasa de falsos positivos del 1%.
- El límite fundamental surge porque la señal que separa la inyección maliciosa de la ingestión legítima —la demanda de consulta— es invisible antes de la recuperación.
Los autores concluyen que la defensa robusta debe ir más allá de las puertas de admisión para observar la demanda en el momento de la recuperación, donde los detectores capturan el 100% de estos ataques con la misma tasa de falsos positivos del 1%.