Une étude démontre que les filtres d'admission ne peuvent pas empêcher les attaques d'empoisonnement coordonnées sur les systèmes de récupération vectorielle, car des motifs géométriquement identiques existent pour les téléchargements légitimes de niche et les injections malveillantes. Les chercheurs montrent qu'un petit nombre de documents ordinaires peuvent entourer une requête cible pour s'emparer des résultats top-k dans les benchmarks BGE-large / BEIR.
- Un adversaire coordonné injecte m=10 documents qui manipulent collectivement l'index, atteignant 10/10 de succès sur BGE-large / BEIR et 9.9/10 sur un index HNSW en direct.
- L'attaque est réalisée sous forme de texte fluide ordinaire dans un pipeline BGE-large + HNSW + Qwen2.5-7B, amenant le générateur à émettre des affirmations plantées dans 88 % des cibles contre 0 % sans injection.
- Aucune défense au moment de l'ingestion n'arrête cela ; le classifieur entraîné le plus performant sépare les attaques des téléchargements légitimes aussi bien que le hasard, ne capturant que 4,2 % des attaques avec un taux de faux positifs de 1 %.
- La limite fondamentale survient parce que le signal séparant l'attaque de l'ingestion légitime — la demande de requête — est invisible avant la récupération.
Les auteurs concluent qu'une défense robuste doit dépasser les portes d'admission pour observer la demande au moment de la récupération, où les détecteurs capturent 100 % de ces attaques avec le même taux de faux positifs de 1 %.