Um estudo demonstra que filtros no momento da admissão não podem prevenir ataques de envenenamento coordenados em sistemas de recuperação vetorial, pois padrões geometricamente idênticos existem tanto para uploads legítimos de nicho quanto para injeções maliciosas. Os pesquisadores mostram que um pequeno número de documentos comuns pode cercar uma consulta-alvo para dominar os resultados top-k nos benchmarks BGE-large / BEIR.
- Um adversário coordenado injeta m=10 documentos que manipulam coletivamente o índice, alcançando sucesso 10/10 no BGE-large / BEIR e 9.9/10 em um índice HNSW ao vivo.
- O ataque é realizado como texto fluente comum dentro de um pipeline BGE-large + HNSW + Qwen2.5-7B, fazendo com que o gerador emita afirmações plantadas em 88% dos alvos versus 0% sem injeção.
- Nenhuma defesa no momento da ingestão impede isso; o classificador treinado mais forte separa ataques de uploads legítimos não melhor do que o acaso, capturando apenas 4.2% dos ataques com uma taxa de falso positivo de 1%.
- O limite fundamental surge porque o sinal que separa a injeção maliciosa da ingestão legítima — a demanda da consulta — é invisível antes da recuperação.
Os autores concluem que a defesa robusta deve ir além dos portões de admissão para observar a demanda no momento da recuperação, onde os detectores capturam 100% desses ataques com a mesma taxa de falso positivo de 1%.