为什么值得读
RAG 安全讨论多聚焦在生成层（模型被上下文带偏怎么办），这篇把镜头对准更上游的一步：外部文本先要被检索器「放进」上下文才能产生影响。结论对防御方很不舒服——查询词锚定是主导因素，意味着攻击者不需要写出有说服力的恶意内容，只要复制用户查询词就能拿到曝光位；而能去掉 full-query 毒的基于重叠的准入机制又会明显伤及干净检索的效用。防御预算往哪花，这篇给了量化依据。
问题与设定：压测「准入」这一步
外部文本影响 RAG 系统的前提是被检索器收入上下文。论文系统变化四个因子：文档内容、攻击者对查询的已知信息、每目标投毒预算、污染范围。
评测覆盖来自 SciFact 与 NFCorpus 的 623 条 BEIR 查询。
结果：查询锚定是主导因素
隔离目标压力下，每查询 5 篇定向文档使经典检索器 nDCG@10 下降 40.2–61.5%。BM25 的退化大部分由「整查询锚定」解释，而追加文本还会改变 LSA 与混合检索的排序。
预训练 BGE-small 验证：query-only、每查询 5 篇时两个数据集都达到 100% 目标曝光；把注入载荷加进去，SciFact nDCG 只从 0.269 变到 0.271，NFCorpus 曝光微降到 98.8%——对稠密检索器，载荷内容几乎不影响准入。
三个对防御设计有直接影响的发现
查询长度改变部分信息攻击的解读：在 162 条长 SciFact 查询上，攻击者只知道两个随机词（覆盖 19.9% 合法词项）仍能取得 39.5% 的 Hybrid 目标曝光。
多目标污染会引入跨目标干扰；基于重叠的准入可以移除整查询投毒，但可能大幅降低干净检索的效用；MMR 在所测配置下对曝光无改善。
边界
论文只测检索层失败，不测下游指令遵循——投毒文档被收进上下文后模型是否照做是另一个问题。
实验限两个 BEIR 数据集、少量检索器（BM25/LSA/Hybrid/BGE-small），结论外推到其他语料与检索器需谨慎。
本站仅据 arXiv 摘要页（E1）整理，未复现。数据集限于 SciFact/NFCorpus 共 623 条查询，检索器与攻击配置以论文设定为准；研究测的是检索层准入而非下游生成行为，摘要原文已声明。摘要页检索未发现代码或数据链接。
本文基于论文原文摘要与方法章节整理，观点由编辑撰写；如与原文有出入，以 arXiv 原文为准。 内容为信息整理与技术评论，不构成投资或决策建议。 发现错误请通过站内纠错页提交（记录可查），修订记录只增不删。