看似无害的提问，也能偷走RAG系统的记忆——IKEA：隐蔽高效的数据提取攻击新范式

主要观点总结

本文介绍了一项针对RAG（Retrieval-Augmented Generation）系统的攻击研究，提出了一种全新的隐式知识抽取框架：IKEA（Implicit Knowledge Extraction Attack）。该研究揭示了RAG系统在表面“无异常”交互下潜在的严重隐私风险。IKEA不依赖异常指令，完全通过自然、常规的查询，即可高效引导系统暴露其知识库中的私有信息。

关键观点总结

关键观点1: 研究主题

RAG系统的隐式知识抽取攻击研究

关键观点2: 作者

来自新加坡国立大学、北京大学与清华大学的作者团队，第一作者王宇豪与共同第一作者屈文杰来自新加坡国立大学，指导教师为张嘉恒助理教授。

关键观点3: 研究内容

提出了一种全新的隐式知识抽取攻击方法：IKEA，该方法不依赖异常指令或特异化提示语，通过自然、常规的查询输入，逐步引导RAG系统暴露其内部知识库中的私有或敏感信息。

关键观点4: 方法

IKEA的核心步骤包括基于已知系统主题的锚点概念构建、围绕锚点概念生成符合自然语言习惯的问题、经验反思采样和可信域有向变异等机制。

关键观点5: 实验结果

IKEA在多个真实数据集与真实防御场景下的评估中，展现出超过91%的提取效率与96%的攻击成功率，远超现有攻击基线；实验证明了隐式提取的RAG数据的有效性。

关键观点6: 总结

本研究揭示了RAG系统在表面“无异常”交互下潜在的严重隐私风险，提出了IKEA攻击方法，为突破防御机制对现有提取攻击的限制提供了新的思路。