검색증강생성(RAG)은 외부 문서로 답변의 사실성을 높이지만, 지식 데이터베이스에 주입된 악성 문서가 컨텍스트에 섞여 모델을 의도된 오답으로 유도할 수 있다는 취약점을 안고 있다. 기존 방어는 지시 따르기, 파라미터 지식, 텍스트 일관성에 의존해 적응형 공격자가 이를 모방하거나 최적화로 우회할 수 있었다. 연구진은 훈련이나 라벨이 필요 없는 블랙박스 RAG용 방어 'RAGSentinel'을 제안하는데, 대리 인코더로 검색 문서가 유발하는 질의 조건부 은닉상태 변화를 측정하고 공유 주제 방향을 제거한 뒤 강건한 다수결 합의에서 벗어난 기하학적 이상치를 오염 문서로 걸러낸다. 정직한 다수 가정과 표현 수준 분리 조건 아래 오염 없는 다수 규모의 컨텍스트를 정확히 복원함을 증명했으며, 3개 QA 데이터셋·3개 LLM 계열·여러 중독 공격 실험에서 낮은 공격성공률과 경쟁력 있는 정확도를 유지하고 적응형 공격에도 효과를 유지했다.

• •RAG는 지식 DB에 주입된 악성 문서로 의도된 오답을 유도당할 수 있는 취약점 보유
• •훈련·라벨 불필요한 블랙박스 방어 'RAGSentinel', 은닉상태 변화 기반 기하학적 이상치 탐지
• •정직한 다수 가정 하에 오염 없는 다수 규모 컨텍스트 정확 복원을 이론적으로 증명
• •3개 QA 데이터셋·3개 LLM·다중 중독 공격 실험에서 적응형 공격에도 낮은 공격성공률 유지