EvoTrustRAG tenta distinguir evolução legítima de conhecimento de manipulação maliciosa em sistemas RAG
O EvoTrustRAG propõe um novo problema para RAG: em vez de apenas escolher qual evidência conflitante é mais confiável, o sistema tenta atribuir a origem do conflito — evolução legítima do conhecimento ao longo do tempo, manipulação adversarial deliberada, ou incerteza não resolvida — antes de gerar a resposta. Em benchmarks, o método reduziu de 31,2% para 16,0% a taxa de erro sob o ataque coordenado mais forte testado.
Sistemas de Retrieval-Augmented Generation melhoram a factualidade de LLMs ao ancorar respostas em documentos recuperados, mas em ambientes dinâmicos e adversariais é comum que documentos diferentes tragam informações conflitantes sobre o mesmo fato. A abordagem convencional trata isso como uma inconsistência estática e tenta escolher a fonte "mais confiável" — mas essa simplificação ignora que o mesmo tipo de conflito textual pode ter origens completamente distintas: um dado que mudou legitimamente com o tempo, uma tentativa deliberada de envenenar a base de conhecimento, ou simplesmente evidência insuficiente para decidir.
O EvoTrustRAG formaliza essa distinção como um problema novo — atribuição de origem de conflito — representando fatos recuperados como um grafo de evidências de conflito ancorado em trechos específicos (span-grounded), e avaliando hipóteses de evolução de conhecimento versus intervenção direcionada usando relações temporais, estrutura de suporte entre evidências e checagens de consistência auxiliares. As decisões locais por conflito são então projetadas em uma explicação global consistente para todo o grupo de evidências relacionadas.
Dependendo da atribuição, o sistema decide se preserva estados anteriores e posteriores como conhecimento temporal legítimo, separa um candidato de intervenção do contexto principal (isolando-o antes de chegar ao gerador), ou mantém o conflito visível como não resolvido para o usuário final — em vez de simplesmente escolher silenciosamente um lado. Nos experimentos, o método atingiu 81,4% de acurácia média em cenários nativos de conflito, subiu o macro-F1 de atribuição de 72,2% para 79,1% sobre o melhor baseline, e reduziu a taxa de erro de 31,2% para 16,0% sob o ataque coordenado mais forte testado.
O ponto relevante para segurança é que o trabalho trata explicitamente o envenenamento de base de conhecimento em RAG como um caso particular de "conflito de evidências", e não como uma categoria à parte — uma mudança conceitual que pode ajudar sistemas RAG de produção a resistir melhor a injeção deliberada de documentos falsos sem depender apenas de filtragem de fonte estática, que é o que a maioria dos pipelines RAG atuais ainda faz.