CIG-MIA revela quais documentos estão na base de conhecimento de sistemas RAG com até 99% de acerto
O CIG-MIA é um novo ataque de inferência de associação (membership inference) contra sistemas de geração aumentada por recuperação (RAG), capaz de determinar se um documento específico está presente na base de conhecimento privada de um sistema, mesmo sob acesso apenas textual de caixa-preta. Testado no dataset Natural Questions, o ataque atinge AUC de 0,99 no cenário com acesso a probabilidades internas (gray-box) e 0,93 no cenário totalmente de caixa-preta, superando ataques anteriores baseados em prompts diretos de associação ou similaridade de resposta.
Sistemas RAG combinam um LLM com uma base de conhecimento externa recuperável, permitindo acesso a dados privados, específicos de domínio ou atualizados sem precisar retreinar o modelo — mas essa mesma interface de recuperação pode vazar, sem querer, se um documento candidato específico está ou não armazenado nessa base, um problema de privacidade conhecido como inferência de associação. Ataques anteriores nessa linha dependiam de sinais relativamente frágeis: perguntar diretamente ao modelo se ele "conhece" um documento, medir similaridade de resposta, tentar recuperação de máscara ou perturbar a query — sinais que defesas de prompt, documentos semanticamente relacionados já presentes na base, ou o próprio conhecimento paramétrico do modelo gerador podem facilmente confundir.
O CIG-MIA parte de uma observação mais robusta: injetar explicitamente um documento candidato no prompt afeta membros e não-membros da base de forma sistematicamente diferente. Se o documento já está disponível via recuperação normal, injetá-lo de novo no prompt agrega pouca informação nova, porque o modelo já "via" aquele conteúdo de qualquer forma; se o documento está ausente da base, a injeção introduz evidência genuinamente nova, e o ganho de verossimilhança da resposta do modelo para aquele documento específico é maior. É esse ganho de informação induzido pelo contexto — não a resposta em si — que o ataque usa como sinal discriminativo entre membro e não-membro.
No cenário gray-box, onde o atacante tem acesso às probabilidades em nível de token, o CIG-MIA calcula esse ganho de informação diretamente a partir das verossimilhanças do modelo. No cenário totalmente black-box, mais realista para um atacante externo atacando um serviço RAG comercial, o mesmo ganho é estimado a partir apenas do texto gerado, usando um estimador substituto leve baseado em similaridade semântica e correspondência exata de tokens de resposta — uma adaptação que sacrifica pouca precisão (AUC cai de 0,99 para 0,93 no Natural Questions) mas amplia enormemente o leque de sistemas atacáveis, já que não exige nenhum acesso privilegiado à API do modelo.
O caso de uso mais sensível na prática é RAG sobre dados proprietários ou confidenciais — jurídicos, médicos (os autores testam também HealthCareMagic), corporativos —, onde simplesmente confirmar que um documento específico faz parte da base já pode ser uma violação de confidencialidade por si só, independentemente de o conteúdo do documento nunca ser reproduzido literalmente. Isso reforça que provedores de RAG sobre dados sensíveis precisam considerar inferência de associação como uma ameaça de privacidade de primeira classe, e não apenas se preocupar com vazamento de conteúdo literal de documentos.