30秒サマリー
- 複数の無害な文書を組み合わせてLLMを誤誘導する「分割知識攻撃」がRAGの新たな脅威として浮上
- 既存フィルタ（LlamaGuard等）はこの攻撃をほぼ検知できず、グラフ理論を用いた新防御手法TopoGuardが提案された
- TopoGuardはLlamaGuard比で最大21倍の攻撃検知率を達成しつつ、サブミリ秒の低レイテンシを実現
何が起きたか
2026年5月、Chahana DahalとZuobin Xiongはarxivで論文「TopoGuard」を公開した。本論文は、本番環境のRAG（検索拡張生成）システムを標的にした「分割知識攻撃（Split-Knowledge Attack）」と呼ばれる新たな攻撃手法と、その防御策を論じたものだ。
分割知識攻撃とは、攻撃者が単体では無害に見える文書を複数注入し、RAGシステムがそれらを束ねてLLMに渡した際に初めて誤った関連付けや有害な情報を生成させる手法だ。論文によれば、この攻撃は「文書単位」でスキャンする既存フィルタ（例：LlamaGuard）に対して構造的に不可視であり、検知が極めて困難だという。
研究チームはこれに対抗するため、「TopoGuard」と呼ぶグラフ理論ベースの防御手法ファミリーを提案した。取得された文書群からセマンティック類似度グラフを構築し、悪意あるトポロジー的パターンを検出する仕組みだ。HotpotQAデータセットを用いた実験では、「TopoGuard-λ2+Entity」が誤検知率1%の条件下でLlamaGuard-2-8Bの21倍にあたる攻撃検知率（再現率32.6% vs 1.5%）を記録したと報告されている。また、サブミリ秒という低レイテンシで動作し、適応型攻撃や無害なクロスドメインクエリに対しても堅牢性を維持するとしている。
原典ハイライト
論文の核心は、RAGが複数文書を集約する仕組み自体が新たな攻撃面を生むという指摘にある。単一文書レベルの既存フィルタでは「組み合わせによる毒」を捉えられず、TopoGuardはその盲点をグラフのトポロジー解析で補う。HotpotQAでの実験結果として、LlamaGuard比21倍の検知率（32.6% vs 1.5%の再現率、FPR1%条件）が示されている。
出典: arXiv cs.CL（論文）
So What?（なぜ重要か）
RAGは社内文書検索・カスタマーサポート・法務レビューなど幅広いビジネス用途で急速に普及しているが、本研究はその「検索ステップ」自体が攻撃面であることを明示した。既存のコンテンツフィルタをすり抜ける攻撃が理論的・実験的に示された点は、RAG導入企業にとってセキュリティ設計の見直しを促す重要な知見となる。
日本企業への示唆
RAGを業務に導入している、または検討している日本企業は、以下の点を優先的に検討すべきだ。①文書単体のフィルタリングだけでは不十分であり、「複数文書の組み合わせ」レベルでの異常検知レイヤーが必要になる可能性がある。②TopoGuardはまだ研究段階の論文提案であり、すぐに製品として利用できるわけではないが、類似のグラフ理論的アプローチをベンダー選定や自社開発の評価基準に含めることを検討する価値がある。③特に外部ウェブ検索や社外文書をRAGのソースとするシステムでは、文書注入リスクが現実的な脅威となるため、セキュリティ要件の再評価を行うことが望ましい。
背景・経緯
RAGはLLMに外部知識を組み合わせる手法として広く普及しているが、そのセキュリティリスクは主に「プロンプトインジェクション」や「有害コンテンツの直接注入」が議論の中心だった。本論文は、個々の文書が無害でも組み合わせによって攻撃が成立するという、これまで十分に議論されていなかった攻撃面を指摘している。既存の防御手法としてLlamaGuardなどLLMベースのフィルタが言及されているが、これらが文書単位の判定に留まることが本研究の出発点となっている。
