30秒サマリー
- RAGの知識ベースに悪意ある文書を混入させる「コーパス汚染攻撃」を封じる2層防御技術が登場
- 攻撃成功率をゼロに抑えつつ、検索精度の低下はわずか0.03以内に留める実験結果を報告
- コード・データセットが公開済みで、企業での実装検討が可能な段階に達している
何が起きたか
2026年7月28日、Pushkal Kumarら5名の研究者がarXivに論文「RAGuard」を投稿した。本論文はNeurIPS ResponsibleFM 2025およびAAI FrontierIR 2026に採択済みとされている。
RAGシステムは大規模言語モデル（LLM）を外部の文書コーパスに接続し、回答精度を高める手法として企業導入が進んでいる。しかしこの構造は「コーパス汚染攻撃」という脆弱性を生む。攻撃者が虚偽の事実・矛盾・論理の罠を含む文書をコーパスに混入させると、AIが誤った情報を根拠に回答を生成するリスクがある。
RAGuardは2層の防御機構で構成される。第1層は、合成された汚染文書を用いて密ベクトル検索器（dense retriever）を敵対的にファインチューニングし、悪意ある文書を生成前に低ランク化する。第2層「ZKIP（Zero-Knowledge Inference Patch）」は、各検索文書を1件ずつ除外した場合のモデル出力変化（意味的シフトと出力エントロピー変化）を観測するフィルターで、毒入り文書のラベルも正解データもモデル内部へのアクセスも不要なブラックボックス方式で動作する。
実験では、5〜30%の汚染比率を設定したNatural Questionsデータセット上で、ZKIPを適用した全防御構成において攻撃成功率が0.000を達成。検索精度（Recall@5）はクリーンなコーパスのベースラインから0.03以内の低下に留まった。一方、BM25などの語彙検索器はキーワードを保持した汚染文書の影響をほぼ受けないことも確認されており、脅威モデルの適用範囲が明確化されている。処理コストは1クエリあたりk+1回の生成パス（k=5の場合は6倍）であり、バッチ処理や早期停止による削減策も論文内で分析されている。
原典ハイライト
ZKIPはラベルなし・ブラックボックスで動作し、汚染比率5〜30%の全テスト構成で攻撃成功率0.000を達成。Recall@5の劣化は0.03以内。コード・データセット・評価ハーネスは再現性確保のために公開済み。
出典: arXiv cs.LG（論文）
So What?（なぜ重要か）
RAGは社内ナレッジベースや製品・サービス情報をLLMに接続する手段として急速に普及しているが、外部から文書を混入できる環境では「AIが嘘の根拠を信じて回答する」攻撃が現実の脅威となる。RAGuardはその対策を実装レベルで示した最初期の体系的研究の一つであり、企業のRAGセキュリティ設計に具体的な参照点を提供する。
日本企業への示唆
社内文書検索・カスタマーサポートBot・法務・医療など高精度回答が求められるRAG導入企業は、コーパス管理の権限制御だけでなく、混入後の検出・除外レイヤーを設計に組み込む必要がある。RAGuardのZKIPはラベル付けや内部アクセス不要なため、既存RAGパイプラインへの後付け統合が比較的容易とみられる。ただし1クエリあたりの推論コストが最大6倍になる点は、レイテンシやAPIコスト試算に織り込むべきトレードオフとして経営層にも共有しておきたい。コードが公開されているため、PoC（概念実証）から着手できる状況にある。
背景・経緯
RAGはLLMの幻覚（ハルシネーション）を抑制する手法として2020年代前半から急速に普及した。一方でその仕組み上、外部コーパスへの依存が新たな攻撃面を生むことが研究コミュニティで指摘されてきた。本論文はコーパス汚染攻撃への防御を正面から扱い、実用的な2層防御を提案・検証したものとして位置付けられる。
