Πρόληψη δηλητηρίασης δεδομένων RAG: προέλευση πηγών, καραντίνα και δοκιμές επανευρετηρίασης

Ένα chatbot ιστότοπου μπορεί να παράγει μια ευγενική, γλωσσικά πειστική και τεχνικά ορθή απάντηση – και παρόλα αυτά να βασίζεται σε μια δηλητηριασμένη βάση γνώσης. Στη δηλητηρίαση δεδομένων RAG (RAG data poisoning), δεν παραποιείται πρωτίστως η διατύπωση μιας μεμονωμένης ερώτησης. Αντίθετα, εσφαλμένο, παραποιημένο ή ανεπαρκώς ελεγμένο περιεχόμενο εισέρχεται στη διαρκή αλυσίδα δεδομένων: Πηγή, Parser, Chunk, Μεταδεδομένα, Embedding και τελικά το παραγωγικό ευρετήριο ανάκτησης. Το σφάλμα παραμένει έτσι σε πολλές συνεδρίες και μπορεί να επηρεάσει ακόμη και κανονικές ερωτήσεις.

Επομένως, η αποτελεσματική προστασία ξεκινά πολύ πριν από το prompt. Οι ομάδες πρέπει να είναι σε θέση να απαντήσουν για κάθε δομικό στοιχείο γνώσης: Από πού προέρχεται, ποιος είναι υπεύθυνος, ποια έκδοση επεξεργάστηκε, ποιες μετατροπές πραγματοποιήθηκαν και μέσω ποιου ελέγχου εγκρίθηκε για αναζήτηση; Η προέλευση των πηγών παρέχει αυτά τα ίχνη. Μια τεχνικά διαχωρισμένη καραντίνα μπορεί να αποτρέψει την άμεση διαθεσιμότητα ανεπιβεβαίωτων αλλαγών. Στοχευμένες δοκιμές επανευρετηρίασης ελέγχουν στη συνέχεια εάν το καθαρισμένο περιεχόμενο έχει πράγματι αντικαταστήσει τα παλιά chunks.

Τι είναι η δηλητηρίαση δεδομένων RAG – και τι δεν είναι

Η ταξινόμηση OWASP LLM04:2025 για το Data and Model Poisoning περιγράφει τις παραποιήσεις σε δεδομένα προ-εκπαίδευσης, fine-tuning ή embedding ως κίνδυνο ακεραιότητας. Για ένα chatbot ιστότοπου, η τελευταία παραλλαγή είναι ιδιαίτερα απτή: Ένα έγγραφο εισάγεται και χωρίζεται σε τμήματα. Αυτά τα chunks μετατρέπονται σε embeddings και αποθηκεύονται ως διανύσματα στο ευρετήριο ανάκτησης. Εάν αυτό το έγγραφο παραποιηθεί σκόπιμα ή κατά λάθος, μπορεί να εμφανιστεί σε σχετικές ερωτήσεις ως φαινομενικά κατάλληλη βάση.

Οι κίνδυνοι πρέπει να διακρίνονται, αλλά μπορούν να επικαλύπτονται: Το Prompt Injection επιχειρεί να διοχετεύσει οδηγίες ή δεδομένα κατά το χρόνο εκτέλεσης, έτσι ώστε το σύστημα να αλλάξει την προβλεπόμενη συμπεριφορά του. Το έμμεσο Prompt Injection μπορεί να εισέλθει στο πλαίσιο (context) ακόμα και μέσω ανακτημένων εγγράφων. Αντίθετα, η δηλητηρίαση δεδομένων αλλοιώνει το μακροπρόθεσμο απόθεμα γνώσης ή τα παράγωγά του. Τα δικαιώματα πρόσβασης επιλύουν επίσης διαφορετικό πρόβλημα: Καθορίζουν ποιο άτομο επιτρέπεται να δει ένα έγγραφο. Η προέλευση και η έγκριση καθορίζουν εάν αυτό το έγγραφο πρέπει να εισαχθεί στο ευρετήριο ως αξιόπιστη πηγή γνώσης. Σε μια ανθεκτική αρχιτεκτονική, και οι τρεις κίνδυνοι χρειάζονται δικούς τους ελέγχους και συντονισμένες μεταβάσεις.

Η επιφάνεια επίθεσης βρίσκεται σε ολόκληρη την αλυσίδα δεδομένων

Ένα ευρετήριο RAG σπάνια δημιουργείται από μια μεμονωμένη, χειροκίνητα ελεγμένη συλλογή. Crawlers διαβάζουν ιστοσελίδες, συνδετήρες (connectors) συγχρονίζουν φακέλους cloud, χρήστες ανεβάζουν αρχεία και διεπαφές εισάγουν δεδομένα προϊόντων. Σε αυτά προστίθενται parsers, OCR, καθαρισμός γλώσσας, chunking και εμπλουτισμός μεταδεδομένων. Κάθε στάδιο μπορεί να υιοθετήσει εσφαλμένο περιεχόμενο ή να αποσπάσει μια αρχικά σωστή δήλωση από το πλαίσιό της.

Τυπικές αιτίες είναι ένα παραβιασμένο σύστημα πηγής, ένα νέο συνδεδεμένο έγγραφο-καθρέφτης, ένα κατά λάθος δημοσιευμένο προσχέδιο, ένας εσφαλμένα κατανεμημένος πελάτης (tenant) ή μια ενημέρωση parser που αναθέτει τιμές πίνακα σε λάθος επικεφαλίδες. Η σύγκριση ενός κρυπτογραφικού hash περιεχομένου με μια αξιόπιστη τιμή αναφοράς μπορεί να εντοπίσει αποκλίσεις. Ένα ταυτόσημο hash δεν αποδεικνύει ούτε την αλήθεια, ούτε την επικαιρότητα, ούτε την έγκριση του περιεχομένου.

Προέλευση ως ελέγξιμο σύνολο δεδομένων

Για κάθε έγγραφο και κάθε chunk που παράγεται από αυτό, θα πρέπει να υπάρχει μια εγγραφή προέλευσης. Πρακτικά χρήσιμα είναι τουλάχιστον ένα σταθερό αναγνωριστικό πηγής (source ID), το κανονικό URL προέλευσης, ο υπεύθυνος ιδιοκτήτης (owner), η ώρα ανάκτησης, η έκδοση εγγράφου, το hash περιεχομένου, η κατάσταση έγκρισης, η κατηγορία εμπιστοσύνης, η έκδοση parser, η έκδοση chunking, το μοντέλο embedding και η γενιά ευρετηρίου. Στις χειροκίνητες μεταφορτώσεις, προστίθενται ο ρόλος του ατόμου που κάνει το upload και η ελεγμένη άδεια χρήσης. Στα συγχρονισμένα συστήματα, είναι επίσης σημαντικό μέσω ποιου αυθεντικοποιημένου συνδετήρα ήρθε το αρχείο.

Το NIST AI 600-1 Generative AI Profile αντιμετωπίζει την προέλευση περιεχομένου (Content Provenance), την ιχνηλάσιμη τεκμηρίωση καθώς και τις δοκιμές και αξιολογήσεις ως βασικά δομικά στοιχεία της διαχείρισης κινδύνου της παραγωγικής ΤΝ. Μεταφερόμενο σε συστήματα RAG, αυτό σημαίνει: Δεν μετρά μόνο το τρέχον ευρετήριο. Η ιχνηλάσιμη σχέση μεταξύ αναθεώρησης πηγής, εκτέλεσης επεξεργασίας και δημοσιευμένης γενιάς ευρετηρίου ανήκει επίσης στην τεκμηρίωση λειτουργίας.

Η καραντίνα διαχωρίζει την εισαγωγή από τη δημοσίευση

Ένα κεντρικό δομικό στοιχείο αρχιτεκτονικής είναι ο συνεπής διαχωρισμός: Νέο ή τροποποιημένο περιεχόμενο δεν γίνεται άμεσα αναζητήσιμο. Καταλήγει πρώτα σε μια ζώνη εισαγωγής. Εκεί, το pipeline επικυρώνει την προέλευση, τον τύπο αρχείου, το μέγεθος, την υπογραφή ή το αναμενόμενο hash, τον επιτρεπόμενο πελάτη, την πληρότητα των μεταδεδομένων και την έκταση της αλλαγής. Μόνο στη συνέχεια δημιουργούνται κείμενο και chunks σε μια μη παραγωγική γενιά ευρετηρίου.

Οι κανόνες πρέπει να βασίζονται στον κίνδυνο. Μια αλλαγή σε μια αυθεντικοποιημένη, εσωτερικά ελεγχόμενη σελίδα FAQ μπορεί να εγκριθεί μετά από αυτόματες δοκιμές. Αντίθετα, ένας νέος τομέας (domain), μια ασυνήθιστα εκτεταμένη αλλαγή κειμένου, ένας άγνωστος ιδιοκτήτης αρχείου ή μια πηγή χωρίς υπεύθυνο άτομο ενεργοποιούν καραντίνα και ανθρώπινο έλεγχο. Εάν λείπει μια υποχρεωτική πληροφορία, ισχύει η αρχή "fail closed": Η παλιά, επιβεβαιωμένη γενιά παραμένει ενεργή. Η νέα κατάσταση δεν δημοσιεύεται σιωπηλά.

Έγκριση ως αμετάβλητη γενιά ευρετηρίου

Μετά τον έλεγχο, δεν εγγράφεται σταδιακά ένα παραγωγικό ευρετήριο. Καλύτερη είναι μια νέα γενιά με έκδοση και manifest: αναμενόμενα έγγραφα, αναμενόμενα chunks, hashes πηγής, εκδόσεις μετασχηματισμών και χρονοσήμανση. Μόνο όταν οι δοκιμές είναι επιτυχείς (πράσινες), ένα alias ή μια διαμόρφωση δρομολόγησης μεταβαίνει ατομικά σε αυτή τη γενιά. Η προηγούμενη γενιά παραμένει διαθέσιμη για επαναφορά (rollback) για ένα καθορισμένο, περιορισμένο χρονικό διάστημα.

Η διαδικασία μοιάζει με ελεγχόμενη μεταφορά (migration). Το άρθρο μας για την αλλαγή μοντέλου RAG-Embedding δείχνει γιατί οι παράλληλες γενιές ευρετηρίου και οι συγκριτικές δοκιμές είναι χρήσιμες ακόμα και σε τεχνικές αλλαγές. Σε περίπτωση υποψίας για δηλητηρίαση, προστίθεται το ζήτημα ασφαλείας: Ποια αναθεώρηση πηγής και ποια παράγωγα chunks πρέπει να αποκλειστούν;

Υποθετικό σενάριο παραδείγματος: Μια εσφαλμένη προθεσμία επιστροφής φτάνει στο bot υποστήριξης

Ας υποθέσουμε ότι ένας έμπορος λειτουργεί ένα chatbot για ερωτήσεις προϊόντων και υπηρεσιών. Η βάση γνώσης συγχρονίζει κάθε νύχτα το επίσημο κέντρο βοήθειας και ορισμένες εγκεκριμένες πύλες κατασκευαστών. Μετά από μια αλλαγή συνδέσμου, ένας συνδετήρας ακολουθεί μια ανακατεύθυνση σε μια μη εγκεκριμένη σελίδα-καθρέφτη. Εκεί, σε ένα οπτικά πειστικό PDF, αναγράφεται προθεσμία επιστροφής 90 αντί για 30 ημέρες. Το αρχείο τεμαχίζεται σε chunks. Αρκετά τμήματα καταλήγουν στο ευρετήριο με υψηλή σημασιολογική ομοιότητα.

Το επόμενο πρωί, το bot υπόσχεται τη λάθος προθεσμία σε ερωτήσεις επιστροφής. Το γλωσσικό μοντέλο δεν επαναπρογραμματίστηκε και οι χρήστες δεν εισήγαγαν κακόβουλη οδηγία. Η ανάκτηση παρείχε απλώς μια λανθασμένη βάση. Η παρακολούθηση σήμανε συναγερμό επειδή ένας νέος τομέας εμφανίζεται για πρώτη φορά ως πηγή απάντησης και μια δοκιμή Golden Set για την προθεσμία επιστροφής αποκλίνει από την αναμενόμενη απόδειξη.

Η ελεγχόμενη καραντίνα και η επανεκκίνηση

1. Η ομάδα διακόπτει μόνο την επηρεαζόμενη πηγή εισαγωγής και "παγώνει" την τρέχουσα γενιά ευρετηρίου για περαιτέρω αλλαγές.
2. Το ύποπτο ID εγγράφου, όλα τα παραγόμενα Chunk IDs και τα αποτελέσματα απαντήσεών τους καταγράφονται στο συμβάν (incident).
3. Ο τομέας-καθρέφτης αποκλείεται και τα chunks του μεταφέρονται στην καραντίνα. Για ερωτήσεις σχετικά με την προθεσμία επιστροφής, το bot παρέχει προσωρινά μια ασφαλή υπόδειξη προς την ανθρώπινη υποστήριξη ή την επιβεβαιωμένη σελίδα πολιτικής.
4. Το alias επαναφέρεται στην τελευταία αποδεδειγμένα καθαρή γενιά ευρετηρίου. Με αυτόν τον τρόπο, άλλοι, μη επηρεαζόμενοι τομείς γνώσης παραμένουν διαθέσιμοι.
5. Ο συνδετήρας περιορίζεται στην κανονική πηγή. Στη συνέχεια, το pipeline κατασκευάζει μια νέα γενιά από το επιβεβαιωμένο manifest.
6. Μόνο μετά τις δοκιμές επανευρετηρίασης και τη έγκριση από αρμόδιο ειδικό, αυτή η γενιά περνάει σε παραγωγική λειτουργία.

Αυτή η σειρά περιορίζει τη ζημιά χωρίς να απενεργοποιείται βιαστικά ολόκληρο το chatbot. Καθοριστική είναι η σύνδεση των δεδομένων προέλευσης και των παραγώγων: Χωρίς αντιστοίχιση εγγράφου σε chunks, θα ήταν ασαφές ποια διανύσματα πρέπει να αφαιρεθούν.

Οι δοκιμές επανευρετηρίασης πρέπει να δείχνουν περισσότερα από μια επιτυχημένη εκτέλεση pipeline

Μια πράσινη κατάσταση εργασίας αποδεικνύει μόνο ότι η διαδικασία ολοκληρώθηκε τεχνικά. Δεν αποδεικνύει ούτε ότι τα παλιά chunks εξαφανίστηκαν, ούτε ότι οι σωστές πηγές επικρατούν σε ρεαλιστικές ερωτήσεις. Επομένως, ένα ανθεκτικό πακέτο δοκιμών ελέγχει το απόθεμα, την ανάκτηση και τη συμπεριφορά απάντησης.

1. Έλεγχος manifest και διαγραφών

Συγκρίνετε τη νέα γενιά με το εγκεκριμένο manifest. Κάθε αναμενόμενη έκδοση εγγράφου πρέπει να είναι παρούσα. Αποκλεισμένα IDs εγγράφων και chunks δεν επιτρέπεται να εμφανίζονται. Ιδιαίτερα σημαντικά είναι τα "tombstones" για διαγραμμένο ή αντικατεστημένο περιεχόμενο. Διαφορετικά, η απλή προσάρτηση νέων embeddings αφήνει παλιά, δηλητηριασμένα αποτελέσματα στο ευρετήριο.

2. Δοκιμές ανάκτησης με αναμενόμενες πηγές

Για κρίσιμες ερωτήσεις, ένα αναμενόμενο κείμενο απάντησης δεν αρκεί. Ορίστε επιπλέον επιτρεπόμενα και απαγορευμένα IDs πηγών, έναν ελάχιστο αριθμό αποτελεσμάτων και κριτήρια αποκλεισμού. Η προθεσμία επιστροφής πρέπει, για παράδειγμα, να προέρχεται από την κανονική πολιτική. Ο τομέας-καθρέφτης που βρίσκεται σε καραντίνα δεν επιτρέπεται να εμφανίζεται ούτε στα κορυφαία αποτελέσματα ούτε στο πλαίσιο του μοντέλου. Το πώς δομούνται τέτοια σύνολα ελέγχου εξηγείται στο άρθρο για την ποιότητα απαντήσεων με Golden Set και δοκιμές RAG.

3. Αρνητικές δοκιμές και δοκιμές παραποίησης

Σε ένα απομονωμένο περιβάλλον δοκιμών, οι ομάδες μπορούν να διοχετεύσουν μια σαφώς επισημασμένη, μη εγκεκριμένη δοκιμαστική πηγή. Το pipeline πρέπει να την κρατήσει στην καραντίνα. Η αναζήτηση που προσομοιώνει την παραγωγή δεν επιτρέπεται να την ανακτήσει. Επιπλέον, δοκιμάζονται ασυνήθιστες αλλαγές τομέα, ελλείποντες ιδιοκτήτες, ακραίες διαφορές περιεχομένου και αντικρουόμενες ημερομηνίες. Η αναφορά NIST AI 100-2 για το Adversarial Machine Learning ταξινομεί το Poisoning ως κατηγορία επίθεσης στην ταξινόμησή του και υπογραμμίζει ότι τα αντίμετρα και τα όριά τους πρέπει να εξετάζονται συστηματικά.

4. Σύγκριση πριν και μετά την αλλαγή

Εκτελέστε τις ίδιες ερωτήσεις στην τελευταία καθαρή και στη νέα γενιά. Συγκρίνετε πηγές αποτελεσμάτων, σειρά κατάταξης, αποδείξεις απαντήσεων, ποσοστό μη-απάντησης (no-answer rate) και αξιολόγηση από ειδικούς. Ένα μικρό ποσοστό Canary μπορεί να παρέχει πρόσθετα σήματα παραγωγής, εφόσον οι χρήστες δεν αποκτούν πρόσβαση σε ανεπιβεβαίωτες πηγές. Η παραγωγική αλλαγή πραγματοποιείται μόνο όταν τηρούνται τα καθορισμένα όρια ασφαλείας και ποιότητας.

Monitoring: Εντοπισμός ανωμαλιών νωρίς

Μην παρακολουθείτε μόνο τις αξιολογήσεις απαντήσεων. Ιδιαίτερα αποκαλυπτικά είναι τα νέα ή σπάνια domains πηγών, το ποσοστό των ανεπιβεβαίωτων πηγών στη ροή εισαγωγής, τα ασυνήθιστα μεγέθη εγγράφων, οι έντονες διαφορές hash ή κειμένου, τα πολλά νέα chunks από έναν μεμονωμένο ιδιοκτήτη, οι αλλαγές στις κορυφαίες πηγές στο Golden Set και οι απαντήσεις χωρίς επιβεβαιωμένη απόδειξη. Οι μετρήσεις θα πρέπει να αναφέρονται σε IDs προέλευσης και όχι σε περιττά αποθηκευμένες πλήρεις ερωτήσεις χρηστών.

Η επικαιρότητα παραμένει επίσης σημαντική. Μια παλιά, προ πολλού αντικατεστημένη πολιτική δεν έχει δηλητηριαστεί σκόπιμα, αλλά μπορεί να έχει το ίδιο αποτέλεσμα. Το άρθρο για την επικαιρότητα των βάσεων γνώσης και το Crawl-QA συμπληρώνει τους ελέγχους ασφαλείας με συχνότητα, υπευθυνότητα και διαδρομές διαγραφής.

Λίστα ελέγχου για ασφαλή εισαγωγή RAG

• Έχει κάθε πηγή σταθερό ID, κανονική προέλευση, υπεύθυνο άτομο και κατηγορία εμπιστοσύνης;
• Καταγράφονται μαζί το hash, η έκδοση εγγράφου, ο parser, το chunking και το μοντέλο embedding;
• Παραμένουν οι νέες ή έντονα τροποποιημένες πηγές εκτός της παραγωγικής αναζήτησης μέχρι τον έλεγχο;
• Οδηγούν νέοι τομείς, ελλείπουσες υπογραφές ή μη εύλογες αλλαγές περιεχομένου σε καραντίνα;
• Δημοσιεύονται τα εγκεκριμένα ευρετήρια ως γενιές με εκδόσεις και alias με δυνατότητα επαναφοράς;
• Αφαιρεί η επανευρετηρίαση αποδεδειγμένα τα αντικατεστημένα chunks αντί να προσάρτει απλώς νέα δεδομένα;
• Ελέγχει το Golden Set τόσο τις απαντήσεις όσο και τις αναμενόμενες και απαγορευμένες πηγές;
• Υπάρχει ασφαλής εναλλακτική (fallback) για θέματα των οποίων οι πηγές έχουν αποκλειστεί κατά τη διάρκεια ενός συμβάντος;
• Έχουν οριστεί διακριτοί ρόλοι για την εισαγωγή, τη έγκριση από αρμόδιο ειδικό, την απόκριση σε συμβάντα και την επαναδημοσίευση;
• Τεκμηριώνεται μετά από κάθε συμβάν ποιος έλεγχος απέτυχε και ποια δοκιμή παλινδρόμησης προστέθηκε;

Συμπέρασμα

Η δηλητηρίαση δεδομένων RAG δεν μπορεί να διορθωθεί με έναν μεμονωμένο κανόνα prompt. Η προστασία προκύπτει από μια ελέγξιμη αλυσίδα εφοδιασμού γνώσης: Τεκμηρίωση προέλευσης, έλεγχος αλλαγών στην καραντίνα, δημιουργία εκδόσεων ευρετηρίου, ασφαλής αφαίρεση παλιών παραγώγων και δοκιμές ανάκτησης με αναμενόμενες πηγές. Ξεκινήστε με τις κατηγορίες εγγράφων υψηλότερου κινδύνου και ένα μικρό Golden Set. Αυτός ο συνδυασμός καθιστά ήδη ορατό ποια πηγή υποστηρίζει μια απάντηση – και επιτρέπει μια στοχευμένη διαδρομή επαναφοράς πριν μια εσφαλμένη κατάσταση γνώσης γίνει η μόνιμη κανονικότητα.

Πηγές

• OWASP GenAI Security Project: LLM04:2025 Data and Model Poisoning
• NIST AI 600-1: Artificial Intelligence Risk Management Framework – Generative Artificial Intelligence Profile
• NIST AI 100-2: Adversarial Machine Learning – Taxonomy and Terminology of Attacks and Mitigations