SearchInject: controllo dell’esposizione al recupero per gli attacchi indiretti di prompt injection nei motori di ricerca basati su modelli linguistici

Abstract degli autori

Un attacco indiretto di prompt injection può colpire un modello linguistico di grandi dimensioni potenziato dalla ricerca solo dopo che la pagina che lo veicola entra nel contesto del modello. SearchInject controlla questa decisione di ammissione con un punteggio congiunto che combina la rilevanza del recupero, gli indicatori di abuso della ricerca, la probabilità che si tratti di istruzioni e due interazioni di rilevanza. La soglia di quarantena viene selezionata applicando, su uno split di calibrazione, un vincolo empirico dello 0,5% sul tasso di falsa quarantena dei candidati puliti. La valutazione utilizza 300 query SciFact riservate alla valutazione e categorie di payload riservate alla valutazione, appartenenti a quattro famiglie di costruzione già rappresentate durante lo sviluppo. Considerando 1.200 esiti query-famiglia per ciascun retriever, l’esposizione dei target nei primi 10 risultati scende da 0,9408 a 0,1583 per BM25, da 0,9158 a 0,1508 per un metodo ibrido normalizzato e da 0,8450 a 0,1375 per l’analisi semantica latente. Si tratta di riduzioni relative dell’83,2–83,7%; la variazione assoluta massima del guadagno cumulativo scontato normalizzato sui dati puliti al rango 10 è 0,0018. La soglia mantenuta fissa produce tassi di falsa quarantena sui dati di test puliti dello 0,59–0,65%, superiori al vincolo empirico applicato in calibrazione. Una rianalisi analitica a livello di query tiene conto degli esiti di costruzione ripetuti assumendo l’indipendenza delle query. Un follow-up separato sulla generazione, condotto su 104 casi, registra la rimozione dal contesto ma nessun hijack non difeso confermato secondo un criterio definito a posteriori; non può quindi stimare una riduzione del successo degli attacchi. I risultati avvalorano il controllo dell’esposizione al recupero all’interno delle famiglie di costruzione valutate; il beneficio dei termini di interazione a parità di costo sui dati puliti resta irrisolto.