検索拡張生成における知識抽出攻撃と防御のベンチマーク評価

Benchmarking Knowledge-Extraction Attack and Defense on Retrieval-Augmented Generation

February 10, 2026

著者: Zhisheng Qi, Utkarsh Sahu, Li Ma, Haoyu Han, Ryan Rossi, Franck Dernoncourt, Mahantesh Halappanavar, Nesreen Ahmed, Yushun Dong, Yue Zhao, Yu Zhang, Yu Wang

cs.AI

要旨

Retrieval-Augmented Generation（RAG）は、企業向けチャットボット、医療アシスタント、エージェントメモリ管理など、知識集約型アプリケーションの基盤技術として確立されている。しかし近年の研究により、悪意あるクエリを通じて機密性の高いナレッジベースの内容を抽出する知識抽出攻撃が可能であることが示され、知的財産の窃取やプライバシー漏洩に対する重大な懸念が生じている。既存研究では個別の攻撃・防御技術が探求されてきたものの、研究状況は断片的なままであり、異種の検索埋め込みモデル、多様な生成モデル、非標準化された評価指標や一貫性のないデータセットに基づく評価が混在している。この問題を解決するため、我々はRAGシステムに対する知識抽出攻撃初の体系的ベンチマークを提案する。本ベンチマークは、広範な攻撃・防御戦略、代表的な検索埋め込みモデル、オープンソース及びクローズドソースの生成モデルを網羅し、複数データセットにおける標準化されたプロトコルの下で統一された実験フレームワークによる評価を実現する。実験環境を統合し再現性・比較可能性の高い評価を可能にすることで、本ベンチマークは新興の知識抽出脅威に対処するプライバシー保護型RAGシステムの開発に向けた実践的知見と基盤を提供する。コードはこちらで公開されている。

English

Retrieval-Augmented Generation (RAG) has become a cornerstone of knowledge-intensive applications, including enterprise chatbots, healthcare assistants, and agentic memory management. However, recent studies show that knowledge-extraction attacks can recover sensitive knowledge-base content through maliciously crafted queries, raising serious concerns about intellectual property theft and privacy leakage. While prior work has explored individual attack and defense techniques, the research landscape remains fragmented, spanning heterogeneous retrieval embeddings, diverse generation models, and evaluations based on non-standardized metrics and inconsistent datasets. To address this gap, we introduce the first systematic benchmark for knowledge-extraction attacks on RAG systems. Our benchmark covers a broad spectrum of attack and defense strategies, representative retrieval embedding models, and both open- and closed-source generators, all evaluated under a unified experimental framework with standardized protocols across multiple datasets. By consolidating the experimental landscape and enabling reproducible, comparable evaluation, this benchmark provides actionable insights and a practical foundation for developing privacy-preserving RAG systems in the face of emerging knowledge extraction threats. Our code is available here.