L'empoisonnement Sybil polymorphe déjoue les filtres anti-doublons RAG

De quoi s’agit-il ?

En juillet 2026, des chercheurs ont publié sur arXiv un benchmark et un cadre d’évaluation pour le question-réponse ancré (grounded QA) soumis à un empoisonnement de récupération coordonné — des attaques qui insèrent des documents hostiles dans le corpus qu’interroge un système de génération augmentée par récupération (RAG). Leur apport principal : une classe d’attaque nommée, l’empoisonnement Sybil polymorphe, et un résultat de mesure — les métriques que la plupart des équipes utilisent pour évaluer la robustesse RAG sous-estiment systématiquement la gravité du comportement d’un système empoisonné. Le travail s’inscrit dans une littérature 2026 en pleine croissance sur l’empoisonnement de corpus RAG, mais c’est le premier à isoler ce que la diversité de surface entre passages complices fait à la fois aux attaques et aux défenses.

Comment ça marche

L’empoisonnement RAG classique insère un passage hostile — ou plusieurs copies quasi identiques — qu’un récupérateur remonte pour une question cible, orientant le modèle lecteur vers une réponse choisie par l’attaquant. Une défense courante et peu coûteuse est le filtrage des quasi-doublons lexicaux : si de nombreux passages récupérés sont textuellement presque identiques, on écarte les doublons. Ce filtre attrape parfaitement le cas monomorphe, où l’attaquant réutilise une seule chaîne.

Une attaque Sybil le contourne. Au lieu d’un passage répété, l’attaquant sème de nombreux passages lexicalement variés qui plaident tous pour la même affirmation cible. Chacun ressemble à une source indépendante ; ensemble, ils forment un faux consensus. Comme aucune paire n’est quasi identique, le filtre de déduplication qui arrête la version copier-coller ne voit rien à retirer. Les chercheurs nomment cette variation de surface polymorphisme et traitent l’axe monomorphe/polymorphe comme la variable clé.

Pour mesurer l’effet proprement, ils séparent deux choses qui se confondent d’ordinaire : le fait que le poison soit récupéré, et la manière dont le lecteur résout le conflit une fois le poison présent. Un protocole d’« exposition forcée » fige le contexte récupéré afin que l’évaluation isole le comportement côté lecteur du bruit de récupération. Chaque sortie est ensuite classée dans quatre catégories mutuellement exclusives — gold (réponse correcte), hijack (la réponse de l’attaquant), abstention (le modèle refuse de répondre) et drift (une autre réponse erronée) — avec des matrices de transition appariées clean-vers-poison qui suivent le déplacement de chaque question lorsqu’on introduit le poison.

Pourquoi c’est important

Deux résultats ressortent. D’abord, le polymorphisme paie. Dans une ablation contrôlée, les copies monomorphes n’ont réussi un hijack que dans 4,0 % des cas, tandis que donner à la même affirmation malveillante des formes de surface variées a fait remonter ce taux à 22,8 % — un bond de +18,8 points de pourcentage, soit environ une amplification de 5,7× du canal d’attaque visible par une métrique de taux de réussite (ASR) standard. La défense qui neutralise l’attaque naïve n’entame quasiment pas la version coordonnée.

Ensuite, l’ASR est à lui seul le mauvais instrument de mesure. Sous attaque, les catégories « abstention » et « drift » réunies détenaient entre 47 % et 66 % de la masse totale des sorties — des échecs qui n’apparaissent jamais comme un hijack. Deux modèles lecteurs situés à un ASR quasi identique différaient de 16,5 points sur l’abstention et de 17,2 points sur le drift. Autrement dit, deux systèmes qui paraissent également robustes selon le chiffre phare peuvent échouer de façons complètement différentes, et une équipe qui n’optimise que le faible ASR reste aveugle à l’essentiel de ce que le poison fait réellement à son pipeline. Pour rendre cela reproductible, les auteurs ont publié un benchmark figé de 3 145 questions et 2 982 groupes Sybil retenus, couvrant cinq modèles lecteurs de 7B à 120B paramètres, deux récupérateurs et deux configurations de validation croisée.

Défenses

La leçon pratique : le filtrage des quasi-doublons et l’évaluation fondée sur le seul ASR donnent une fausse confiance face à l’empoisonnement coordonné. Traitez la déduplication lexicale comme un plancher, pas comme une défense : ajoutez un regroupement sémantique capable de repérer de nombreux passages formulés différemment qui poussent une même affirmation, et pondérez les preuves récupérées par la provenance et l’indépendance des sources plutôt que par leur nombre, afin qu’une nuée de « sources » fabriquées ne puisse fabriquer un consensus. Côté lecteur, privilégiez un prompting conscient des conflits qui fait apparaître les désaccords entre sources et autorise l’abstention lorsque le soutien est mince ou contradictoire, et exigez un ancrage par citations pour qu’une réponse pointe vers des preuves identifiables.

Sur l’évaluation, cessez de mesurer la robustesse par un chiffre unique. Suivez l’abstention et le drift aux côtés du hijack, utilisez des transitions appariées clean-vers-poison pour voir comment chaque question se déplace, et testez en red team vos pipelines de récupération avec des variantes polymorphes — pas seulement des chaînes répétées — avant tout déploiement. Le benchmark publié offre aux défenseurs un moyen tout prêt de le faire. Enfin, durcissez la chaîne d’ingestion : surveillez ce qui entre dans le corpus, appliquez des niveaux de confiance aux sources, et plafonnez la contribution d’une même origine non vérifiée aux preuves derrière une réponse. Ces contrôles rejoignent les recommandations de l’OWASP sur l’empoisonnement des données et des bases de connaissances pour les applications LLM.

Statut

Élément	Détail
Contribution	Benchmark de modes de défaillance + cadre d’évaluation de l’empoisonnement RAG
Classe d’attaque	Empoisonnement Sybil polymorphe (passages coordonnés, lexicalement variés)
Taxonomie des sorties	Gold · hijack · abstention · drift
Résultat clé	Le polymorphisme amplifie le hijack visible d’environ 5,7× (4,0 % → 22,8 %)
Échecs masqués	Abstention + drift = 47–66 % des sorties sous attaque
Benchmark	3 145 questions · 2 982 groupes Sybil · cinq lecteurs (7B–120B) · deux récupérateurs

Date clé : article de benchmark publié sur arXiv en juillet 2026.