黑洞攻击：通过嵌入几何结构投毒向量数据库

这是什么？

Can You Trust the Vectors in Your Vector Database? Black-Hole Attack from Embedding Space Defects（arXiv 2604.05480，发布于 2026 年 4 月 7 日）描述了一种针对向量数据库的投毒攻击——而向量数据库正是大多数 RAG 系统的检索基础。攻击者将少量恶意向量注入到已存储嵌入的几何中心附近。这些向量随后表现得像一个黑洞：无论用户实际查询什么，它们都会被拉入相当大比例查询的 top-k 检索结果中。

该发现值得注意之处在于：它并不利用某个特定模型或索引中的漏洞，而是利用了高维嵌入空间本身的几何结构。作者报告，单个植入的向量可出现在高达 99.85% 的 top-10 结果中，且仅 1% 的投毒率就足以严重污染检索。

工作原理

该攻击依赖于作者称之为**中心性驱动的枢纽性（centrality-driven hubness）**的性质。在由有限真实嵌入填充的高维空间中，质心周围的区域在实践中几乎是空的——然而置于该处的点，平均而言比任何正常向量都更接近数量极多的其他点。因此，位于质心的向量会成为许多彼此无关的查询的最近邻。攻击者只需计算质心（全局质心，或为更精细的定向而按簇计算），并在该处写入向量。

# 攻击的概念性形态——并非可操作的漏洞利用。
# 攻击者需要对语料库/索引的写入（WRITE）权限，然后在
# 已存储嵌入的经验中心放置一个向量。
centroid = stored_vectors.mean(axis=0)        # 全局或按簇
malicious_vector = centroid                    # 位于"枢纽"区域
# 一旦被索引，该向量就会成为相当大比例查询的 top-k 近邻，
# 从而挤掉合法的检索结果。

该攻击与查询无关（无需访问用户查询）且与模型无关（它针对嵌入几何结构，而非特定编码器）。论文指出，欧氏距离明显比余弦距离更脆弱——L2 归一化将向量投影到超球面上，部分抵消了质心偏置——但即便在余弦相似度下，枢纽性依然存在（按簇质心时概率高于 0.74）。尤为关键的是，标准的近似最近邻（ANN）索引无法提供任何防护。

为何重要

威胁是双重的。其一是完整性：黑洞向量可将攻击者控制的内容送入几乎每一次 RAG 查询的上下文窗口，成为间接提示注入或虚假信息的强力投送载体。其二是可用性：通过挤占合法的 top-k，它会悄然降低每一次搜索的质量——这是一种针对检索的拒绝服务，且很难被察觉。

任何运行会摄取半可信来源数据的向量存储的组织都在受影响之列：共享或多租户索引、用户提交的文档、为知识库供料的自动爬虫，或任何攻击者哪怕只能写入少量记录的流水线。2026 年 6 月的一项互补成果 When Poison Fails After Retrieval（arXiv 2606.11265）则给出了相反方向的提醒——某些语料库投毒攻击在应用重排序器后便会失效——因此防御者既不应假定最坏情形，也不应自认为高枕无忧。

防御

论文评估了两个防御方向，并坦率承认两者都不是干净利落的胜利。

• 控制谁能写入向量。 该攻击需要向索引中插入记录。应将写入权限视为特权：对数据摄取进行认证与授权，将租户隔离到各自独立的索引中，并对任何能添加嵌入的自动来源进行审查或沙箱化。
• 枢纽性缓解，但需心中有数。 中心化 L2 归一化（CL2）、TCPR 或 noHub 等变换可降低恶意向量出现的频率，但其中若干会破坏检索效用（TCPR 将恶意出现率降至约 0.1%，却使 Recall@10 跌至接近零）。CL2 提供了报告中最佳的折中（Recall@10 适中，约 59–77%）。Z-score 归一化保住了召回率，却几乎无法抵御该攻击。
• 检测被过度检索的向量。 从数据库中抽取一个小型探针集，统计每个已存储向量被作为近邻返回的频率，并移除被异常频繁选中的向量。作者报告，在某些数据集上恶意出现率从约 94% 降至约 1%，仅移除约 0.1% 的向量，并将良性召回率保持在接近 99%——但代价是额外完整的一次 k-NN 遍历，在超大型索引上扩展性很差。
• 在应用允许时优先使用余弦而非原始欧氏距离，并监控检索分布：单个文档出现在大量彼此无关的查询中，本身就是一个值得上报的警示信号。

现状

这是一项已发表的学术研究（采用 PVLDB 投稿格式），描述了密集检索中一个根本性的、与模型无关的弱点，而非针对某个具名产品的漏洞利用。关键日期：arXiv 预印本发布于 2026 年 4 月 7 日（arXiv 2604.05480）。作者的结论即是要点：现有缓解措施是在安全性与检索质量之间做权衡，因此向量数据库的稳健防御仍是一个开放问题——而”你数据库中的向量”不应被盲目信任。