一分钟读论文：《删掉一个前缀，近满分的投毒防御当场裸奔》
内容提要
论文指出，RAG投毒防御的高检测率可能源于毒文档构造痕迹：PoisonedRAG代码将目标问题拼入注入文本。删除该前缀后，RAGuard的AUROC从0.953降至0.758，漏检率从0.191升至0.763，而毒文检索率仍达0.93。长度线索同样可致指标虚高。作者强调排名不等于决策，建议检测结果须同时报告毒文构造画像与部署阈值下的假阳率。
延伸解读
评测捷径：防御高分可能来自毒文构造痕迹
论文指出，PoisonedRAG官方代码把目标问题原样拼在注入文本前，导致防御模型可能只学会识别“带题目的毒文”，而非真正检测投毒。删除该前缀后，RAGuard的AUROC从0.953降至0.758，漏检率从0.191升至0.763，说明此前的高分很大程度上依赖构造痕迹。这提醒读者，防御论文的检测率需结合毒文生成方式解读，否则容易高估实际防护能力。
排名与决策脱节：AUROC好看不等于部署可靠
控制实验显示，用乱序词填充毒文长度后，TrustRAG集合级漏检率从0.000升至0.827，论文自有打分器从0.000升至0.986，但AUROC仍停在0.953，进入上下文的毒文占比从0.00升至0.94。作者用“排名还在，决策已死”概括这一现象，强调仅看AUROC无法反映部署阈值下的实际漏检与假阳风险，评估应同时报告决策层指标。
报告规范建议：构造画像与假阳率缺一不可
论文统计21个已发表防御评估中，8个可验证使用含问题毒文，5个换用长度或重复线索，12个不报告部署阈值下的假阳率。作者建议检测结果必须同时报告毒文构造画像（问题原文包含率、长度重叠度）和实际部署阈值的假阳率，才算有效证据。另一实测显示DRS阈值校准可使医疗库假阳率从0.945变0.035，说明阈值选择本身也左右结论。
边界与局限：不否定防御，但需警惕饱和假象
论文明确不提出新防御，其自有打分器被自适应攻击以0.977过检率击穿，结论仅适用于共享候选集的受控实验，不涉及真实部署。医疗格中毒文包含问题且长度出格时，8个打分系统中4个漏检为0.000，饱和恰出现在线索最强处。读者应理解，该研究揭示的是评测方法缺陷，而非所有RAG防御失效，但提示需警惕线索过强导致的指标虚高。
Q&A
为什么RAG投毒防御论文中报告的高检测率可能不可靠？
因为PoisonedRAG官方代码在构造毒文档时，将目标问题原样拼接在每条注入文本前面，导致防御模型可能是在检测这种构造痕迹而非投毒本身。删除该前缀后，RAGuard的AUROC从0.953降至0.758，漏检率从0.191升至0.763。
删除问题前缀对RAGuard防御性能的具体影响是什么？
在NQ数据集上，仅删除毒文档中的问题前缀，RAGuard的AUROC从0.953下降到0.758，漏检率从0.191上升到0.763，而毒文检索率仍保持0.93。这表明防御性能大幅下降，但毒文仍能被检索到。
除了问题前缀，还有哪些因素会导致RAG投毒防御指标虚高？
长度线索也会导致指标虚高。例如，将毒文重复2-10次或使毒文长度（119-162词）与干净文档（固定100词）明显不同，仅通过词数统计就能达到AUROC 0.999。此外，12个已发表防御未报告部署阈值下的假阳率。
论文中“排名还在，决策已死”具体指什么现象？
指防御模型的AUROC（排名指标）可能保持较高（如0.953），但在实际部署阈值下，漏检率却大幅上升（如从0.000升至0.827），导致大量毒文进入上下文。即排序能力看似良好，但决策性能崩溃。
这篇论文提出了新的防御方法吗？
没有。论文明确表示“we propose no defense”，不提出任何防御方法。其自有打分器也被自适应攻击者以0.977的毒文过检率击穿。论文结论仅适用于受控实验，不涉及真实部署。
根据论文，评估RAG投毒防御时应该报告哪些指标才更可靠？
检测结果应同时报告毒文构造画像（如问题原文包含率、长度重叠度）和实际部署阈值下的假阳率。仅报告AUROC等排序指标不足以反映真实决策性能。
