双人硬刚1v2：舒明明与黎远的残酷对决，夹枪带棒技惊四座！，看似无害的提问，也能偷走RAG系统的记忆——IKEA：隐蔽高效的数据提取攻击新范式韩国第21届总统选举投票结束2025年5月29日，美国马萨诸塞州剑桥市，学生们在哈佛大学校园内欢呼庆祝第374届毕业典礼。来源：视觉中国
《双人硬刚：舒明明与黎远的残酷对决，夹枪带棒技惊四座！》
在竞技体育的舞台上，无数热血沸腾的比赛场面和激烈的比拼，常常让人不禁惊叹于对手的实力与技巧。而在一场备受瞩目的硬碰硬对决中，主角舒明明与黎远无疑凭借其独特的实力和精准的战术策略，展现出了无比的勇气与智慧，让观众们仿佛置身其中，亲身经历了这场震撼人心的双人硬刚。
舒明明与黎远两位曾经的队友，曾共同效力于同一个俱乐部，他们的默契配合与无尽的兄弟情谊使他们在职业生涯中建立了深厚的交情。随着俱乐部的发展与竞争格局的变化，他们被迫分道扬镳，分别走向了不同的道路。两人并未因此而消沉，相反，他们选择了对抗，因为那是一种对胜利的渴望，对荣誉的追求，是对团队精神的坚持，是对友情的坚守。
当比赛正式开始时，舒明明与黎远的硬碰硬对决如同一场旷世之战，双方各自展现了自己独特且强大的力量。舒明明以其出色的篮球技能和精准的投篮技巧，犹如一柄锋利的剑，一次次地从黎远的防守线刺入，直取对方的篮板，然后将球准确地投入篮筐。他的每一次突破、跳投、三分球都给人留下了深刻的印象，令观众为之叫好。
与此黎远也不甘示弱，他以灵活多变的战术布局和冷静而果断的判断力，巧妙地运用各种技巧和策略来应对舒明明的攻势。他以三步上篮、突破上篮以及精准的中距离投篮为武器，一次次地干扰和阻挡舒明明的进攻，同时利用防守端的高频率拦截和篮板球的抢断，给舒明明制造了大量的压力。
在这样的情况下，两人之间的对决宛如一场生死较量，每一秒钟都充满了紧张与刺激。每一次传球、奔跑、得分、防守，都充满了力量的对比和智慧的碰撞。观众们目睹了两位球员的激烈对决，感受到了他们面对困难时的坚韧不拔，感受到了他们在比赛中展现出的专业素养和无私奉献的精神。
最终，经过一番激烈的角逐，舒明明以微弱的优势取得了这场比赛的胜利。无论是舒明明还是黎远，他们都用自己的行动证明了什么是真正的硬碰硬对决，什么是真正的拼搏精神。他们用实际行动告诉我们，无论遇到什么困难，只要有决心，有勇气，有信心，就一定能够战胜一切。
这是一场充满激情、紧张、挑战和感动的比赛，它让人们看到了两位有着深厚友谊的队友，如何通过篮球的力量，诠释了竞技体育的真谛，展示了人性中的坚韧与勇敢，更揭示出友谊的珍贵和合作的价值。在这场硬碰硬的对决中，舒明明与黎远的硬核对决，不仅是一场篮球赛事，更是一场对友情、对毅力、对智慧的考验，是每个人都值得去回味和学习的经典之作。
本文作者分别来自新加坡国立大学、北京大学与清华大学。第一作者王宇豪与共同第一作者屈文杰来自新加坡国立大学，研究方向聚焦于大语言模型中的安全与隐私风险。共同通讯作者为北京大学翟胜方博士，指导教师为新加坡国立大学张嘉恒助理教授。
本研究聚焦于当前广泛应用的 RAG (Retrieval-Augmented Generation) 系统，提出了一种全新的黑盒攻击方法：隐式知识提取攻击 (IKEA)。不同于以往依赖提示注入 (Prompt Injection) 或越狱操作 (Jailbreak) 的 RAG 提取攻击手段，IKEA 不依赖任何异常指令，完全通过自然、常规的查询，即可高效引导系统暴露其知识库中的私有信息。
在基于多个真实数据集与真实防御场景下的评估中，IKEA 展现出超过 91% 的提取效率与 96% 的攻击成功率，远超现有攻击基线；此外，本文通过多项实验证实了隐式提取的 RAG 数据的有效性。本研究揭示了 RAG 系统在表面「无异常」交互下潜在的严重隐私风险。
本研究的论文与代码已开源。
总述
大语言模型 (LLMs) 近年来在各类任务中展现出强大能力，但它们也面临一个核心问题：无法直接访问最新或领域特定的信息。为此，RAG (Retrieval-Augmented Generation) 系统应运而生——它为大模型接入外部知识库，让生成内容更准确、更实时。
然而，这些知识库中往往包含私有或敏感信息。一旦被恶意利用，可能导致严重的数据泄露。以往的攻击方式多依赖明显的「恶意输入」，比如提示注入或越狱攻击。这类攻击虽然有效，但也有着输入异常、输出重复等典型特征，容易被防御系统识别和拦截。
图1: 使用恶意查询进行逐字信息提取与使用良性查询进行知识提取 (IKEA) 之间的对比
为突破防御机制对现有提取攻击的限制，本文提出了一种全新的隐式知识抽取框架：IKEA (Implicit Knowledge Extraction Attack)。该方法不依赖任何越权指令或特异化提示语，而是通过自然、常规的查询输入，逐步引导 RAG 系统暴露其内部知识库中的私有或敏感信息。IKEA 的攻击流程具备高度自然性与隐蔽性。
其核心步骤包括：首先，基于已知的系统主题构建一组语义相关的锚点概念 (Anchor concepts)；随后，围绕这些概念生成符合自然语言习惯的问题，用于触发系统检索相关文档；最终，通过两项关键机制对攻击路径进行优化与扩展：
上述机制协同工作，使得攻击过程在保持输入自然性的同时，能够在多轮交互中高效提取 RAG 系统所依赖的外部知识内容。实验证明，IKEA 可在常规输入检测与输出过滤等防御机制下维持高成功率与提取效率，展现出强大的鲁棒性与现实威胁潜力。
方法概览：如何实现「看似正常」的提问？
具体而言，IKEA 首先从与系统主题相关的概念词中筛选出可能有效的锚点概念，并结合历史响应信息过滤无关或无效的概念。
锚点概念数据库的初始化如下：
随后，系统围绕这些锚点概念自动生成语义自然、表达通顺的问题，引导 RAG 返回内容丰富的答案，从而在多轮交互中不断扩大对隐私知识的覆盖。这种策略使攻击过程更加隐蔽，难以被传统检测手段发现。下文给出了「良性」问题的具体生成方式：
该方法设计了两项关键机制以确保知识提取效率：
经验反思采样 (Experience Reflection Sampling)
每个候选锚点概念的采样概率由如下惩罚得分函数定义：
最终的采样概率为：
可信域有向变异 (Trust Region Directed Mutation)
图 2: (左) IKEA 整体流程图；(右) TRDM 示意图
其中：
实验结果：IKEA 的提取效率远超基线方法
研究团队在三个不同领域数据集 (医疗-HealthCareMagic100k、小说-HarryPotter、百科-Pokémon) 上测试了 IKEA 攻击效果。以下是 IKEA 与其他攻击方法在「无防御」、「输入检测」、「输出过滤」三种防御策略下的比较：
表 1: 在三种数据集上不同防御策略下的攻击效果对比分析
提取知识是否「有用」？
研究团队围绕知识有效性开展了两类实验：其一，评估提取出的知识在对应文档相关的问答任务中的表现；其二，评估在有限轮次攻击下所提取知识对完整知识库的覆盖与支撑能力。实验结果表明，IKEA 不仅能够高效提取 RAG 系统中的信息，而且所提取的知识在问答任务中展现出良好的实用性，其性能接近于使用原始知识库时的表现。
图 3: 在三种不同知识库设定下的选择题 (MCQ) 与问答 (QA) 任务结果对比
表 2: 在不同防御与不同基线下提取的知识作为参考的选择题与问答任务结果对比
表 3: 基于不同攻击方法提取数据构建的 RAG 系统在完整知识库上的评估结果
总结
当地时间6月3日20时，韩国第21届总统选举投票正式结束，投票率创1997年以来总统选举最高纪录。
韩国中央选举管理委员会预计计票工作将于当地时间20时30分至40分间陆续启动，选举结果最早可于4日零时左右初现轮廓。预计全部计票工作将在当地时间4日6时左右完成。
5人角逐 3人呼声高
此次选举原有7名候选人登记参选，但其中两人已宣布退选，最终有5人参加角逐。
这5位候选人分别是：
1.共同民主党候选人李在明
2.国民力量党候选人金文洙
3.改革新党候选人李俊锡
4.民主劳动党候选人权英国
5.无党派候选人宋镇镐
其中，李在明、金文洙、李俊锡三人呼声较高。
表决通过后 新当选总统立即启动任期
由于本届选举在总统缺位的情况下举行，韩国中央选举管理委员会将在计票工作结束后立刻召开全体会议，表决通过大选投票结果的议案，当选总统随后将正式启动任期。根据推测，当选总统最早将于当地时间4日早7时左右正式获得总统职权，并开启任期。