Retrieval-Augmented Generation (RAG) geldt als een pragmatische manier om taalmodellen aan actuele, domeinspecifieke kennis te koppelen: in plaats van alles in het model te stoppen, haalt het systeem relevante passages op uit een kennisbank en gebruikt die als context. Een recente aanvalsstudie verschuift de aandacht echter naar een onderdeel dat vaak als passieve opslag wordt behandeld: de kennisbank zelf. De paper Knowledge Poisoning Attacks on Medical Multi-Modal Retrieval-Augmented Generation, gepubliceerd via arXiv en de ACL Anthology, laat zien dat een aanvaller het model helemaal niet hoeft te breken. Wie foutieve entries in de retrievallaag kan injecteren, heeft genoeg invloed om downstream-antwoorden te kantelen.
De aanval: retrieval kapen zonder de prompt aan te raken
De kern van de studie is dat de aanval query-agnostisch is. De onderzoekers injecteren misinformatie in een medische multimodale kennisbank en gebruiken visuele triggers om de retrieval te kapen. Het gevolg is dat het systeem klinisch plausibele maar feitelijk onjuiste passages ophaalt en verwerkt in het antwoord. Volgens de paper werkt dit over meerdere modellen en datasets, en beïnvloedt het zowel het retrieval- als het generatiegedrag.
Dat is precies wat deze dreiging zo lastig maakt in een hoog-trust domein. Een antwoord dat er medisch geloofwaardig uitziet, wordt niet vanzelf gecorrigeerd door een gebruiker die de context vertrouwt. De aanval hoeft de prompt niet te manipuleren; het volstaat om de bron waaruit het systeem put te vergiftigen. En de onderzoekers merken op dat stealthy poisoning mogelijk blijft, ook wanneer eenvoudige verdedigingen worden toegepast.
Deze aanvalsklasse staat niet op zichzelf. De ACL-studie The good and the bad: Exploring privacy issues in retrieval-augmented generation (RAG) uit 2024 liet al eerder zien dat retrieval-augmented systemen een eigen aanvalsoppervlak hebben. De nieuwe medische studie bouwt daarop voort en maakt het concreet voor een domein waar fouten directe gevolgen hebben.
Niet alleen slechte data, maar de architectuur eromheen
De vraag is vervolgens waarom sommige RAG-systemen kwetsbaarder zijn dan andere. De arXiv-studie Influence Factors on RAG Poisoning onderbouwt dat poisoning geen enkelvoudig modelprobleem is, maar afhangt van de interactie tussen dataset, retrievertype, retrieval depth, databankcompositie, chunking en generator.
Twee ontwerpkeuzes springen eruit. Ten eerste de retrieval depth: hoe meer passages een systeem per query ophaalt, hoe groter de kans dat een vergiftigde passage tussen de context terechtkomt. Ten tweede het retrievertype: dense retrievers en graph-gebaseerde retrievers reageren anders op dezelfde poison-set dan een klassieke BM25-aanpak. Met andere woorden: dezelfde vergiftigde kennisbank levert een andere blootstelling op, afhankelijk van hoe je hem doorzoekt.
Dat maakt RAG-poisoning primair een architectuurvraagstuk. Wie contextselectie, retrieval depth en databankcompositie ontwerpt, bepaalt mede hoe kwetsbaar het systeem is voor gemanipuleerde bronnen. Dat is geen probleem dat je achteraf met een enkele filter oplost.
Metadata als verborgen kanaal
Manipulatie hoeft bovendien niet zichtbaar te zijn. De arXiv-paper Hidden in the Metadata: Stealth Poisoning Attacks on Multimodal Retrieval-Augmented Generation toont een aanval waarbij de metadata van image-text entries worden gemanipuleerd, terwijl de visuele content ongemoeid blijft. De afbeelding klopt, maar de bijbehorende beschrijvende velden sturen de retrieval de verkeerde kant op.
De implicatie is ongemakkelijk: verdedigingen die alleen naar zichtbare inhoud kijken, of die vertrouwen op eenvoudige filters, schieten tekort. Een kennisbank die er bij inspectie schoon uitziet, kan via ogenschijnlijk onschuldige metadatavelden toch gecompromitteerd zijn.
De sector reageert met gelaagde verdediging
Dat het probleem operationeel serieus wordt genomen, blijkt uit verdedigend onderzoek. De arXiv-paper RAGuard: A Layered Defense Framework for Retrieval-Augmented Generation Systems Against Data Poisoning bouwt een gelaagde verdediging tegen corpus poisoning en behandelt poisoning daarmee als een erkende beveiligingsklasse. Een belangrijke les uit dat werk is dat verdediging pas effectief wordt wanneer ze op de retrievallaag zelf wordt toegepast — retriever-hardening en documentfiltering zijn geen bijzaak, maar de plek waar de aanval plaatsvindt.
De rode draad door deze studies is helder: kennisbanken in RAG-systemen zijn geen statische referentielijsten, maar een actief aanvalsoppervlak dat je moet segmenteren, controleren en verifiëren.
Wat dit betekent voor werk met gevoelige informatie
Voor organisaties die met vertrouwelijke of hoog-trust informatie werken, verschuift de aandacht daarmee naar herkomst en controleerbaarheid. Als retrieval al genoeg is om foutieve inhoud in een antwoord te krijgen, dan is de vraag niet alleen "wat zegt het model", maar "waar komt deze context vandaan en is die verifieerbaar".
Dit is de context waarin een verificatielaag zoals Vera relevant kan zijn. Vera is geen chatbot en geen eigen taalmodel, maar een privacygerichte verificatielaag die een taak door geselecteerde onafhankelijke AI-modellen kan routeren en verificatiestappen, correcties, meningsverschillen en bronnen zichtbaar maakt voor inspectie. Dat garandeert geen correctheid of waarheid, maar het kan wel meer zicht geven op welke bronnen een antwoord onderbouwen — precies het punt waar poisoning zich verstopt.
Daarnaast is er de omgang met de brondocumenten zelf. Het Semantic Privacy Shield is ontworpen om gevoelige documentwaarden vóór AI-verwerking op EU-infrastructuur te vervangen door synthetische, sessiegebonden equivalenten, waarna de originele waarden lokaal kunnen worden hersteld. De workflow is fail-closed: mislukt de privacycontrole, dan wordt het document niet doorgestuurd. Dat lost RAG-poisoning niet op, maar het onderstreept dezelfde grondhouding die uit de onderzoeksbronnen spreekt: behandel de dataketen als iets dat je bewust controleert.
De studies uit 2024 tot en met 2026 wijzen samen in één richting. Wie RAG inzet op gevoelige informatie, doet er goed aan kennisbanken, retrievalbronnen en documentmetadata auditeerbaar te maken vóórdat het systeem in productie gaat. Het professionele eindoordeel blijft daarbij altijd bij de gebruiker; techniek kan de controle ondersteunen, niet vervangen.