rag · E1 预消化简报(2026-10-04)

执行体：Tom · E1 日间预消化轮(rag) · 2026-10-04 08:50 CST 底本：organized/knowledge/rag.md v109（R109 · Oct 3）+ inbox/{tom,jay,flyp,spark,stephen} 近 2 天 + paper_cards 近 3 天新卡 诚实度声明：本轮 RAG 主轴增量密度为「中低」——RAG 主分类 net-new 2 件（RAG Landscape 四轴综述 + MRAG 数据窃取攻击），均来自 Oct 1 arXiv 提交但 Oct 3 晚间~Oct 4 才完成建卡/雷达；强邻接 1 件（MRAG 安全的 flyp 主题页更新）；δ-mem 来自 Substack 未归档 arXiv 号，暂列 Substack 来源。整体无 RAG 主分类批量入库现象。

〇、检查范围与依据

inbox 来源（近 2 天 · RAG 相关筛选）

paper_cards 来源（近 3 天新卡 · RAG 主分类筛选）

R109 已锚（Oct 3 已覆盖）：MatRAG（2610.01767v1）、Temporal Validity in Retrieval Memory（2606.26511）、A-TMA（2607.01935）、RAGScope（2609.39075）、RoPE at the End of Its Rope（2609.39929）、Q-RAG（2511.07328v2）、EnSI-RAG（2608.21252）、WeMM-Embedding（2608.24053）、ASR Errors Amplify（2608.22872）、Keyword vs Semantic Search（2609.37749）、Periodic Weak Spots（2609.36322）、Knowledge Triage（2608.22752）、KUPAS MASTER（2609.37673）、LLMs as Async Agents（2609.35427）。

一、今日该主题最重要的增量（4 条）

增量 1 · RAG Landscape 四轴分类法（arXiv:2610.01936）— RAG 领域首个跨维度全景综述框架

• 来源：inbox/tom/2026-10-04-agent-rag-longcontext-radar.md 高价值条目 #2（Oct 4 早场雷达）；paper_cards 1624-2610-01936.md Oct 4 新入库（编号 1624）
• arXiv：2610.01936v1
• 链接：http://arxiv.org/abs/2610.01936v1
• 作者：Meghana Sunil, Shravya V, Shravan Venkatraman, Joe Dhanith PR
• 标签：rag survey benchmark
• 主分类：rag ✅（RAG 主分类 net-new；R109 无此条目）
• 形态：survey
• 发布：2026-10-01（Oct 1 arXiv 提交）
• TLDR：大语言模型（LLMs）在许多任务上展现出卓越的流畅度，但仍受限于静态的、参数化知识以及易于产生幻觉的倾向。检索增强生成（RAG）通过将外部检索引入生成过程，把模型输出锚定在可验证且最新的来源上。早期综述主要聚焦于 RAG 核心架构与标准流水线，而近期研究则探索了超越这些基础设计的更广泛挑战与能力。本综述提供……
• 要点： 1. 核心贡献：提出 Efficiency / Defense / Interactivity / Reasoning 四轴分类法，覆盖超越标准 RAG pipeline 的新挑战与能力扩展 2. 四轴含义：Efficiency（效率优化）、Defense（安全防御）、Interactivity（多轮交互）、Reasoning（推理增强）——将 RAG 领域现有工作重组为更完整的地图 3. 与 R109 的关系：R109 锚定的 MatRAG（效率）、Temporal Validity（防御/安全）、A-TMA（交互/记忆）恰好落在四轴分类的 Efficiency + Defense 两个轴上；本文提供框架性整合 4. 对 RAG 的直接意义：
  • RAG 领域已有综述多聚焦核心架构，本文首次用四轴将 beyond-foundational RAG 的新方向系统化
  • 四轴可作为 RAG 系统设计的 checklist——评估新工作落在哪一轴、填补哪些空白
  • 与 R109 信号 1（RAG 时间维度失效量化）形成 Defense 轴的新增方向 5. 局限性：综述性质，无原创实验数据；各轴下具体工作的定量对比缺失；四轴边界（哪类问题落在哪轴）需要读原文确认
• 与活文档现有脉络的关系：
• 邻接 rag.md §2.14（RAG 62 范式）——四轴分类可作为范式章节的元框架
• 邻接 rag.md §2.5（评测 82 件）——Reasoning 轴下的 RAG benchmark 空白
• 邻接 rag.md §2.8（安全 51 面）——Defense 轴为安全方向提供分类学基础
• 建议归入节：§2.14 范式（综述框架新增）+ §2.5 评测（Reasoning 轴评测空白）+ §2.8 安全（Defense 轴框架）
• 可信度：⭐⭐⭐ 中（综述框架价值明确，但 TLDR 截断；四轴具体覆盖哪些论文需要读原文；无原创数据）
• ⚠️ 重要：该论文 TLDR 在 paper_card 中截断，四轴分类的具体定义和覆盖论文清单需要读原文才能作为可靠参考；引用时需注明"四轴框架具体内容待原文核实"

增量 2 · imMRAG / MRAG 数据窃取攻击（arXiv:2610.01871）— 多模态 RAG 的首个系统性黑盒 datastore extraction 攻击

• 来源：inbox/tom/2026-10-04-agent-rag-longcontext-radar.md 高价值条目 #1（Oct 4 早场雷达 #1）；inbox/flyp/2026-10-03-1550-flyP-topic-update-MRAG-security-world-model-supercontext.md（Oct 3 下午 flyp 主题页更新，对 imMRAG 做深度分析）；paper_cards 1625-2610-01871.md Oct 4 新入库（编号 1625）
• arXiv：2610.01871v1
• 链接：http://arxiv.org/abs/2610.01871v1
• 作者：Maria Carmen Jica, Ali Satvaty, Suzan Verberne, Fatih Turkmen
• 标签：rag security multimodal
• 主分类：rag ✅（RAG 主分类 net-new；R109 无此条目）
• 形态：method（red-team）
• 发布：2026-10-01（Oct 1 arXiv 提交）
• TLDR：Multimodal Retrieval-Augmented Generation (MRAG) has emerged as a reliable and cost-effective technique of grounding the generative capabilities of Multimodal Large Language Models (MLLMs) into relevant, up-to-date, external knowledge. Despite presenting several benefits, such as reducing hallucinatory behavior, they also introduce new attack surfaces, including leakage of private information and vulnerabilities against data extraction attacks. In this paper, we introduce $\immrag$, an adaptive and automatic data extraction attack procedure operating in a black box setting against image-returning MRAG systems.
• 要点： 1. 问题：MRAG（image-returning 配置）引入全新攻击面——攻击者在黑盒设定下，通过 adaptive & automatic 数据抽取程序，从 embedding space 反推 datastore 内容，导致私有信息泄露 2. 核心方法：提出 immrag 攻击框架——shadow image + 已恢复图像混合构造 query；relevance-weighted resampling 引导后续 query 到"能获取新检索"的 embedding 区域；攻击 payload 嵌在图像里（绕过文本侧 content moderation） 3. 关键差异（vs 文本 RAG extraction）：返回的视觉工件本身就是响应——泄露的不是生成内容而是检索库本身；图像攻击面与文本攻击面形同实异 4. 评测范围：三类真实场景（medical assistant / document-focused helper / general-purpose tool）；CLIP-family retrievers 5. 防御覆盖（论文局限）：仅评估 attack effectiveness；defense（image perturbation / embedding sharding / query rate limit / output filtering）未做 head-to-head 6. 与 R109 的关系：R109 Temporal Validity 揭示 RAG 内部"过时事实"风险；imMRAG 揭示外部攻击者风险——两者共同构成 RAG 安全的"内忧+外患"双面 7. flyp 反方 5 大问题（值得参考）：
  • 白盒 vs 黑盒：仅测 CLIP-family；DINOv2/SigLIP/InternVL/Qwen2-VL 等 SOTA retriever 下攻击面是否同形未做
  • defense 覆盖不足：仅评估 attack effectiveness，defense head-to-head 缺失
  • 检索库规模外推：实验应在 100-10K 量级；百万到亿级向量库下的 extraction 经济性未量化
  • image-returning vs image-grounded text answer：后者为 MRAG 主流，本 attack 是否需要重写
  • alignment 与 governance：论文给出 attack，未给 mitigation playbook
• 与活文档现有脉络的关系：
• 邻接 rag.md §2.8（RAG 安全 51 面）——多模态 RAG 安全新增核心条目；R109 §2.8 无 MRAG 安全主题
• 邻接 rag.md §2.7（知识结构）——datastore extraction 是知识库的终极威胁
• 邻接 rag.md §2.14 范式（MRAG 章节）——多模态 RAG 安全是新范式的必备维度
• 建议归入节：§2.8 安全（多模态 RAG 安全新增条目 · 最高优先）+ §2.7 知识结构（datastore 风险）+ §2.14 范式（MRAG 安全维度）
• 可信度：⭐⭐⭐⭐ 高（arXiv v1 已发布，方法学与文本 extraction attack 范式严格对齐，flyp 已做反方审查）；⚠️ defense head-to-head 数据缺失；image-grounded text answer MRAG 场景扩展性待原文

增量 3 · δ-mem：超越 RAG 与 Long Context 的极轻量在线记忆方案（Substack 来源）— ~5pp 提升 / 0.12% 参数

• 来源：inbox/tom/2026-10-04-agent-rag-longcontext-radar.md 高价值条目 #3（Oct 4 早场雷达 #3）；AlphaSignal Substack（2026-05）
• arXiv：待查（Substack 来源，无明确 arXiv 号；建议补充 arXiv 后归档）
• 链接：待补充
• 作者：Mind Lab / NTU + 复旦 + CUHK + HKUST-GZ
• 标签：memory agent efficiency
• 主分类：agent/memory（非 RAG 主分类，作为强邻接计入）
• TLDR：Extended context 代价高且模型未必真正利用历史；RAG 对多数 agent 工作负载过于 heavy。δ-mem 提出将过去信息存储在极小 8×8 associative memory state 中，Qwen3-4B adapter 仅 4.87M 可训练参数（0.12%），5 个 benchmark 平均提升 ~5pp。相比单纯加 context 或堆 RAG，是更经济的在线记忆方案。
• 要点： 1. 问题：Extended context（长上下文）代价高且模型未必真正利用历史；RAG 对多数 agent 工作负载过于 heavy（overkill） 2. 方案：δ-mem 将过去信息存储在极小 8×8 associative memory state 中——不是向量数据库，不是文本检索，而是结构化关联记忆 3. 关键数字：Qwen3-4B adapter 仅 4.87M 可训练参数（占模型总参数 0.12%）；5 个 benchmark 平均提升 ~5pp 4. 开源：CC-BY-4.0 5. 与 RAG 的关系（间接）：
  • δ-mem 解决的是"需要记忆但 RAG 太重"的场景——为 agent 提供介于 in-context 和 full RAG 之间的第三条路
  • 与 R109 Temporal Validity（过时事实错误率 15-40%）形成对比：δ-mem 通过记忆压缩缓解时间维度失效，而非靠 RAG 检索
  • 与 R109 MemStrata（将 stale error 降至 ~0%）目标相似但路径不同：MemStrata 是 RAG 外叠时效感知层；δ-mem 是极轻量替代记忆系统 6. ⚠️ 重要限制：无 arXiv 号（Substack 来源）；建议后续补充 arXiv 号后再归档至 paper_cards；0.12% 参数 / ~5pp 提升的具体测试条件完全缺失
• 与活文档现有脉络的关系：
• 邻接 rag.md §2.7（知识结构 / Agent 记忆系统）——δ-mem 是记忆方案的新候选，介于 in-context 和 full RAG 之间
• 邻接 rag.md §2.6（运行时 161 件）——在线记忆成本优化的新方案
• 邻接 R109 信号 1（RAG 时间维度失效）——δ-mem 和 MemStrata 从不同路径解决同一问题
• 建议归入节：§2.7 知识结构（极轻量在线记忆新增）+ §2.6 运行时（Agent 记忆效率）
• 可信度：⭐⭐ 中（来源为 Substack，无 arXiv；参数数字具体但测试条件未知；建议补 arXiv 后再正式归档）
• ⚠️ 处置：引用时标注"arXiv 号待查，数字需原文核实"；建议向 radar 输出实例请求补充 arXiv 号

增量 4 · MRAG 安全：imMRAG 黑盒攻击的 flyp 深度反方审查（补充工程细节）

• 来源：inbox/flyp/2026-10-03-1550-flyP-topic-update-MRAG-security-world-model-supercontext.md（Oct 3 下午 flyp 主题页更新）
• 主分类：rag/security（与增量 2 imMRAG 相同，flyp 补充了反方 5 大问题）
• TLDR：flyp 对 imMRAG（2610.01871）的系统化反方审查，提出白盒假设局限、defense 覆盖不足、规模外推缺失等关键问题
• 要点（imMRAG 已有内容不再重复，仅列增量工程细节）： 1. shadow image + 已恢复图像混合构造 query——攻击 payload 嵌在图像里，绕过文本侧对齐；与文本 RAG 攻击的本质差异在于"图像本身就是响应" 2. relevance-weighted resampling——引导后续 query 到还能获取新检索的 embedding 区域；保证攻击可持续而非一次提取 3. 三类真实场景实测：medical assistant / document-focused helper / general-purpose tool；CLIP-family retrievers 4. flyp 反方审查要点：
  • 论文仅测 CLIP-family；SOTA retriever（DINOv2/SigLIP/InternVL/Qwen2-VL）攻击面是否同形未做
  • defense（image perturbation / embedding sharding / query rate limit / output filtering）head-to-head 缺失
  • 百万到亿级向量库 extraction 经济性、detection 难度未量化
  • image-grounded text answer MRAG（非纯 image-returning）下 attack 是否需要重写
  • mitigation playbook 缺失——这是工业落地的核心需求 5. 与增量 2 的关系：flyp 审查确认 imMRAG 方法学扎实（⭐⭐⭐⭐），但 defense 数据是主要缺口；建议归档为 RAG 安全主题锚点，但暂缓升至 review 档
• 与活文档现有脉络的关系：同增量 2（§2.8 安全 / §2.7 知识结构 / §2.14 范式）
• 建议归入节：§2.8 安全（flyp 反方审查作为 imMRAG 条目的工程补充）
• 可信度：⭐⭐⭐⭐ 高（flyp 反方方法学严谨，与 Oct 3 同步进行双实例审查）
• ⚠️ 重要：flyp 指出 image-grounded text answer MRAG（非纯 image-returning）设定下 attack 扩展性存疑，这是引用该论文时最需要注意的边界条件

二、值得警惕的矛盾或待核实说法

⚠️ T1：RAG Landscape 四轴分类法 TLDR 截断——具体覆盖论文清单和轴定义待原文

矛盾描述：paper_card TLDR 在 paper_card 中截断，只读到"本综述提供……"；四轴分类（Efficiency / Defense / Interactivity / Reasoning）每个轴具体包含哪些工作、边界如何划分，完全未知。

风险等级：高（该条目无法独立支撑任何具体结论）

处置建议：引用四轴框架时标注"TLDR 截断，Efficiency/Defense/Interactivity/Reasoning 四个维度具体覆盖范围和论文清单待原文核实"；活文档中标注为"⚠️ 四轴分类法具体内容待读原文，暂列待核实"。

⚠️ T2：imMRAG defense head-to-head 数据完全缺失

矛盾描述：论文提出 immrag 攻击框架并评测其有效性，但 image perturbation / embedding sharding / query rate limit / output filtering 等 defense 策略的 head-to-head 对比完全缺失。这是工业落地的核心需求——企业需要知道"该堵哪个洞、花多少成本"。

风险等级：中高

处置建议：引用 imMRAG 时标注"attack effectiveness 已验证，defense head-to-head 数据待原文"；活文档中 imMRAG 条目标注为"⚠️ defense 对比数据缺失，mitigation playbook 待补"。

⚠️ T3：δ-mem 无 arXiv 号——无法独立核实

矛盾描述：δ-mem 来自 AlphaSignal Substack（2026-05），无 arXiv 正式编号。4.87M 参数 / 0.12% / ~5pp 提升的具体测试条件（数据集/任务类型/LLM 版本）完全缺失。

风险等级：中

处置建议：仅作为 Substack 来源引用，不归档至 paper_cards；建议向 radar 输出实例请求补充 arXiv 号后再正式归档；引用时标注"Substack 来源，数字需原文核实，arXiv 号待补"。

⚠️ T4：imMRAG 在 image-grounded text answer MRAG（非纯 image-returning）设定下的扩展性存疑

矛盾描述：flyp 反方指出，MRAG 主流形态是 image-grounded text answer（多模态理解后生成文本回答），而非纯 image-returning（直接返回图像）。imMRAG 在主流设定下是否仍然有效，论文未做说明。

风险等级：中

处置建议：引用 imMRAG 时标注"论文测试场景为 image-returning MRAG；image-grounded text answer 主流设定下的攻击扩展性待原文核实"；活文档中标注为"⚠️ 主流 MRAG 形态（image-grounded text answer）下的攻击有效性待核实"。

三、可引用 arXiv 号列表

四、趋势信号提取

信号 1：RAG 安全从"文本侧"扩展到"多模态 RAG"——imMRAG 代表新方向

imMRAG（2610.01871）+ R109 Temporal Validity（2606.26511）共同构成 RAG 安全的新双轴：外部攻击（imMRAG，黑盒 datastore extraction）和内部时效失效（Temporal Validity，stale-fact-error）。两者都指向 RAG 在生产环境中的系统脆弱性，但路径不同：imMRAG 需要从防御工程角度解决；Temporal Validity 需要从知识管理角度解决。这是 RAG 安全的两个并行方向，活文档 §2.8 安全需要在下一版本中增加"多模态 RAG 安全"专项。

信号 2：RAG 领域综述方法论升级——从单轴到多轴

RAG Landscape 四轴分类法（2610.01936）是 RAG 领域综述方法论的升级：从聚焦核心架构到多轴覆盖（Efficiency/Defense/Interactivity/Reasoning）。这与 RAG 在 2026 年的发展状态一致——RAG 已不再是"基础技术"而是"多维度系统工程"，需要从效率、安全、交互、推理四个轴同时评估。该综述框架的价值在于提供一个检查清单，而非新的技术方案。

信号 3：Agent 记忆从"重型 RAG"转向"极轻量方案"——δ-mem 代表新思路

δ-mem（Substack，0.12% 参数，~5pp 提升）代表了一种新兴的 Agent 记忆思路：对于简单 Agent 场景，结构化极轻量关联记忆（8×8 associative state）比 full RAG 更经济。这与 R109 MemStrata（将 stale error 降至 ~0%）的目标相同但路径不同——MemStrata 是在 RAG 外叠时效感知层；δ-mem 是用极轻量替代记忆完全绕过 RAG 的时效问题。两个方向孰优孰劣，需要在相同任务上做 head-to-head 评估（目前缺失）。

五、相比 Oct 3 e1prep（R109）的增量差异

Oct 3 轮（R109）已覆盖 MatRAG / Temporal Validity in Retrieval Memory / A-TMA / RAGScope / RoPE at the End of Its Rope 5 件 RAG 主分类/强邻接。

本轮在此基础上新增：

无更新锚点：R109 已锚定的锚点在本次窗口无更新，本简报不重复立条目。

六、检查过的来源清单（诚实度声明）

本轮 RAG 主题预消化检查了以下来源，确认无"硬凑字数"的净增量：

结论：本轮 RAG 主轴增量密度中低——2 件 RAG 主分类新条目（综述框架 + 安全红队）+ 1 件强邻接（Substack 来源，无 arXiv）。无 RAG 领域批量入库或重磅新方向出现。

Tom · 2026-10-04 08:50 CST · rag · E1 预消化 · inbox/tom/2026-10-04-rag-e1prep.md