探索原始欲望：品书居的独特魅力——剖析欲望与文化传承的深层碰撞，看似无害的提问，也能偷走RAG系统的记忆——IKEA：隐蔽高效的数据提取攻击新范式原创 中国为何叫中国？如果连祖国名字由来都不知道，是不是有点尴尬考试前学生最担心的是什么？考生考试前最多的担心是“怕考试发挥失常”。许多学生在过去大大小小的考试中都偶尔出现过一、二次考试发挥失常，同学们自然害怕在这关键的一考中又出现失误。实际上所谓考试发挥失常，它产生的主要原因往往与出题过偏、怪、难有关。
以下是关于“探索原始欲望：品书居的独特魅力——剖析欲望与文化传承的深层碰撞”的一篇中文文章：
在繁华喧嚣的城市中，有一个小角落，名为“品书居”，它隐藏在都市的边缘，静静地诉说着一段古老的历史和丰富的文化。这里，弥漫着浓厚的文化气息，每一本书都是一段历史的记忆，一种文化的传递，而品味这些书籍，就是对原始欲望的探寻。
品书居的主人——陈先生，是一位热爱阅读的人，他的生活充满了书香墨香，从他手中拿起的一本本书，就如同打开了一个全新的世界。他对书籍的热爱，源自于对人类历史、文明的深深理解。他深信，每一个作者的想象力和创造力，都是他们内心深处的原始欲望被激发后的产物。通过阅读，陈先生能够深入理解那些跨越时空的故事，感受那个时代人们的生活状态、思想观念以及情感世界。他的书架上摆满了各种类型的书籍，既有古典文学名著，也有现代畅销小说，更不乏一些充满哲学意味的作品。每一本书在他看来，都是一个故事，一个时代的缩影，一件无法复制的艺术瑰宝。
品书居的魅力不只在于它的丰富图书资源，更在于其独特的读书氛围。在这里，读者不仅可以欣赏到文字之美，还能感受到作者的热情与才华，甚至可以体验到那里的宁静与祥和。这里的读书环境优雅而舒适，各种灯光柔和适宜，音响轻微悠扬，让每一位来此阅读的人都仿佛置身于诗画的世界中。这种环境，就像是一座艺术殿堂，吸引着无数渴望知识和灵感的人们前来寻找自己心中的那份原始欲望。
品书居并非只是单纯地满足人们的阅读需求，更是将原始欲望与文化传承紧密相连。在这里，每本书都承载着厚重的文化底蕴，它们是古人的智慧结晶，是对传统文化的一种生动诠释。例如，陈先生的书房里摆着一本《庄子》，这是一部描绘道家哲学的思想巨著，它以深刻的哲理、独特的情节和深邃的人生观，吸引了无数学者和普通读者的关注。通过阅读这本书，读者不仅可以了解道家的思想内涵，还可以感受庄子的豁达胸襟和超脱世俗的精神追求。
品书居的真正魅力，在于它以独特的视角去理解和解读原始欲望，同时也以深厚的文化底蕴去传承和发扬传统。在这里，每个人都可以找到自己的方向，找到那份源于内心深处的原始欲望，并且在这个过程中，深入了解和体验人类社会的历史变迁，理解文化的演变脉络，感悟人生的真谛。
“品书居”以其特有的魅力和独特的读书氛围，成功地探求到了原始欲望与文化传承的深层次碰撞。在这里，人们不仅能享受到阅读的乐趣，更能从书中汲取丰富的营养，提升自我，理解并尊重我们共有的文化遗产。无论是个人的阅读兴趣，还是群体的读书活动，都在这个特殊的环境中得以实现，这就是“品书居”的独特魅力，也是它对人类文明精神的深刻揭示。
本文作者分别来自新加坡国立大学、北京大学与清华大学。第一作者王宇豪与共同第一作者屈文杰来自新加坡国立大学，研究方向聚焦于大语言模型中的安全与隐私风险。共同通讯作者为北京大学翟胜方博士，指导教师为新加坡国立大学张嘉恒助理教授。
本研究聚焦于当前广泛应用的 RAG (Retrieval-Augmented Generation) 系统，提出了一种全新的黑盒攻击方法：隐式知识提取攻击 (IKEA)。不同于以往依赖提示注入 (Prompt Injection) 或越狱操作 (Jailbreak) 的 RAG 提取攻击手段，IKEA 不依赖任何异常指令，完全通过自然、常规的查询，即可高效引导系统暴露其知识库中的私有信息。
在基于多个真实数据集与真实防御场景下的评估中，IKEA 展现出超过 91% 的提取效率与 96% 的攻击成功率，远超现有攻击基线；此外，本文通过多项实验证实了隐式提取的 RAG 数据的有效性。本研究揭示了 RAG 系统在表面「无异常」交互下潜在的严重隐私风险。
本研究的论文与代码已开源。
总述
大语言模型 (LLMs) 近年来在各类任务中展现出强大能力，但它们也面临一个核心问题：无法直接访问最新或领域特定的信息。为此，RAG (Retrieval-Augmented Generation) 系统应运而生——它为大模型接入外部知识库，让生成内容更准确、更实时。
然而，这些知识库中往往包含私有或敏感信息。一旦被恶意利用，可能导致严重的数据泄露。以往的攻击方式多依赖明显的「恶意输入」，比如提示注入或越狱攻击。这类攻击虽然有效，但也有着输入异常、输出重复等典型特征，容易被防御系统识别和拦截。
图1: 使用恶意查询进行逐字信息提取与使用良性查询进行知识提取 (IKEA) 之间的对比
为突破防御机制对现有提取攻击的限制，本文提出了一种全新的隐式知识抽取框架：IKEA (Implicit Knowledge Extraction Attack)。该方法不依赖任何越权指令或特异化提示语，而是通过自然、常规的查询输入，逐步引导 RAG 系统暴露其内部知识库中的私有或敏感信息。IKEA 的攻击流程具备高度自然性与隐蔽性。
其核心步骤包括：首先，基于已知的系统主题构建一组语义相关的锚点概念 (Anchor concepts)；随后，围绕这些概念生成符合自然语言习惯的问题，用于触发系统检索相关文档；最终，通过两项关键机制对攻击路径进行优化与扩展：
上述机制协同工作，使得攻击过程在保持输入自然性的同时，能够在多轮交互中高效提取 RAG 系统所依赖的外部知识内容。实验证明，IKEA 可在常规输入检测与输出过滤等防御机制下维持高成功率与提取效率，展现出强大的鲁棒性与现实威胁潜力。
方法概览：如何实现「看似正常」的提问？
具体而言，IKEA 首先从与系统主题相关的概念词中筛选出可能有效的锚点概念，并结合历史响应信息过滤无关或无效的概念。
锚点概念数据库的初始化如下：
随后，系统围绕这些锚点概念自动生成语义自然、表达通顺的问题，引导 RAG 返回内容丰富的答案，从而在多轮交互中不断扩大对隐私知识的覆盖。这种策略使攻击过程更加隐蔽，难以被传统检测手段发现。下文给出了「良性」问题的具体生成方式：
该方法设计了两项关键机制以确保知识提取效率：
经验反思采样 (Experience Reflection Sampling)
每个候选锚点概念的采样概率由如下惩罚得分函数定义：
最终的采样概率为：
可信域有向变异 (Trust Region Directed Mutation)
图 2: (左) IKEA 整体流程图；(右) TRDM 示意图
其中：
实验结果：IKEA 的提取效率远超基线方法
研究团队在三个不同领域数据集 (医疗-HealthCareMagic100k、小说-HarryPotter、百科-Pokémon) 上测试了 IKEA 攻击效果。以下是 IKEA 与其他攻击方法在「无防御」、「输入检测」、「输出过滤」三种防御策略下的比较：
表 1: 在三种数据集上不同防御策略下的攻击效果对比分析
提取知识是否「有用」？
研究团队围绕知识有效性开展了两类实验：其一，评估提取出的知识在对应文档相关的问答任务中的表现；其二，评估在有限轮次攻击下所提取知识对完整知识库的覆盖与支撑能力。实验结果表明，IKEA 不仅能够高效提取 RAG 系统中的信息，而且所提取的知识在问答任务中展现出良好的实用性，其性能接近于使用原始知识库时的表现。
图 3: 在三种不同知识库设定下的选择题 (MCQ) 与问答 (QA) 任务结果对比
表 2: 在不同防御与不同基线下提取的知识作为参考的选择题与问答任务结果对比
表 3: 基于不同攻击方法提取数据构建的 RAG 系统在完整知识库上的评估结果
总结
回到西周时期，那时的河南洛阳深处，人们相信自己正身处于天下的中心。这个观念，在周朝铜器“何尊”被发现后，逐渐成为了历史的见证之一。公元1949年，新的时代开启，标志着中国名字再次获得了确立。在中华人民共和国成立的那一天，中国不仅在地理上成为了中心，它更成为了文化与政治的象征。那么，究竟是什么催生了这一切呢？
《尚书》中的“皇天既付中国民越厥疆土于先王”也许为我们提供了某种线索。这一记载不仅是对地理位置的描写，也有着深刻的中心权力展示意味。
至今，\"中国\"这一名称的含义早已超越了单纯的地理和政治定义。它已经成为一个文化集成的符号，代表着一个历史悠久的民族，以及在全球舞台上日益崭露头角的角色。通过这些历史片段，我们不仅看到了一个名称的演变过程，也看到了一个国家如何从其“中心”逐步扩展到世界的舞台，并承载着无数中华儿女的文化自豪与历史责任。
在追溯“中国”这一名称的起源时，我们不可避免地要回顾中国古代社会和文化的背景。西周时期，是一个天子威严和宗法制度的时代，地理背景位于今天的河南省洛阳市，古人称之为“天下之中”。
西周是中国历史上至关重要的时期之一。在此时期，周天子拥有至高无上的权力，而周朝的政治体系则建立在分封制的基础上。王室成员和功臣们被封为诸侯，管理各自的封地，但无论如何，权力的象征和核心依旧指向“中国”——即周都所在的地方。这种\"中国\"的定义，是地理上的中心，而非国家的称谓。
在西周初期，洛阳的地位显赫。它不仅是周天子的居住地，更是诸侯朝拜和政务处理的中心，成为了政治、文化和社会秩序集中的地方。周朝的政治和社会权力得以高度集中。
正是在这种背景下，一件历史性事件发生了。陕西宝鸡陈仓区发现了一尊西周早期的青铜器，名为“何尊”。这一青铜器的出土不仅为考古学家提供了宝贵的研究资料，更重要的是，其铭文中首次出现了“中国”一词。这件青铜器上的铭文写道：“余其宅兹中国”，这为我们揭示了“中国”这一名称最初的含义——“天下之中”的地方。
周朝文化中的铭文，通常用来记载王室事迹和重大政治事件。因此，“何尊”的发现不仅具有文物的历史价值，其文化和历史背景同样不可忽视。在“何尊”的铭文中提到的“中国”，最初指的是周王朝的核心区域——周都周围的地方，意味着这里的中心地位。这个定义与我们今天对国家的理解大相径庭，其本质上更像是对一个地域的描述，而非一个国家名称。
随着时间的推移，周朝的政治结构经历了从统一到分裂的转变，诸侯国逐渐壮大，中央政权逐步削弱。背景发生了变动，\"中国\"的含义也随之演变，从最初的地理概念，逐渐转化为更为复杂的政治和文化概念。这一变化反映了政治力量的分散，并标志着中华文化认同的渐渐形成。
到了周朝晚期，随着国家逐步从分封制过渡到郡县制，“中国”的概念逐渐得到扩展。原本指代周王都周边的“中国”，开始广泛用于指称中原地区的所有汉族聚居地。这不仅是地理概念的扩展，更是政治和文化身份认同的一种体现。
这一转变并非由单一事件推动，而是在复杂的政治、社会、文化变迁中，逐步形成的。从西周时期的地理中心，到汉代以后的政治和文化中心，再到今天作为国家名称的“中国”，这一名称的演变既记录了中国历史的脉络，也反映了中华文化深远的影响力。
汉代的到来，使得“中国”这一名称从地理概念扩展为涵盖更广泛的政治和文化实体。尤其是在汉武帝时期，中央集权得到强化，儒家思想的推广使这一转变更为显著。汉朝的扩张不仅限于军事领域，更在文化上的融合与同化方面取得了成功。汉武帝统治时期，中国的疆域扩展至今天的中亚及朝鲜半岛，使得“中国”不再局限于中原，而是涵盖了庞大的帝国版图。
随着帝国疆域的扩张，各种民族与文化逐步纳入汉朝的统治，“中国”逐渐成为一个多民族、多文化的大国的代名词。丝绸之路的开通发挥了至关重要的作用，它不仅是商业交流的通道，也是东西方文化相互交融的桥梁。中国的丝绸、瓷器和茶叶等商品开始传向西亚和欧洲，同时也将“中国”这一名称带到了更远的地方。
唐朝时期，由于其开放的政策和经济的繁荣，“中国”这一名称的国际影响进一步扩大。唐朝的长安，作为当时世界的文化和政治中心，吸引了大量外国商人和学者。这里不仅是政治心脏地带，也是东西方文化交汇的熔炉。来自中亚的驼队和东南亚的船队在此交汇，市场上充斥着珍奇宝物，长安成为连接东西方文化和经济的关键枢纽。此时，“中国”已不再仅代表一个地理位置，而成为文化和政治大国的象征。
进入宋朝，虽然中国的疆域有所收缩，但文化和科技上却达到了新的高峰。宋代的文化成就使得“中国”这一概念的内涵更加丰富，也更为世界所认知。宋代的文人们通过诗词歌赋赞颂祖国山河，将“中国”描绘为智慧与文化的象征。
元朝建立后，尽管是由非汉族建立的政权，\"中国\"的定义依然没有缩小，反而扩展到了更广泛的地理和文化范围。元朝的统治者将“中国”作为政权核心，并将其疆域拓展至空前的范围。尽管这一时期中国由外族统治，但“中国”这一名称在内涵上没有退缩，反而变得更加包容。
随着明朝的建立，汉族再次恢复了政权，“中国”这一名称的意义得到了进一步强化。明朝的皇帝通过一系列的政策，推动中国成为一个具有明确边界和强大中央政府的国家象征。明朝通过海禁政策以及与其他国家的朝贡体系，确立了中国在东亚乃至全球的地位。
清朝时期，“中国”的概念经历了深刻变化。清朝作为满洲建立的政权，继续加强了“中国”这一名称的国际地位。通过加强对内的中央集权和与外部的外交交往，清朝进一步扩大了中国的疆域，并使得“中国”在国际舞台上享有了更大的影响力。
然而，清朝末期出现了衰退迹象，鸦片战争爆发，标志着中国的封建体制面临挑战。在这一外部侵略和内部腐败的压力下，辛亥革命爆发，推翻了数千年的封建体制，中华民国成立，为“中国”这一名称赋予了新的政治和文化含义。
在随后的历史进程中，无论是中华民国时期，还是中华人民共和国成立后，“中国”这一名称都成为了一个代表文化和政治实体的独特符号。它不仅仅代表地理位置，也承载了一个民族的历史传承与文化认同，见证了数千年的变迁和发展。
参考资料：
1. 汉语“中国”一词最早出现于《尚书》
2. 散文札记 - 汉语“中国文化”之词源，中国社会科学院民族学与人类学研究所 作者：邸永君 2009-01-20