双管击破金银花——探索TXl技术的双重功效与健康效益，原创 魏征原是李建成谋士，后来投奔李世民，为何没人说他是叛徒看似无害的提问，也能偷走RAG系统的记忆——IKEA：隐蔽高效的数据提取攻击新范式值得一提的是，马科斯不得连任，莎拉目前被视为下一届总统选举热门人选。若莎拉无法参选，可能标志着杜特尔特家族在菲律宾政坛占主导地位的时期暂告一个段落。
在繁华的都市生活中，人们常常被繁重的工作压力和快节奏的生活方式所困扰。越来越多的人开始关注起一种名为"金银花"的植物，它的神奇力量正逐渐受到人们的重视。本文将探讨一下金银花的双重功效与健康效益，以及其在现代科技中运用的技术，即"TXL（茶叶提取物超微技术）"。
让我们来看看金银花的双重功效。据《本草纲目》记载，金银花具有清热解毒、消炎止痛、明目利咽等功效。对于一些常见的病毒性疾病，如感冒、流感、咽喉肿痛等，金银花有显著的抗菌作用；而对于某些慢性疾病，如高血压、高血脂、糖尿病等，金银花也有明显的抗病效果。金银花还有良好的美容养颜功能，它富含多种维生素和矿物质，能够抗氧化、清除自由基，保护皮肤免受环境污染的侵害，对皱纹、色斑、肌肤老化等问题具有一定的改善作用。
什么是"TXL"呢？"TXL"是一种新兴的研究成果，是茶叶提取物超微技术的典型应用之一。它通过先进的纳米技术和细胞生物学理论，将金银花中的活性成分进行定向分离和纯化，以获得更高效、更安全的提取物。这种技术的优势在于可以大大提高金银花的提取效率，同时减少其毒性，使其更适合用于医药和食品等领域。
在现代科技的支持下，"TXL"已被广泛应用于金银花的开发利用。例如，在医药领域，"TXL"技术已经被用来生产各种中药饮片、保健品，如金银花茶、金银花蜜、金银花膏等，这些产品不仅口感醇厚，还具有很好的保健效果。在食品工业中，"TXL"技术也被用于金银花茶的生产和精制，使得金银花茶的颜色更加鲜艳，香气更加浓郁，口感更加顺滑，营养价值也得到了进一步提升。
尽管金银花在医疗和食品领域的广泛应用已经取得了显著成效，但其在传统中医药文化的传承和发展上仍面临挑战。如何在保证药品质量和安全性的充分挖掘和利用金银花的健康价值，推动金银花的应用创新，是我们需要深入思考的问题。
金银花以其独特的药理作用、广泛的用途和健康的效益，吸引了众多科研人员的关注。在未来，我们期待看到更多关于金银花的科技成果，借助现代科技的力量，让更多的人受益于这种美丽的植物，享受到它带来的健康福祉。而"TXL"等新型提取技术的出现，则为金银花的深度开发提供了新的思路和可能，为我们打开了一扇全新的探索之门，引领着金银花的未来走向更加广阔的天地。
公元621年，李建成任命魏征为太子洗马，礼遇十分周到。五年后的626年，李世民发动了著名的玄武门之变，将李建成及其弟李元吉等人一同杀害。此后，李世民赦免了魏征，并让他担任了詹事主簿的职务。
实际上，魏征最初是李建成的谋士，并且多次为他提供智谋与策略。他深知李世民的能力远超李建成，因此时常劝李建成先发制人，尽量立下赫赫战功，以便在李渊心中树立良好的形象。然而，在李建成被诛杀后，魏征选择投奔了李世民，并且为其出谋划策，协助李世民打下了“贞观之治”的根基。李世民深知魏征的忠诚与才干，甚至称他为自己的一面镜子，时常告诫自己：“以铜为镜，可以正衣冠；以古为镜，可以知兴替；以人为镜，可以明得失。朕常保此三镜，以防己过。今魏徵殂逝，遂亡一镜矣！”
魏征对李世民的忠诚可见一斑，但这里却有一个问题。古代的忠臣往往仅忠于一位主子，特别是那些有才华的大臣。即使他们因某些原因转投他人，通常也会被视作背弃前主。那么，魏征作为李建成的谋士，为什么在李建成死后没有被指责为叛徒呢？
本文作者分别来自新加坡国立大学、北京大学与清华大学。第一作者王宇豪与共同第一作者屈文杰来自新加坡国立大学，研究方向聚焦于大语言模型中的安全与隐私风险。共同通讯作者为北京大学翟胜方博士，指导教师为新加坡国立大学张嘉恒助理教授。
本研究聚焦于当前广泛应用的 RAG (Retrieval-Augmented Generation) 系统，提出了一种全新的黑盒攻击方法：隐式知识提取攻击 (IKEA)。不同于以往依赖提示注入 (Prompt Injection) 或越狱操作 (Jailbreak) 的 RAG 提取攻击手段，IKEA 不依赖任何异常指令，完全通过自然、常规的查询，即可高效引导系统暴露其知识库中的私有信息。
在基于多个真实数据集与真实防御场景下的评估中，IKEA 展现出超过 91% 的提取效率与 96% 的攻击成功率，远超现有攻击基线；此外，本文通过多项实验证实了隐式提取的 RAG 数据的有效性。本研究揭示了 RAG 系统在表面「无异常」交互下潜在的严重隐私风险。
本研究的论文与代码已开源。
总述
大语言模型 (LLMs) 近年来在各类任务中展现出强大能力，但它们也面临一个核心问题：无法直接访问最新或领域特定的信息。为此，RAG (Retrieval-Augmented Generation) 系统应运而生——它为大模型接入外部知识库，让生成内容更准确、更实时。
然而，这些知识库中往往包含私有或敏感信息。一旦被恶意利用，可能导致严重的数据泄露。以往的攻击方式多依赖明显的「恶意输入」，比如提示注入或越狱攻击。这类攻击虽然有效，但也有着输入异常、输出重复等典型特征，容易被防御系统识别和拦截。
图1: 使用恶意查询进行逐字信息提取与使用良性查询进行知识提取 (IKEA) 之间的对比
为突破防御机制对现有提取攻击的限制，本文提出了一种全新的隐式知识抽取框架：IKEA (Implicit Knowledge Extraction Attack)。该方法不依赖任何越权指令或特异化提示语，而是通过自然、常规的查询输入，逐步引导 RAG 系统暴露其内部知识库中的私有或敏感信息。IKEA 的攻击流程具备高度自然性与隐蔽性。
其核心步骤包括：首先，基于已知的系统主题构建一组语义相关的锚点概念 (Anchor concepts)；随后，围绕这些概念生成符合自然语言习惯的问题，用于触发系统检索相关文档；最终，通过两项关键机制对攻击路径进行优化与扩展：
上述机制协同工作，使得攻击过程在保持输入自然性的同时，能够在多轮交互中高效提取 RAG 系统所依赖的外部知识内容。实验证明，IKEA 可在常规输入检测与输出过滤等防御机制下维持高成功率与提取效率，展现出强大的鲁棒性与现实威胁潜力。
方法概览：如何实现「看似正常」的提问？
具体而言，IKEA 首先从与系统主题相关的概念词中筛选出可能有效的锚点概念，并结合历史响应信息过滤无关或无效的概念。
锚点概念数据库的初始化如下：
随后，系统围绕这些锚点概念自动生成语义自然、表达通顺的问题，引导 RAG 返回内容丰富的答案，从而在多轮交互中不断扩大对隐私知识的覆盖。这种策略使攻击过程更加隐蔽，难以被传统检测手段发现。下文给出了「良性」问题的具体生成方式：
该方法设计了两项关键机制以确保知识提取效率：
经验反思采样 (Experience Reflection Sampling)
每个候选锚点概念的采样概率由如下惩罚得分函数定义：
最终的采样概率为：
可信域有向变异 (Trust Region Directed Mutation)
图 2: (左) IKEA 整体流程图；(右) TRDM 示意图
其中：
实验结果：IKEA 的提取效率远超基线方法
研究团队在三个不同领域数据集 (医疗-HealthCareMagic100k、小说-HarryPotter、百科-Pokémon) 上测试了 IKEA 攻击效果。以下是 IKEA 与其他攻击方法在「无防御」、「输入检测」、「输出过滤」三种防御策略下的比较：
表 1: 在三种数据集上不同防御策略下的攻击效果对比分析
提取知识是否「有用」？
研究团队围绕知识有效性开展了两类实验：其一，评估提取出的知识在对应文档相关的问答任务中的表现；其二，评估在有限轮次攻击下所提取知识对完整知识库的覆盖与支撑能力。实验结果表明，IKEA 不仅能够高效提取 RAG 系统中的信息，而且所提取的知识在问答任务中展现出良好的实用性，其性能接近于使用原始知识库时的表现。
图 3: 在三种不同知识库设定下的选择题 (MCQ) 与问答 (QA) 任务结果对比
表 2: 在不同防御与不同基线下提取的知识作为参考的选择题与问答任务结果对比
表 3: 基于不同攻击方法提取数据构建的 RAG 系统在完整知识库上的评估结果
总结