Wyszukiwarka AI odpowiada na wewnętrzne pytanie trafnym cytatem. Technicznie robi to wrażenie, ale czy osoba pytająca miała w ogóle prawo przeczytać cytowany dokument? Właśnie tutaj rozstrzyga się, czy rozwiązanie RAG nadaje się do firmy.
RAG łączy wyszukiwanie z modelem językowym.
Retrieval-Augmented Generation uzupełnia zapytanie o odpowiednie informacje ze źródeł. Dokumenty są przygotowywane i udostępniane do wyszukiwania, a wybrane fragmenty służą następnie jako kontekst dla modelu językowego. Na tej podstawie model może utworzyć odpowiedź z odwołaniami do źródeł.
To połączenie jest przydatne, gdy właściwe informacje są aktualne, a użytkownik ma do nich dostęp. Staje się niebezpieczne, gdy wspólny indeks udostępnia wszystkie dokumenty bez skutecznych ograniczeń uprawnień. Samo zalogowanie do interfejsu czatu nie daje prawa do każdego dokumentu, który można w nim znaleźć.
Kontrola dostępu musi działać przed przekazaniem danych do modelu.
Aplikacja ustala tożsamość użytkownika na podstawie zaufanego mechanizmu logowania. Wyszukiwanie ogranicza wyniki i fragmenty do dozwolonego zakresu. Dopiero ten autoryzowany kontekst trafia do modelu językowego. Odpowiednich kontroli wymagają również sam indeks, jego dostęp administracyjny i połączenie ze źródłem.
Instrukcja w prompcie zabraniająca ujawniania informacji poufnych pojawia się zbyt późno, jeśli jest jedyną ochroną dostępu. Niedozwolone dane zostałyby już przetworzone. Późniejsze ukrycie cytatu również nie naprawia tej drogi przepływu danych.
Znaczenie mają także boczne ścieżki.
- Tytuły wyników
- Już sam tytuł dotyczący planowanych działań kadrowych może być poufny. Filtra uprawnień wymaga nie tylko pełny tekst dokumentu.
- Pamięci podręczne
- Odpowiedzi utworzonej dla użytkownika A nie wolno bez sprawdzenia użyć ponownie dla B. Projekt pamięci podręcznej musi uwzględniać tożsamość, dzierżawę i odpowiednie uprawnienia.
- Łącza do źródeł
- Klikalny odnośnik musi zachowywać kontrolę uprawnień przy dostępie do oryginału. Prywatny link do pobrania nie może tworzyć powszechnego dostępu.
- Dzienniki
- Zapytania, fragmenty i szczegóły błędów mogą zawierać tajemnice przedsiębiorstwa. Dostęp do nich i okres przechowywania są ograniczane.
Uprawnienia zmieniają się szybciej niż niektóre indeksy.
Osoba zmienia dział, projekt się kończy lub udostępnienie zostaje cofnięte. Zasób źródłowy i uprawnienia wyszukiwania muszą znowu być zgodne. Architektura wymaga więc opisanego procesu aktualizacji i odpowiedniego czasu reakcji.
Szczególnie ważny jest test odebrania uprawnień: po zmianie to samo konto ponownie zadaje wcześniej dozwolone pytanie. Dodatkowo sprawdza się, czy starsze pamięci podręczne, podglądy lub zapisane odpowiedzi nadal umożliwiają dostęp. Wynik musi zostać udokumentowany; samo pomyślne zakończenie importu nie wystarcza.
Funkcje produktów nie są wymiennymi klockami.
Niektóre usługi wyszukiwania obsługują natywne kontrole na poziomie dokumentów, inne wymagają jawnie wymuszanych filtrów i własnej synchronizacji. Aktualna dokumentacja Azure AI Search odróżnia na przykład filtry zabezpieczeń od dodatkowych mechanizmów zintegrowanych, częściowo oznaczonych jako Preview. Dlatego decyzja o architekturze musi uwzględniać API i wersję.
Niezależnie od narzędzia odbiór powinien wykazać, które źródło tożsamość testowa może zobaczyć, a którego nie otrzymuje. Oczekiwanych granic nie należy wyprowadzać dopiero z przypadkowej odpowiedzi modelu.
Weryfikowalny pilotaż łączy korzyści i ochronę.
DAXS może zacząć od ograniczonego zasobu wiedzy: wskazanych właścicieli źródeł, aktualnych dokumentów, kont testowych, jasnych kryteriów odpowiedzi i możliwych do odtworzenia testów negatywnych. Zakres jest rozszerzany dopiero wtedy, gdy wyszukiwanie, uprawnienia i powiązania ze źródłami działają poprawnie.
Specjalistyczna strona Wiedza firmowa i RAG opisuje import i zapytania jako powiązaną całość. Bezpieczeństwo AI szerzej omawia nadmierne udostępnianie, tożsamości i uprawnienia agentów.
Źródła: Microsoft: kontrola dostępu na poziomie dokumentów · OWASP: słabości wektorów i embeddingów. Schemat pokazuje możliwą architekturę bez danych klientów.
