ملخص تقني: تدقيق الخصوصية في أنظمة استرجاع المعلومات المعزز بالتوليد (RAG) متعددة المستأجرين تحت ظروف تواطؤ الحسابات

1. بيان المشكلة

تعمل خدمات استرجاع المعلومات المعزز بالتوليد (RAG) الإنتاجية (مثل Microsoft 365 Copilot وOpenAI Assistants) عادةً كأنظمة متعددة المستأجرين (multi-tenant)، حيث تخدم بنية تحتية مشتركة آلاف حسابات العملاء. تُصاغ ضمانات الخصوصية الحالية لهذه الأنظمة على مستوى الحساب الواحد: حيث يُوعد كل حساب بأن استعلاماته ستلبي معايير الخصوصية التفاضلية $(\epsilon_{acc}, \delta_{acc})$ بالنسبة لفهرس المستأجر.

تحدد الورقة البحثية فشلاً في حدود الخصوصية: إذ إن هذا الصياغة القائمة على الحساب الواحد غير كافية عندما يسيطر خصم على $k$ من الحسابات (ائتلاف/تحالف) التي تنسق للاستعلام عن نفس فهرس المستأجر. وبينما تشير نظرية الخصوصية التفاضلية القياسية إلى أن $k$ من الاستعلامات المستقلة قد تؤدي إلى تدهور الخصوصية خطياً ($k \cdot \epsilon_{acc}$) أو تظل ثابتة، يثبت المؤلفون أنه بالنسبة لآليات الاسترجاع ذات الضجيج الغاوسي (Gaussian-noised)، فإن التسرب المشترك يتدهور بمعدل $\Theta(\sqrt{k} \cdot \epsilon_{acc})$.

تعني هذه الفجوة أن الخدمة التي تعلن عن ميزانية آمنة لكل حساب (على سبيل المثال $\epsilon_{acc}=1$) قد تعرض دون قصد ضماناً مشتركاً أضعف بكثير (على سبيل المثال $\approx 3.2$ لـ $k=10$) إذا تشكل ائتلاف. تعمل الدفاعات الحالية على تعديل النشر لتقليل التسرب لكل استعلام، لكن لا يوجد منها ما يوفر آلية لتدقيق التسرب المشترك لنشر غير معدل دون الكشف عن الفهرس الأساسي أو أوزان النموذج.

2. المنهجية

2.1 نموذج التهديد

يصيغ المؤلفون نموذج الخصوصية التفاضلية للائتلاف $(\epsilon, \delta, k)$: يسيطر الخصم على $k \ge 1$ من الحسابات داخل مستأجر واحد (تواطؤ داخل نفس المستأجر) أو عبر مستأجرين مختلفين (تواطؤ خارجي/عبر المستأجرين، بناءً على فشل التحكم في الوصول). يمتلك الخصم:

• الاستدلال اللاحق المشترك: اعتقاد احتمالي موحد حول الفهرس المستهدف.
• التنسيق التكيفي: يمكن أن تعتمد استعلامات الحساب $a_i$ على السجل الكامل لجميع الحسابات الأخرى حتى الوقت $t-1$.
• الوعي بحدود المعدل: يتم جدولة الاستعلامات لتعظيم الميزانية الإجمالية مع البقاء ضمن الحدود الفردية لكل حساب.
• قناة مخرجات مشتركة: يتم تجميع جميع استجابات الاسترجاع قبل تشغيل مُقدّر الخصم.

يفترض التحليل وجود ضجيج غاوسي مستقل وجديد لكل استعلام ومعالج تضمين (embedder) حتمي ضمن نافذة التدقيق.

2.2 التحليل النظري

تخصص الورقة نظرية التركيب المتقدمة للخصوصية التفاضلية لتناسب سياق RAG:

• الحد الأعلى: من خلال اختزال $k$ من الحسابات المنسقة إلى محلل تكيفي واحد بميزانية قدرها $kn$من الاستعلامات، يطبق المؤلفون نظرية التركيب المتقدم. بالنسبة لإصدار الدرجة ذات الضجيج الغاوسي، يثبتون أن معامل الخصوصية المشترك$\epsilon_k$ يتوسع كـ:
  $$\epsilon_k = \Theta\left(\sqrt{k} \cdot \epsilon_{acc}\right)$$
  وهذا أسوأ بوضوح من ميزانية الحساب الواحد المعلنة، ولكنه أفضل من حد الخصوصية الجماعية الخطي الساذج.
• الحد الأدنى: يبني المؤلفون هجوماً محدداً (استعلام فحص ضد فهارس مجاورة تختلف في وثيقة واحدة) حيث يحقق ائتلاف من $k$ حسابات ميزة استدلال العضوية (MIA) قدرها $\Omega(\sqrt{k} \cdot \epsilon_{acc})$.
• خصوصية ريني (RDP): تم تحسين التحليل باستخدام RDP ومحاسب اللحظات (moments accountant) لتوفير حدود عددية أكثر دقة لتقارير التدقيق.

2.3 بروتوكول التدقيق

لجعل هذه الفجوة قابلة للتحقق، تصمم الورقة بروتوكول تدقيق مكون من أربع مراحل يعمل على عمليات نشر RAG غير معدلة دون الحاجة للكشف عن الفهرس:

1. الالتزام (Commitment): يلتزم المزود بمعالج التضمين، ومحتوى الفهرس (عبر التزامات المتجهات)، وبذرة الضجيج، ومعايير السياسة (بما في ذلك حد الائتلاف الأقصى $k_{max}$) باستخدام التجزئة التشفيرية وأشجار ميركل (Merkle trees).
2. الإشهاد لكل استعلام (Per-Query Attestation): لكل استعلام، ينشئ المزود برهان معرفة صفرية (ZK proof) يؤكد فيه أن:
   • التضمين تم حسابه باستخدام معالج التضمين الملتزم به.
   • الضجيج الغاوسي مشتق من البذرة الملتزم بها.
   • اختيار الـ Top-K تم بناءً على الدرجات المشوبة بالضجيج (الضجيج ثم الاختيار - noise-then-select).
   • الاسترجاع تم حصره في فهرس المستأجر الصحيح.
3. تقدير حجم الائتلاف: يقدم المزود تقديراً لحجم الائتلاف ($\hat{k}$) بناءً على ارتباط الاستعلامات (تجميع الاستعلامات المتشابهة في السجل العام)، مصحوباً ببرهان معرفة صفرية.
4. التحقق: يتحقق طرف ثالث من البراهين واتساق السجل. إذا كان حجم الائتلاف المقدر ضمن حد السياسة ($k_{max}$)، يصدر المدقق حكماً كمياً: (اجتياز، $\epsilon_{audit}$)، حيث $\epsilon_{audit}$ هو حد التسرب المشترك المحسوب.

3. المساهمات الرئيسية

1. تحديد نموذج التهديد: تحدد الورقة إساءة استخدام الحسابات المتعددة (مثل حسابات التمويه/sock puppets) كفشل هيكلي في ضمانات الخصوصية لكل حساب في أنظمة RAG، مما يثبت معدل التدهور $\Theta(\sqrt{k})$ للدرجات ذات الضجيج الغاوسي.
2. توقعات تجريبية قابلة للتفنيد: يستنتج المؤلفون توقعاً محدداً للمساحة تحت المنحنى (AUC) لهجوم استدلال العضوية (MIA): $AUC_k = \frac{1}{2} + \Theta(\sqrt{k} \cdot \epsilon_{acc})$. وقد التزموا ببوابتين للتفنيد (الميل والإحكام) للتحقق من صحة النظرية.
3. بروتوكول تدقيق قابل للتشغيل من قبل المدقق: أول بروتوكول لتدقيق التسرب المشترك في عمليات نشر RAG غير المعدلة. يستخدم مزيجاً من الأوليات التشفيرية العامة (سجلات ميركل، براهين المعرفة الصفرية) والأوليات الخاصة بـ RAG (الالتزام بمعالج التضمين، الإشهاد على "الضجيج ثم الاختيار") لإصدار حكم كمي $(PASS, \epsilon_{audit})$ دون الكشف عن الفهرس أو أوزان النموذج.
4. التتبع العددي للخصوصية: يسمح دمج RDP ومحاسب اللحظات بالتقييم العددي الدقيق لفقدان الخصوصية، مما يوفر حدوداً أكثر إحكاماً من التقريبات ذات الصيغ المغلقة لأحجام الائتلاف المتوسطة.

4. النتائج التجريبية

تحقق المؤلفون من توقعاتهم النظرية باستخدام نظام اختبار اصطناعي يعتمد على FAISS ومعالج تضمين مدرب (BAAI/bge-small-en-v1.5).

• التحقق من التوسع: أكدت التجارب مع أحجام ائتلاف $k \in \{1, 2, 5, 10, 20\}$ التوسع المتوقع $\sqrt{k}$. على سبيل المثال، عند $\epsilon_{acc}=4$، نمت ميزة MIA التجريبية من 0.070 ($k=1$) إلى 0.281 ($k=20$)، وهو ما يطابق تماماً عامل النمو المتوقع $\sqrt{20} \approx 4.5$.
• معالجة ما بعد الـ Top-K: لوحظ استمرار اتجاه $\sqrt{k}$ حتى عند تقييد المخرجات بمؤشر ثنائي "ضربة Top-K"، رغم أن الميزة المطلقة انخفضت بعامل ثابت (أقل بنسبة 30% تقريباً من هجوم الدرجة الخام).
• اختبارات المتانة:
  • الخصوم البدلاء: لم تتجاوز المتغيرات التي تستخدم نسب لوغاريتم الاحتمال البايزي (Bayes log-likelihood ratios) أو تقسيم الأهداف المتعددة المتنوعة معدل $\sqrt{k}$ الأساسي؛ بل إن التنوع أدى في الواقع إلى تقليل الميزة.
  • نقل معالج التضمين: ظل المعدل ثابتاً لمعالج تضمين مدرب ذي 384 بُعداً، مع توسع الميزة خطياً مع فجوة الدرجة المتحققة ($\Delta$).
  • خارجي مقابل نفس المستأجر: تحت افتراض فشل التحكم في الوصول (M4)، حققت الهجمات الخارجية معدلات تسرب لا تختلف إحصائياً عن ائتلافات نفس المستأجر.
• نطاق الإنتاج: أكدت الاختبارات على فهرس HNSW مكون من $10^6$ وثيقة أنه بينما توفر ضربات Top-K المرئية للمستخدم تسرباً يقترب من الصفر في هذا النطاق، فإن الدرجات المشوبة بالضجيج المجمعة (التي يمكن للمدقق الوصول إليها عبر بروتوكول التدقيق) لا تزال تظهر اتجاه تسرب $\sqrt{k}$.

5. الأهمية والادعاءات

تضع الورقة نفسها كقاعدة تقنية وليس كمواصفة جاهزة للنشر. تكمن أهميتها الأساسية في:

• كشف الثغرات الهيكلية: تجادل الورقة بأن إساءة استخدام الحسابات المتعددة (مثل حسابات التمويه) ليست مجرد مسألة احتيال، بل هي فشل جوهري في حدود الخصوصية لا تغطيه ضمانات الخصوصية الحالية لكل حساب.
• تمكين التدقيق من طرف ثالث: يوفر البروتوكول آلية للمنظمين والأطراف الثالثة للتحقق من ادعاءات الخصوصية (مثل قانون الذكاء الاصطناعي في الاتحاد الأوروبي أو قانون الخدمات الرقمية) دون مطالبة المزود بالكشف عن بياناته أو نماذجه المملوكة.
• تشغيل $\epsilon_{audit}$: تقترح الورقة تحويل وحدة الإفصاح التنظيمي من ميزانية الحساب الواحد ($\epsilon_{acc}$) إلى حد التدقيق المشترك ($\epsilon_{audit}$)، والذي يعكس واقع الهجمات المنسقة.

يحدد المؤلفون صراحةً استبعاد خصوصية قناة التوليد (مخرجات LLM المشروطة بالوثائق المختارة) وهجمات عكس التضمين، معتبرين إياها مقاييس تدقيق منفصلة. كما يقرون بأن فعالية البروتوكول تعتمد على إعلان المزود لحد ائتلاف معقول ($k_{max}$) وأن مُقدّر حجم الائتلاف يمكن تجنبه من قبل الخصوم الذين يتعمدون تنويع استعلاماتهم. وتخلص الورقة إلى أنه بينما الفجوة هيكلية وتتطلب تغييرات معمارية لإغلاقها تماماً، فإن بروتوكول التدقيق المقترح يمثل خطوة عملية وقابلة للتحقق نحو الشفافية في خدمات RAG الإنتاجية.