💻 computer science

Hybrid privacy-aware semantic search: SVD-truncated document geometry and CKKS-encrypted query reranking under a restricted threat model

Dieses Paper schlägt ein hybrides, privatsphärenbewusstes semantisches Suchframework vor, das SVD-trunkierte geometrische Obfuskation für statische Dokumentenvektoren mit CKKS-homomorpher Verschlüsselung für dynamisches Query-Reranking kombiniert, wodurch eine Latenz im Sub-Sekundenbereich und ein robuster Schutz gegen Embedding-Inversionsangriffe bei gleichzeitiger Aufrechterhaltung einer hohen Ranking-Qualität unter einem definierten Bedrohungsmodell erreicht wird.

Ursprüngliche Autoren: Sergey Kurilenko

Veröffentlicht 2026-06-26

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Sergey Kurilenko

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie besitzen eine riesige Bibliothek geheimer Dokumente und möchten es Menschen ermöglichen, darin zu suchen, ohne dass der Bibliothekar (der Server) jemals den eigentlichen Text sieht oder genau weiß, wonach Sie suchen.

Dieses Paper schlägt einen cleveren, zweiteiligen Trick vor, um dieses Problem zu lösen, ist sich aber sehr ehrlich darüber, wo dieser Trick funktioniert und wo er scheitern könnte. Betrachten Sie es als ein „hybrides“ Sicherheitssystem, das Geometrie (Formen und Winkel) mit magischer Mathematik (Verschlüsselung) mischt.

Hier ist die Aufschlüsselung in einfachen Worten:

1. Das Problem: Die „undichte“ Bibliothek

Moderne Suchmaschinen verwandeln Text in „Embeddings“ – denken Sie an diese als einzigartige Fingerabdrücke oder Schatten, die vom Text geworfen werden.

Das Risiko: Forscher haben entdeckt, dass man diese Fingerabdrücke, wenn man sie stiehlt, oft mit erschreckender Genauigkeit rekonstruieren kann, um den ursprünglichen geheimen Text wiederherzustellen. Es ist, als würde man einen Schatten stehlen und daraus das 3ische Objekt rekonstruieren können, das den Schatten geworfen hat.
Die alten Lösungen:
- Option A (Vollständige Verschlüsselung): Legen Sie jedes Dokument in einen unknackbaren Tresor. Problem: Es ist so langsam, dass die Suche in einer Million Dokumenten Stunden dauern würde.
- Option B (Rauschen hinzufügen): Verwaschen Sie die Fingerabdrücke mit statischem Rauschen. Problem: Das Verwaschen ist so stark, dass die Suchmaschine keine richtigen Antworten mehr findet.

2. Die neue Lösung: Ein zweistufiger Tanz

Die Autoren schlagen einen Mittelweg vor, der die Dokumente (die Bibliothek) und die Suchanfragen (die Anfrage des Nutzers) unterschiedlich behandelt.

Schritt A: Schutz der Dokumente (Der „geometrische“ Trick)

Die Dokumente werden auf dem Server gespeichert, aber vor dem Transfer verändert.

Kompression (SVD-Trunkierung): Stellen Sie sich ein hochauflösendes Foto vor. Das System wirft die „feinen Details“ (das Rauschen) weg und behält nur die Hauptformen. Dies reduziert die Dateigröße und entfernt entscheidend auch einige der Informationen, die benötigt werden, um den ursprünglichen Text zu rekonstruieren.
- Die Kehrseite: Das ist keine Magie; es ist nur Datenkompression. Wenn Sie zu viel wegwerfen, verschlechtert sich die Suche. Wenn Sie zu wenig wegwerfen, ist der Text immer noch rekonstruierbar.
Die geheime Drehung (Rotation): Nach der Kompression der Daten dreht das System die gesamte Bibliothek um eine geheime Achse. Stellen Sie sich vor, Sie nehmen eine Stadtkarte und drehen sie um 90 Grad, sodass „Norden“ nun „Osten“ ist.
- Der Trick: Der Server sieht die gedrehte Karte, aber er kennt den Winkel der Drehung nicht. Für einen Außenstehenden sieht die Karte wie Kauderwelsch aus.
- Die Grenze: Wenn ein Angreifer den Originaltext auch nur weniger Dokumente kennt (ein sogenannter „Known-Plaintext-Angriff“), kann er den geheimen Drehwinkel mathematisch bestimmen und die Drehung rückgängig machen. Dies ist keine unknackbare Kryptografie; es ist ein Rätsel, das einfacher wird, wenn man ein paar Hinweise hat.

Schritt B: Schutz der Suchanfrage (Der „magische“ Trick)

Wenn ein Nutzer sucht, sendet er die Frage nicht im Klartext.

Er verwendet CKKS-Verschlüsselung, eine Art von „magischer Mathematik“, die es dem Server ermöglicht, Berechnungen mit der Frage durchzuführen, ohne die Frage selbst zu sehen.
Der Server vergleicht die verschlüsselte Frage mit den gedrehten Dokumenten und gibt eine Liste von Scores zurück, während er gleichzeitig „blind“ gegenüber der Frage des Nutzers und den eigentlichen Werten bleibt. Der Server folgt den Regeln, lernt aber nichts über die spezifische Abfrage. Dieser Teil ist mathematisch sicher.

3. Die Ergebnisse: Was funktioniert und was nicht

Die Autoren testeten dies an einer Bibliothek von einer Million Dokumenten.

Geschwindigkeit: Es ist schnell! Der gesamte Prozess dauert weniger als eine Sekunde.
Genauigkeit: Für die meisten modernen Suchmodelle hat das Wegwerfen der Hälfte der Daten (der Kompressionsschritt) die Suchergebnisse sogar verbessert. Es wirkte wie ein „Entstörsignal“, das die störenden Details herausfilterte und das klare Signal übrig ließ.
Realitätscheck zur Sicherheit:
- Die Abfrage: Der Server kann nicht sehen, wonach Sie gesucht haben. (Sicher).
- Die Dokumente: Der Server kann die komprimierten, gedrehten Daten sehen. Wenn ein Angreifer einige Beispiele („Originaltext vs. gedrehter Fingerabdruck“) besitzt, kann er die geheime Drehung zurückentwickeln und den Rest der Bibliothek lesen.
- Die „öffentlichen“ Hinweise: Das System verwendet einen öffentlichen „Index“ (wie einen Karteikasten), um die Suche zu beschleunigen. Das Paper gibt zu, dass dieser Index Informationen darüber preisgibt, welche Dokumente einander ähnlich sind.

4. Das Fazit

Dieses Paper behauptet nicht, eine unknackbare Festung gebaut zu haben. Stattdessen bietet es einen praktischen Kompromiss an:

Für den Nutzer: Sie erhalten eine schnelle, private Suche, bei der der Server nicht in Ihre Gedanken schauen kann.
Für die Dokumente: Sie erhalten eine Schutzschicht, die es einem Gelegenheitsangreifer sehr schwer macht, Ihre Geheimnisse zu lesen, aber sie ist nicht sicher gegen einen entschlossenen Angreifer, der über ein paar „Cheat-Codes“ (bekannte Beispiele Ihrer Daten) verfügt.

Die Hauptbotschaft der Autoren lautet: „Wir haben einen Sweet Spot gefunden, an dem die Suche schnell und genau ist und die Abfrage kryptografisch sicher ist. Der Schutz der Dokumente beruht jedoch auf einer ‚geheimen Drehung‘, die ein Obfuskations-Trick ist und kein magischer Schild. Wenn Sie über ein paar geleakte Beispiele Ihrer Daten verfügen, versagt dieser Trick.“

Sie sind sehr deutlich: Die Privatsphäre der Abfrage ist kryptografisch (unknackbar), aber die Privatsphäre der Dokumente ist empirisch (sie funktioniert, bis jemand das Muster entschlüsselt).

Problemstellung

Moderne semantische Suche und Retrieval-Augmented Generation (RAG) stützen sich auf dichte Vektor-Embeddings. Jüngste Forschungen zeigen jedoch, dass diese Embeddings mit hoher Treue wieder in ihren Quelltext zurückinvertiert werden können (z. B. erreicht Vec2Text ~97 % BLEU). Dies schafft eine kritische Schwachstelle: Wenn eine Vektordatenbank durchsickert, sind die zugrunde liegenden Dokumente effektiv kompromittiert.

Bestehende Verteidigungsmechanismen bewegen sich in zwei Extremen, die beide für den industriellen Einsatz im großen Maßstab ungeeignet sind:

Vollhomomorphe Verschlüsselung (FHE): Kryptographisch fundiert, aber rechentechnisch zu aufwendig für die Suche in Millionen von Dokumenten.
Differential Privacy (DP): Das Hinzufügen von Rauschen beeinträchtigt die Ranking-Qualität erheblich, noch bevor ein sinnvoller Datenschutz gewährleistet wird.

Die Arbeit adressiert das Bedürfnis nach einem Mittelweg, der Privatsphäre, Abrufgenauigkeit und Latenz bei einer Skalierung von $10^6$ Dokumenten ausbalanciert.

Methodik

Die Autoren schlagen eine asymmetrische Hybrid-Architektur vor, die die statische Dokumentensammlung und die dynamische Benutzeranfrage unterschiedlich behandelt. Das System operiert unter einem eingeschränkten Bedrohungsmodell: ein vertrauenswürdiger Client, ein ehrlich-aber-neugieriger (honest-but-curious) Server und ein nicht-adaptiver Angreifer (der herkömmliche Inversions-Tools ohne Vorwissen über die geheime Rotation verwendet).

1. Dokumentenschutz (Statische Seite)

Die Dokumentenvektoren werden durch eine geometrische Transformation statt durch Verschlüsselung geschützt:

SVD-Trunkierung: Der zentrierte Dokumentenkorpus wird mittels Singularwertzerlegung (SVD) auf einen niederdimensionalen Unterraum ( $k = d/2$ ) projiziert. Diese Trunkierung wurde gewählt, um sicherzustellen, dass der relative Rekonstruktionsfehler ( $\sigma_{rec}$ ) mindestens 0,10 beträgt, was als Stellvertreter für den Informationsverlust dient.
Geheime Rotation: Die trunkierten Vektoren werden mit einer geheimen, Haar-uniform verteilten orthogonalen Matrix $R$ multipliziert. Diese Rotation verbirgt die Orientierung der Basis vor Angreifern, die $R$ nicht besitzen.
Öffentliche Produktquantisierung (PQ): Ein PQ-Index (Codebuch + Codes) wird im rotierten Raum trainiert, um dem Client zu ermöglichen, eine lokale Kandidatenfilterung (Stufe 1) durchzuführen, ohne Anfragen an den Server senden zu müssen. Die Autoren merken explizit an, dass dieses PQ-Artefakt eine „verlustbehaftete, komprimierte Ansicht“ ist, die die Nachbarschaftsstruktur preisgibt und als exponierter Kanal behandelt wird.

2. Abfrageschutz (Dynamische Seite)

Die Anfrage wird kryptographisch geschützt:

CKKS-Verschlüsselung: Der Client verschlüsselt den rotierten Anfragevektor mittels des CKKS-homomorphen Verschlüsselungsverfahrens.
Ciphertext-Plaintext (ct-pt) Reranking: Der Server führt das Reranking der kurz gelisteten Kandidaten (z. B. die Top 40) durch, indem er das Skalarprodukt zwischen dem verschlüsselten Anfragevektor und den im Klartext vorliegenden, rotierten Dokumentenvektoren berechnet.
Optimierung: Durch die Vermeidung von Ciphertext-Ciphertext (ct-ct) Multiplikationen eliminiert das System die Notwendigkeit der kostspieligen Reliniarisierung. Dies ermöglicht es dem Server, Ähnlichkeitswerte mit einer Latenz im Sub-Sekundenbereich zu berechnen.

3. Parameterwahl

Anstatt manueller Abstimmung verwenden die Autoren ein reproduzierbares Offline-Mikro-Benchmarking über ein diskretes Gitter von CKKS-Parametern (Polynomgrad, Koeffizientenmodulus-Kette, Skalierung), um die Konfiguration zu wählen, die die Latenz minimiert und gleichzeitig die Sicherheitstabellen (tc128) sowie die Genauigkeitstoleranzen erfüllt.

Zentrale Beiträge

Theoretisch:

Lemma 1: Die Arbeit beweist eine enge untere Schranke für den $L_2$ -Rekonstruktionsfehler für jeden Decoder, dessen Bild auf den trunkierten Unterraum beschränkt ist. Dies quantifiziert formal den durch die Projektion verlorenen Informationsgehalt, wobei die Autoren klarstellen, dass es sich um eine Projektionsschranke handelt, nicht um ein allgemeines Inversions-Sicherheits theorem.
Empirische Hypothese 1: Sie formalisieren die Beziehung zwischen dem Rekonstruktionsfehler-Proxy ( $\sigma_{rec}$ ) und dem BLEU-Score von Standard-Inversionsangriffen und validieren dies numerisch.

Empirisch & Technisch:

Skalenevaluierung: Experimente wurden an einem Korpus von 1 Million Dokumenten (russische Wikipedia) unter Verwendung von fünf zeitgemäßen Text-Encodern (einschließlich multilingual-E5 und BGE-M3) durchgeführt.
Latenz: Das System erreicht eine End-to-End-Abfragelatenz komfortabel unter 1 Sekunde (p95 $\approx$ 370 ms) für $10^6$ Dokumente.
CKKS-Optimierung: Die gewählte Konfiguration ( $N_{poly}=8192$ , spezifische Moduluskette) erzielt eine 1,7-fache Beschleunigung gegenüber Standard-TenSEAL-Einstellungen bei gleichbleibender Sicherheitsbindung.
Entrauschungseffekt: Für auf Retrieval trainierte Encoder mit Dimensionen $d \ge 768$ fungiert die SVD-Trunkierung als linearer Denoiser, was die Ranking-Metriken (Acc@1, NDCG) im Vergleich zur Rohbasis leicht verbessert, indem Rauschen in den hinteren singulären Richtungen herausgefiltert wird.

Ergebnisse und Sicherheitsanalyse

Die Arbeit testet das System rigoros gegen das beabsichtigte Bedrohungsmodell sowie gegen stärkere Angreifer:

Gegen nicht-adaptive Angreifer: Unter dem eingeschränkten Modell (unbekanntes $R$ , herkömmliches Vec2Text) reduziert die geheime Rotation die BLEU-Scores auf das Rauschniveau ( $\approx 0,007$ ) und verhindert so effektiv die Textrekonstruktion.
Gegen Known-Plaintext-Angreifer: Wenn ein Angreifer über $\approx k$ (die beibehaltene Dimension) Paare von (Originaltext, rotiertem Vektor) verfügt, kann er die geheime Rotation $R$ mittels Orthogonal Procrustes rekonstruieren. Sob von $R$ bekannt ist, reduziert sich der Schutz auf die SVD-Trunkierung allein.
Leckage des Referenzkorpus: Falls die geschützte Sammlung Überschneidungen mit einem öffentlichen oder geleakten Referenzkorpus aufweist, kann ein Angreifer die rekonstruierte Rotation nutzen, um exakte Absatz-Lookups durchzuführen.
PQ-Artefakt-Leckage: Die öffentlichen PQ-Codes bewahren $\approx 95 \%$ der Kosinus-Ähnlichkeit zu den rotierten Vektoren und behalten die meisten Top-10-Nachbarn bei, was bestätigt, dass das PQ-Artefakt ein exponierter Kanal ist, der strukturelle Informationen preisgibt.
Encoder-Abhängigkeit: Der „Entrauschungs“-Vorteil ist spezifisch für Retrieval-trainierte Encoder. Kompakte Modelle (z. B. e5-small) oder Paraphrase-destillierte Modelle leiden unter einer Genauigkeitsdegradierung bei $k=d/2$ Trunkierung.

Bedeutung und Behauptungen

Die Arbeit positioniert sich als wissenschaftliche Studie und nicht als fertiges Produkt oder Bericht über Systems Engineering. Ihre Bedeutung liegt in:

Definition der Grenzen: Sie grenzt das Bedrohungsmodell explizit ab. Sie behaupten, dass die Abfragengeheimhaltung kryptographisch ist (via CKKS), der Dokumentenschutz jedoch empirische Obfuskation darstellt (via SVD + geheime Rotation). Sie behaupten nicht, dass die Dokumentenebene gegen adaptive oder Known-Plaintext-Angreifer kryptographisch sicher ist.
Quantifizierung von Trade-offs: Sie liefert einen gemessenen Betriebspunkt, an dem Privatsphäre, Genauigkeit und Latenz ausbalanciert sind. Sie zeigt auf, dass die durch Privatsphäre geschützte Trunkierung für bestimmte Encoder-Typen interessanterweise die Retrieval-Qualität sogar verbessern kann.
Reproduzierbarkeit: Sie bietet eine deterministische Methode zur Auswahl kryptographischer Parameter und stellt alle Skripte und Konfigurationen bereit.

Eingeständnisse der Autoren bezüglich der Limitationen:

Der Dokumentenschutz ist nicht kryptographisch; er versagt gegenüber Known-Plaintext- oder adaptiven Angriffen.
Zugriffsmuster (welche Dokumente neu gerankt werden) und PQ-Codes sind exponiert.
Das System ist auf eine spezifische Klasse von Encodern angewiesen (Retrieval-trainiert, $d \ge 768$ ), um die Genauigkeit beizubehalten.
Die primäre offene Frage bleibt die Robustheit gegenüber einem End-to-End gelernten Decoder, der speziell auf den rotierten Raum trainiert wurde, welcher in dieser Studie nicht vollständig evaluiert wurde.

Zusammenfassend präsentiert die Arbeit einen praktischen, hochperformanten hybriden Ansatz für die semantische Suche, der die Last der Privatsphäre zur Abfrageseite (kryptographisch) und zur Dokumentenseite (geometrische Obfuskation) verschiebt, während er die Ausfallmodi der geometrischen Obfuskationsschicht transparent quantifiziert.