Don't Show What They Can't See: Authorization-First Schema Context for Secure Text-to-SQL
Dieses Paper schlägt ein Authorization-First-Framework vor, das eine feingranulare Zugriffskontrolle während des Schema-Abrufs erzwingt, um die unbefugte Offenlegung von Datenbankmetadaten in LLM-basierten Text-to-SQL-Systemen zu verhindern, wobei es eine unbefugte Objekt-Leakage von Null erreicht und gleichzeitig den Retrieval-Nutzen aufrechterhält sowie unbefugte SQL-Referenzen signifikant reduziert.
Originalarbeit lizenziert unter CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich einen Bibliothekar vor, der Ihre gesprochenen Fragen sofort in präzise Bibliotheksbefehle übersetzen kann und genau die Bücher findet, die Sie benötigen, aus Millionen von Regalen. Dies ist das Versprechen moderner Künstlicher Intelligenz-Systeme, die natürliche Sprache in Datenbankabfragen umwandeln. Diese Systeme verlassen sich auf eine detaillierte Karte des Inhalts der Bibliothek – eine Liste jeder Tabelle, jeder Spalte und jeder Verbindung zwischen ihnen –, um zu verstehen, was Sie fragen. In einer sicheren Umgebung sollte jedoch nicht jeder Teil dieser Karte für jede Person sichtbar sein. So wie ein Bankangestellter nicht die Tresor-Codes für jedes Konto sehen darf, sollte ein Benutzer nur die Teile der Datenbank sehen können, auf die er Zugriff hat. Die Gefahr besteht darin, dass das System versehentlich die gesamte Karte dem Übersetzer zeigt, noch bevor dieser überhaupt mit der Arbeit beginnt. Wenn der Übersetzer getäuscht oder manipuliert wird, könnte er die Existenz geheimer Tabellen oder sensibler Spalten offenlegen und einem Angreifer so einen Bauplan für einen gezielten Angriff liefern, selbst wenn er nie einen einzigen tatsächlichen Datensatz zu Gesicht bekommt.
Forscher der Guangzhou University und der Xidian University haben einen neuen Weg entwickelt, um dieses Problem zu handhaben, indem sie sicherstellen, dass der Übersetzer nur die Teile der Karte sieht, die der Benutzer auch sehen darf. Ihr Ansatz kehrt die traditionelle Reihenfolge der Operationen um. Anstatt zuerst alle Informationen zu sammeln, die verbotenen Teile herauszufiltern und dann die Künstliche Intelligenz anzuweisen, die Abfrage zu schreiben, prüfen sie zuerst die Berechtigungen des Benutzers. Sie erstellen eine kleine, sichere Version der Datenbankkarte, die nur die Tabellen und Spalten enthält, die der Benutzer berühren darf. Nur diese sichere, begrenzte Karte wird dann dem KI-System gezeigt. Dies verhindert, dass die KI jemals von den verbotenen Abschnitten erfährt, sodass es selbst dann, wenn ein böswilliger Akteur versucht, das System zur Offenlegung von Geheimnissen zu überlisten, keine Geheimnisse im Kontext gibt, die offengelegt werden könnten.
Das Team testete diese Methode an einer Sammlung von 20 verschiedenen Datenbanken, die 240 spezifische Fragen gepaart mit unterschiedlichen Benutzerrollen enthielten. Im Standardansatz, bei dem das System die vollständige Datenbankkarte sieht, bevor es filtert, war die KI bei jeder Verarbeitung einer Anfrage durchschnittlich 35,5 unbefugten Objekten – wie geheimen Tabellen oder verborgenen Spalten – ausgesetzt. Mit der neuen „Authorization-First“-Methode sank diese Zahl auf Null. Das System hielt alle unbefugten Informationen erfolgreich vor der Sicht der KI fern, noch bevor diese überhaupt mit dem Denken begann. Entscheidend war, dass diese Sicherheit nicht zu Lasten der Leistung ging. Das System war genauso gut darin, die richtigen Tabellen und Spalten für die tatsächlichen Fragen des Benutzers zu finden, wie die alte Methode es war. Die Forscher fanden heraus, dass der einzige Grund, warum die alte Methode manchmal nicht die richtige Antwort lieferte, darin bestand, dass sie mit einem viel größeren, überladenen Datensatz arbeiten musste, während die neue Methode mit einem sauberen, relevanten Teilmenge arbeitete.
Eine zentrale Entdeckung ihrer Arbeit war das Verständnis darüber, wo Fehler weiterhin auftreten. Selbst mit der neuen Sicherheit schrieb die KI gelegentlich Abfragen, die Dinge erwähnten, die sie nicht hätte erwähnen dürfen. Die Forscher verfolgten diese Fehler jedoch und fanden heraus, dass sie nicht durch das System verursacht wurden, das Informationen preisgibt. Stattdessen „halluzinierte“ die KI einfach die Namen verbotener Spalten und erfand sie aus dem Nichts. Diese Unterscheidung ist wichtig: Sie beweist, dass das Verbergen der verbotenen Informationen vor der KI die direkte Preisgabe von Geheimnissen stoppt, aber nicht verhindert, dass die KI Namen erfindet. Daher funktioniert die neue Methode am besten in Kombination mit einer abschließenden Prüfung, die die Abfrage validiert, bevor sie ausgeführt wird, was zwei Verteidigungsschichten schafft. Eine Schicht verhindert, dass die KI die Geheimnisse sieht, und die zweite Schicht verhindert, dass die KI versehentlich einen erfundenen Geheimnis verwendet.
Die Studie untersuchte auch, wie das System mit verwirrenden oder abgekürzten Namen umgeht, die oft in realen Geschäftshintergründen vorkommen, etwa wenn „customer risk score“ als „cust_rsk_scr“ geschrieben wird. Wenn die Datenbanknamen klar und beschreibend waren, performte das neue System genauso gut wie das alte. Aber wenn die Namen verkürzt und kryptisch waren, nutzte das System eine spezielle Technik, um der sicheren Karte Beschreibungen in natürlicher Sprache hinzuzufügen. Dies half der KI zu verstehen, was die Kurzformen bedeuteten, und verbesserte ihre Fähigkeit, die richtigen Daten zu finden, um 11,5 Prozent im Vergleich zu einem System ohne diese Beschreibungen. Diese Verbesserung trat nur auf, wenn die Namen schwer zu erraten waren, was zeigt, dass die zusätzliche Hilfe nur nötig ist, wenn die Karte schwer lesbar ist.
Um sicherzustellen, dass das System wirklich sicher war, simulierten die Forscher Angriffe, bei denen ein Benutzer versuchte, die KI dazu zu bringen, alle geheimen Tabellen aufzulisten. Im alten System waren diese Angriffe etwa die Hälfte der Zeit erfolgreich und enthüllten einen signifikanten Teil der verborgenen Datenbankstruktur. Im neuen System scheiterten die Angriffe vollständig. Die KI, die die geheimen Tabellen nie gesehen hatte, konnte diese nicht auflisten. Die einzige Information, die durchsickerten, waren allgemeine Wörter, die zufällig in den allgemeinen Anweisungen des Systems vorkamen, nicht aber die eigentlichen Datenbankgeheimnisse. Dies bestätigte, dass die neue Methode effektiv den Pfad blockiert, den ein Angreifer nutzen würde, um eine Datenbank zu kartieren.
Die Forscher räumen ein, dass ihre Lösung ein kraftvoller Schritt nach vorne ist, aber keine vollständige Heilung für alles. Sie verhindert, dass die KI Geheimnisse sieht, die sie nicht sehen sollte, kann aber nicht verhindern, dass ein Angreifer Geheimnisse basierend auf öffentlichem Wissen errät oder verbotene Daten aus Fehlermeldungen ableitet. Aus diesem Grund ist die neue Methode darauf ausgelegt, neben bestehenden Sicherheitsprüfungen zu arbeiten, statt diese zu ersetzen. Indem sie sicherstellt, dass die KI die verbotenen Teile der Datenbank gar nicht erst sieht, entfernt das System eine große Schwachstelle. Es schafft eine Grenze, an der die KI nur mit dem arbeiten kann, was der Benutzer auch sehen darf, was den gesamten Prozess der Umwandlung von Fragen in Datenbankbefehle für Organisationen, die sensible Informationen schützen müssen, wesentlich sicherer macht.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.