Resumen Técnico: VectorSmuggle y VectorPin

Declaración del Problema

Los sistemas modernos de Generación Aumentada por Recuperación (RAG) dependen de bases de datos vectoriales para almacenar incrustaciones de alta dimensión de contenido sensible. Aunque estos sistemas aseguran el acceso mediante autenticación, cifrado de transporte (TLS) y cifrado en reposo, tratan la carga útil de la incrustación en sí como un artefacto numérico opaco. Los principales productos de almacenamiento vectorial (por ejemplo, Qdrant, Pinecone, FAISS, Chroma) carecen de controles nativos para:

1. Inspeccionar la distribución estadística de los vectores durante la ingestión.
2. Verificar la procedencia de las incrustaciones almacenadas al recuperarlas.
3. Mantener registros de auditoría a prueba de manipulaciones para modificaciones posteriores a la ingestión.

Esta brecha crea una vulnerabilidad donde un atacante con acceso de escritura a la tubería de ingestión (Modelo de Amenaza A: Interno con acceso a copias de seguridad) puede realizar exfiltración esteganográfica. El atacante oculta datos de la carga útil dentro de las incrustaciones utilizando perturbaciones que preservan el comportamiento de recuperación a nivel superficial (similitud coseno) mientras evaden las herramientas estándar de Prevención de Pérdida de Datos (DLP), que escanean documentos y tráfico pero no el contenido vectorial de punto flotante.

Metodología

El artículo evalúa seis familias de técnicas esteganográficas en múltiples modelos de incrustación (OpenAI text-embedding-3-large, Nomic, EmbeddingGemma, Snowflake Arctic, MXBai) y corpus (PII sintético, BEIR NFCorpus, subconjunto de Quora).

Técnicas de Ataque

1. Ataques de Perturbación: Modificar un único vector de incrustación $v$ a $v'$ mediante:
   • Inyección de Ruido: Añadir ruido gaussiano ($v' = v + n$).
   • Rotación: Aplicar una matriz ortogonal ($v' = Rv$).
   • Escala: Multiplicar por un escalar ($v' = s \cdot v$).
   • Desplazamiento: Añadir un vector constante ($v' = v + o$).
   • Combinado: Aplicación secuencial de lo anterior.
2. Contrabando Arquitectónico: Fragmentación cruzada de modelos, donde el contenido fuente se divide entre diferentes modelos de incrustación y se almacena en colecciones separadas, evitando por completo la modificación in situ.

Métricas de Evaluación

El estudio mide:

• Fidelidad: Similitud coseno entre vectores originales y ofuscados; preservación de matrices de similitud por pares.
• Detectabilidad: ROC-AUC y Tasa de Verdaderos Positivos (TPR) en Tasas de Falsos Positivos (FPR) fijas utilizando detectores de anomalías comerciales (Bosque de Aislamiento, SVM de una sola clase) entrenados con datos limpios.
• Resiliencia: Supervivencia de las perturbaciones a través de la cuantización del almacén vectorial (por ejemplo, int8 escalar de Qdrant, Cuantización de Producto de FAISS).
• Utilidad de Recuperación: Impacto en la recuperación y la Reciprocidad Media de Rango (MRR) utilizando consultas parafraseadas.
• Capacidad: Capacidad teórica y empírica de carga útil de bits por vector.

Propuesta Defensiva: VectorPin

Los autores proponen VectorPin, un protocolo criptográfico de procedencia. Firma una representación de bytes canónica del vector de incrustación, el hash del contenido fuente y el identificador del modelo productor utilizando Ed25519. La verificación comprueba la firma y los compromisos de hash para detectar cualquier modificación posterior a la ingestión.

Resultados Clave

1. Vulnerabilidad de las Implementaciones Actuales

Todas las técnicas esteganográficas probadas eludieron con éxito los controles de seguridad predeterminados de los principales almacenes vectoriales. Los ataques preservaron la similitud coseno y sobrevivieron a la cuantización estándar (int8 escalar) en Qdrant y FAISS-HNSW.

2. Limitaciones de la Detección Estadística

• Técnicas de Desplazamiento de Distribución: El ruido, la escala y el desplazamiento son detectables. Los detectores comerciales (Bosque de Aislamiento, SVM de una sola clase) alcanzaron un ROC-AUC $\ge 0.85$ para puntos de operación que desplazaron significativamente la dirección de la incrustación. Sin embargo, estos detectores son frágiles frente a atacantes adaptativos; un atacante de caja blanca que utilice descenso de gradiente proyectado podría reducir el AUC del detector a casi cero mientras preserva la similitud coseno.
• Rotación Ortogonal: Esta técnica es la excepción crítica. Las rotaciones ortogonales de pocos ángulos pequeños preservan los productos internos por pares y las distribuciones marginales por dimensión.
  • En todos los pares (modelo, corpus) probados, la rotación en los valores predeterminados de la biblioteca resultó en AUCs de detector cercanos al azar ($\approx 0.50$).
  • Esta indetectabilidad se mantiene incluso con atacantes adaptativos y a través de diferentes arquitecturas de incrustación (Nomic, Gemma, etc.) y corpus a gran escala (más de 16k fragmentos).
  • Compensación Capacidad-Detectabilidad: Aunque la rotación tiene un límite de capacidad de forma cerrada de $\lfloor d/2 \rfloor \cdot b$ bits (aprox. 1.9 KB/vector para $d=3072$), las rotaciones de alta capacidad (ángulos grandes) se vuelven detectables en corpus del mundo real porque empujan los vectores fuera de la geometría de la variedad local aprendida por el detector. Sin embargo, el punto de operación "que preserva la recuperación" (ángulos pequeños) permanece indetectable.

3. Cuantización y Resiliencia del Backend

• Cuantización Escalar (Qdrant int8): No destruye las cargas útiles ocultas; preserva el canal de bits literalmente porque la API de recuperación devuelve la original float32 no cuantizada.
• Cuantización de Producto (FAISS IVF-PQ): Impone un "suelo de ruido" que estrecha el canal del atacante (reduciendo la carga útil recuperable en un 12–24%), pero esto es un efecto secundario de la optimización de memoria, no un control de integridad intencional.

4. Efectividad de VectorPin

VectorPin proporciona integridad estructural. Dado que el protocolo se compromete con la representación exacta de bytes del vector (vec_hash), cualquier modificación posterior a la incrustación (incluidas todas las técnicas de perturbación y fragmentación) rompe la verificación de la firma. El protocolo distingue entre falsificación de firma, manipulación de vectores, discrepancia de fuente y sustitución de modelo.

Significado y Afirmaciones

El artículo se posiciona no como un descubrimiento de primitivas criptográficas o esteganográficas novedosas, sino como una caracterización empírica de un modelo de amenaza específico y una defensa constructiva para un sustrato que actualmente carece de una.

• Modelo de Amenaza: El artículo limita explícitamente sus afirmaciones a "Interno con acceso a copias de seguridad" (Modelo de Amenaza A). No afirma una efectividad universal contra atacantes solo de consultas (Modelo de Amenaza C) o aquellos con claves de firma privadas.
• Estrategia de Defensa: Los autores argumentan que la detección estadística es un primer filtro útil, pero no un control de seguridad "de carga" debido a su dependencia de la cobertura del conjunto de entrenamiento y su vulnerabilidad a ataques adaptativos.
• Contribución Central: La contribución principal es VectorPin, un control implementable y estandarizable que cierra la clase de ataque demostrada. Cambia la postura de seguridad de depender de la "detección de anomalías" a la "verificación de procedencia".
• Contexto Industrial: El artículo establece paralelismos con brechas históricas de infraestructura (DNS, HTTP/3, buckets S3), sugiriendo que la integridad del almacén vectorial está actualmente subinversionada porque la amenaza aún no ha provocado una crisis. Los autores buscan proporcionar la defensa antes de que ocurran tales incidentes.

El artículo concluye que la integridad a nivel de incrustación es un control implementable que debe añadirse a la tubería RAG, ya que no es una propiedad nativa de las bases de datos vectoriales actuales.