Resumen Técnico: Auditoría de Privacidad en RAG Multi-Tenant bajo Colusión de Cuentas

1. Declaración del Problema

Los servicios de Generación Aumentada por Recuperación (RAG) en producción (por ejemplo, Microsoft 365 Copilot, OpenAI Assistants) suelen operar como sistemas multi-tenant donde una infraestructura compartida sirve a miles de cuentas de clientes. Las garantías de privacidad actuales para estos sistemas se enmarcan a nivel por cuenta: se promete que las consultas de cada cuenta satisfarán la privacidad diferencial (DP) $(\epsilon_{acc}, \delta_{acc})$ con respecto al índice del inquilino.

El artículo identifica una falla crítica en el límite de privacidad: este enfoque por cuenta es insuficiente cuando un adversario controla $k$ cuentas (una coalición) que coordinan consultas al mismo índice de inquilino. Mientras que la teoría estándar de DP sugiere que $k$ consultas independientes podrían degradar la privacidad linealmente ($k \cdot \epsilon_{acc}$) o mantenerse planas, los autores demuestran que, para mecanismos de recuperación con ruido gaussiano, la fuga conjunta se degrada a una tasa de $\Theta(\sqrt{k} \cdot \epsilon_{acc})$.

Esta brecha implica que un servicio que anuncia un presupuesto seguro por cuenta (por ejemplo, $\epsilon_{acc}=1$) podría exponer inadvertidamente una garantía conjunta significativamente más débil (por ejemplo, $\approx 3.2$ para $k=10$) si se forma una coalición. Las defensas existentes modifican el despliegue para reducir la fuga por consulta, pero ninguna proporciona un mecanismo para auditar la fuga conjunta de un despliegue sin modificar sin revelar el índice subyacente ni los pesos del modelo.

2. Metodología

2.1 Modelo de Amenaza

Los autores formalizan un modelo de DP de colusión $(\epsilon, \delta, k)$. El adversario controla $k \ge 1$ cuentas dentro de un solo inquilino (colusión dentro del mismo inquilino) o entre inquilinos (colusión cruzada/externa, dependiendo de un fallo en el control de acceso). El adversario posee:

• Posterior compartido: Una creencia probabilística unificada sobre el índice objetivo.
• Coordinación adaptativa: Las consultas de la cuenta $a_i$ pueden depender de la transcripción completa de todas las demás cuentas hasta el tiempo $t-1$.
• Conciencia de límites de tasa: Las consultas se programan para maximizar el presupuesto agregado mientras se mantienen dentro de los límites individuales por cuenta.
• Canal de salida compartido: Todas las respuestas de recuperación se agrupan antes de que se ejecute el estimador del adversario.

El análisis asume ruido gaussiano fresco independiente por consulta y un incrustador determinista dentro de la ventana de auditoría.

2.2 Análisis Teórico

El artículo especializa la teoría avanzada de composición de DP al entorno RAG:

• Límite Superior: Al reducir $k$ cuentas coordinadas a un único analista adaptativo con un presupuesto de $kn$ consultas, los autores aplican el Teorema de Composición Avanzada. Para la liberación de puntuaciones con ruido gaussiano, prueban que el parámetro de privacidad conjunta $\epsilon_k$ escala como:
  $$\epsilon_k = \Theta\left(\sqrt{k} \cdot \epsilon_{acc}\right)$$
  Esto es estrictamente peor que el presupuesto por cuenta anunciado, pero mejor que el límite de privacidad de grupo lineal ingenuo.
• Límite Inferior: Los autores construyen un ataque específico (una consulta de sondeo contra índices vecinos que difieren en un documento) donde una coalición de $k$ cuentas logra una ventaja de inferencia de membresía (MIA) de $\Omega(\sqrt{k} \cdot \epsilon_{acc})$.
• DP de Rényi (RDP): El análisis se refina utilizando RDP y el contador de momentos para proporcionar límites numéricos más ajustados para informes de auditoría prácticos.

2.3 Protocolo de Auditoría

Para hacer verificable esta brecha, el artículo diseña un protocolo de auditoría de cuatro fases que opera sobre despliegues RAG sin modificar sin requerir la divulgación del índice:

1. Compromiso: El proveedor se compromete con el incrustador, el contenido del índice (mediante compromisos vectoriales), la semilla de ruido y los parámetros de política (incluido un límite de coalición declarado $k_{max}$) utilizando hashes criptográficos y árboles de Merkle.
2. Atestación por Consulta: Para cada consulta, el proveedor genera una prueba de Conocimiento Cero (ZK) que atestigua que:
   • La incrustación se calculó utilizando el incrustador comprometido.
   • El ruido gaussiano se derivó de la semilla comprometida.
   • La selección Top-K se realizó sobre las puntuaciones ruidosas (ruido-antes-de-seleccionar).
   • La recuperación se confinó al índice de inquilino correcto.
3. Estimación del Tamaño de la Coalición: El proveedor presenta una estimación del tamaño de la coalición ($\hat{k}$) basada en la correlación de consultas (agrupando consultas similares en el libro mayor público), acompañada de una prueba ZK.
4. Verificación: Un verificador de terceros verifica las pruebas y la consistencia del libro mayor. Si el tamaño estimado de la coalición está dentro del límite de política ($k_{max}$), el verificador emite un veredicto cuantitativo: (APROBADO, $\epsilon_{audit}$), donde $\epsilon_{audit}$ es el límite de fuga conjunta calculado.

3. Contribuciones Clave

1. Identificación del Modelo de Amenaza: El artículo define la colusión multi-cuenta en el mismo índice como una falla estructural de las garantías de DP por cuenta en RAG, estableciendo la tasa de degradación $\Theta(\sqrt{k})$ para la recuperación con ruido gaussiano.
2. Predicciones Empíricas Falsables: Los autores derivan una predicción específica para el Área Bajo la Curva (AUC) del Ataque de Inferencia de Membresía (MIA): $AUC_k = \frac{1}{2} + \Theta(\sqrt{k} \cdot \epsilon_{acc})$. Se comprometen a dos puertas de falsificación (pendiente y ajuste) para validar la teoría.
3. Protocolo de Auditoría Ejecutable por Verificador: El primer protocolo para auditar la fuga conjunta en despliegues RAG sin modificar. Utiliza una combinación de primitivas criptográficas genéricas (libros mayores de Merkle, pruebas ZK) y primitivas específicas de RAG (compromiso de incrustador, atestación de ruido-antes-de-seleccionar) para emitir un veredicto cuantitativo $(APROBADO, \epsilon_{audit})$ sin exponer el índice ni los pesos del modelo.
4. Seguimiento Numérico de Privacidad: La integración de RDP y el contador de momentos permite una evaluación numérica exacta de la pérdida de privacidad, proporcionando límites más ajustados que las aproximaciones de forma cerrada para tamaños de coalición moderados.

4. Resultados Experimentales

Los autores validaron sus predicciones teóricas utilizando un entorno de pruebas sintético multi-tenant basado en FAISS y un incrustador entrenado (BAAI/bge-small-en-v1.5).

• Validación de Escalado: Los experimentos con tamaños de coalición $k \in \{1, 2, 5, 10, 20\}$ confirmaron el escalado $\sqrt{k}$ predicho. Por ejemplo, con $\epsilon_{acc}=4$, la ventaja empírica de MIA creció de 0.070 ($k=1$) a 0.281 ($k=20$), coincidiendo estrechamente con el factor de crecimiento predicho de $\sqrt{20} \approx 4.5$.
• Post-procesamiento Top-K: Se observó que la tendencia $\sqrt{k}$ persiste incluso cuando la salida se restringe a un indicador binario "Top-K hit", aunque la ventaja absoluta se redujo en un factor constante (aproximadamente un 30% menor que el ataque de puntuación en bruto).
• Comprobaciones de Robustez:
  • Adversarios Alternativos: Variantes que utilizan razones de verosimilitud Bayesiana o división diversificada de múltiples objetivos no superaron la tasa base $\sqrt{k}$; la diversificación en realidad degradó la ventaja.
  • Transferencia de Incrustador: La tasa se mantuvo para un incrustador entrenado de 384 dimensiones, con la ventaja escalando linealmente con la brecha de puntuación realizada ($\Delta$).
  • Externo vs. Mismo Inquilino: Bajo la suposición de fallo en el control de acceso (M4), los atacantes externos lograron tasas de fuga estadísticamente indistinguibles de las coaliciones dentro del mismo inquilino.
• Escala de Producción: Las pruebas en un índice HNSW de $10^6$ documentos confirmaron que, si bien los "Top-K hits" observables por el usuario ofrecen una fuga cercana a cero a escala, las puntuaciones ruidosas agrupadas observables por el auditor (accesibles mediante el protocolo de auditoría) aún exhiben la tendencia de fuga $\sqrt{k}$.

5. Significado y Afirmaciones

El artículo se posiciona como una base técnica en lugar de una especificación desplegada. Su principal significado radica en:

• Exponer Vulnerabilidad Estructural: Argumenta que el abuso de múltiples cuentas (por ejemplo, títeres) no es solo un problema de fraude, sino una falla fundamental en el límite de privacidad que las actuales garantías de DP por cuenta no cubren.
• Habilitar Auditorías de Terceros: El protocolo proporciona un mecanismo para que reguladores y terceros verifiquen las afirmaciones de privacidad (por ejemplo, bajo la Ley de IA de la UE o la DSA) sin requerir que el proveedor divulgue datos o modelos propietarios.
• Operacionalizar $\epsilon_{audit}$: Propone cambiar la unidad de divulgación regulatoria del presupuesto por cuenta ($\epsilon_{acc}$) al límite de auditoría conjunta ($\epsilon_{audit}$), lo que refleja la realidad de los ataques coordinados.

Los autores excluyen explícitamente la privacidad del canal de generación (salida del LLM condicionada a documentos seleccionados) y los ataques de inversión de incrustación, tratándolos como predicados de auditoría separados. Reconocen que la efectividad del protocolo depende de que el proveedor declare un límite de coalición significativo ($k_{max}$) y que el estimador del tamaño de la coalición puede ser evadido por adversarios que diversifiquen deliberadamente sus consultas. El artículo concluye que, aunque la brecha es estructural y requiere cambios arquitectónicos para cerrarse completamente, el protocolo de auditoría propuesto ofrece un paso verificable e inmediato hacia la transparencia en los servicios RAG de producción.