💻 computer science

Hybrid privacy-aware semantic search: SVD-truncated document geometry and CKKS-encrypted query reranking under a restricted threat model

Este artículo propone un marco híbrido de búsqueda semántica consciente de la privacidad que combina la ofuscación geométrica truncada por SVD para vectores de documentos estáticos con el cifrado homomórfico CKKS para el reordenamiento dinámico de consultas, logrando una latencia inferior al segundo y una protección robusta contra ataques de inversión de incrustaciones, manteniendo al mismo tiempo una alta calidad de clasificación bajo un modelo de amenaza definido.

Autores originales: Sergey Kurilenko

Publicado 2026-06-26

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Sergey Kurilenko

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que tienes una biblioteca masiva de documentos secretos y quieres permitir que la gente busque en ellos sin que el bibliotecario (el servidor) vea jamás el texto real ni sepa exactamente qué es lo que estás buscando.

Este artículo propone un ingenioso truco de dos partes para resolver este problema, pero es muy honesto sobre dónde funciona el truco y dónde podría fallar. Piensa en esto como un sistema de seguridad "híbrido" que mezcla la geometría (formas y ángulos) con la matemática mágica (criptografía).

Aquí está el desglose en términos sencillos:

1. El Problema: La Biblioteca "con Fugas"

Los motores de búsqueda modernos convierten el texto en "embeddings": piensa en ellos como huellas dactilares únicas o sombras proyectadas por el texto.

El Riesgo: Los investigadores han descubierto que, si alguien roba estas huellas dactilares, a menudo puede reconstruir el texto secreto original con una precisión aterradora. Es como robar una sombra y ser capaz de reconstruir el objeto 3D que la proyectó.
Las Soluciones Antiguas:
- Opción A (Cifrado Total): Poner cada documento en una caja fuerte inquebrantable. Problema: Es tan lento que buscar en un millón de documentos tomaría horas.
- Opción B (Añadir Ruido): Desenfocar las huellas dactilares con estática. Problema: El desenfoque es tan pesado que el motor de búsqueda ya no puede encontrar las respuestas correctas.

2. La Nueva Solución: Un Baile de Dos Pasos

Los autores proponen un punto medio que trata los documentos (la biblioteca) y las consultas de búsqueda (la petición del usuario) de manera diferente.

Paso A: Protegiendo los Documentos (El Truco "Geométrico")

Los documentos se almacenan en el servidor, pero son alterados antes de llegar allí.

Compresión (Truncamiento SVD): Imagina una foto de alta resolución. El sistema desecha los "detalles finos" (el ruido) y conserva solo las formas principales. Esto reduce el tamaño del archivo y, crucialmente, elimina parte de la información necesaria para reconstruir el texto original.
- El Problema: Esto no es magia; es solo compresión de datos. Si desechas demasiados elementos, la búsqueda empeora. Si desechas muy pocos, el texto sigue siendo recuperable.
El Giro Secreto (Rotación): Después de comprimir los datos, el sistema hace girar toda la biblioteca sobre un eje secreto. Imagina tomar un mapa de una ciudad y rotarlo 90 grados para que el "Norte" ahora sea el "Este".
- El Truco: El servidor ve el mapa rotado, pero no conoce el ángulo de la rotación. Para un extraño, el mapa parece un galimatías.
- El Límite: Si un atacante conoce el texto original de incluso unos pocos documentos (un ataque de "texto plano conocido"), puede deducir matemáticamente el ángulo de giro secreto y deshacer la rotación. Esto no es criptografía inquebrantable; es un rompecabezas que se vuelve más fácil si tienes algunas pistas.

Paso B: Protegiendo la Consulta de Búsqueda (El Truco "Mágico")

Cuando un usuario realiza una búsqueda, no envía la pregunta en texto plano.

Utiliza Cifrado CKKS, un tipo de "matemática mágica" que permite al servidor realizar cálculos sobre la pregunta sin ver jamás la pregunta en sí misma.
El servidor compara la pregunta cifrada con los documentos rotados y devuelve una lista de puntuaciones, todo ello mientras permanece "ciego" a lo que el usuario preguntó o a lo que las puntuaciones realmente significan.
Resultado: El servidor sigue las reglas pero no aprende nada sobre la consulta específica. Esta parte es matemáticamente segura.

3. Los Resultados: Qué Funciona y Qué No

Los autores probaron esto en una biblioteca de un millón de documentos.

Velocidad: ¡Es rápido! Todo el proceso toma menos de un segundo.
Precisión: Para la mayoría de los modelos de búsqueda modernos, desechar la mitad de los datos (el paso de compresión) de hecho mejoró los resultados de la búsqueda. Actuó como un "reductor de ruido", filtrando los detalles desordenados y dejando la señal clara.
Realidad de la Seguridad:
- La Consulta: El servidor no puede ver qué buscaste. (Seguro).
- Los Documentos: El servidor puede ver los datos comprimidos y rotados. Si un atacante tiene algunos ejemplos de "Texto Original vs. Huella Dactilar Rotada", puede realizar ingeniería inversa al giro secreto y leer el resto de la biblioteca.
- Las Pistas "Públicas": El sistema utiliza un "índice" público (como un catálogo de fichas) para acelerar las cosas. El artículo admite que este índice filtra cierta información sobre qué documentos son similares entre sí.

4. La Conclusión

Este artículo no pretende haber construido una fortaleza inexpugnable. En su lugar, ofrece un intercambio práctico:

Para el Usuario: Obtienes una búsqueda rápida y privada donde el servidor no puede leer tu mente.
Para los Documentos: Obtienes una capa de protección que hace que sea muy difícil para un atacante casual leer tus secretos, pero no es segura contra un atacante decidido que posea algunos "códigos de trampa" (ejemplos conocidos de tus datos).

El mensaje principal de los autores es: "Hemos encontrado un punto óptimo donde la búsqueda es rápida y precisa, y la consulta es criptográficamente segura. Sin embargo, la protección de los documentos depende de un 'giro secreto' que es un truco de ofuscación, no un escudo mágico. Si tienes algunos ejemplos filtrados de tus datos, ese truco falla".

Son muy claros: La privacidad de la consulta es criptográfica (inquebrantable), pero la privacidad del documento es empírica (funciona hasta que alguien descubre el patrón).

Planteamiento del problema

La búsqueda semántica moderna y la Generación Aumentada por Recuperación (RAG) dependen de incrustaciones (embeddings) de vectores densos. Sin embargo, investigaciones recientes demuestan que estos vectores pueden invertirse para recuperar su texto original con alta fidelidad (por ejemplo, Vec2Text logrando un BLEU de ~97%). Esto crea una vulnerabilidad crítica: si una base de datos de vectores se filtra, los documentos subyacentes quedan efectivamente comprometidos.

Las defensas existentes se sitúan en dos extremos, ambos inadecuados para el despliegue a escala industrial:

Cifrado Totalmente Homomórfico (FHE): Criptográficamente sólido, pero computacionalmente prohibitivo para buscar millones de documentos.
Privacidad Diferencial (DP): Añadir ruido degrada significativamente la calidad del ranking antes de proporcionar una protección de privacidad significativa.

El artículo aborda la necesidad de un camino intermedio que equilibre la privacidad, la precisión de la recuperación y la latencia a la escala de $10^6$ documentos.

Metodología

Los autores proponen una arquitectura híbrida asimétrica que trata de forma distinta la colección estática de documentos y la consulta dinámica del usuario. El sistema opera bajo un modelo de amenaza restringido: un cliente confiable, un servidor honesto pero curioso, y un atacante no adaptativo (que utiliza herramientas de inversión convencionales sin conocimiento previo de la rotación secreta).

1. Protección de documentos (Lado estático)

Los vectores de los documentos se protegen mediante una transformación geométrica en lugar de un cifrado:

Truncamiento SVD: El corpus centrado de documentos se proyecta sobre un subespacio de menor dimensión ( $k = d/2$ ) utilizando la Descomposición en Valores Singulares (SVD). Este truncamiento se elige para asegurar un error de reconstrucción relativo ( $\sigma_{rec}$ ) de al menos 0.10, que sirve como proxy de la pérdida de información.
Rotación Secreta: Los vectores truncados se multiplican por una matriz ortogonal aleatoria de tipo Haar-uniforme $R$ . Esta rotación oculta la orientación de la base de los atacantes que no poseen $R$ .
Cuantización de Producto (PQ) Pública: Se entrena un índice PQ (libro de códigos + códigos) en el espacio rotado para permitir que el cliente realice un filtrado local de candidatos (Etapa 1) sin enviar consultas al servidor. Los autores señalan explícitamente que este artefacto de PQ es una "vista comprimida con pérdida" que filtra la estructura de vecindad y es tratado como un canal expuesto.

2. Protección de la consulta (Lado dinámico)

La consulta se protege criptográficamente:

Cifrado CKKS: El cliente cifra el vector de la consulta rotada utilizando el esquema de cifrado homomórfico CKKS.
Reranking de tipo Ciphertext-Plaintext (ct-pt): El servidor realiza el reordenamiento (reranking) de los candidatos preseleccionados (por ejemplo, los 40 mejores) mediante el cálculo del producto escalar entre la consulta cifrada y los vectores de documentos rotados en texto plano.
Optimación: Al evitar la multiplicación de texto cifrado-texto cifrado (ct-ct), el sistema elimina la necesidad de las costosas etapas de relinearización. Esto permite al servidor calcular puntuaciones de similitud con una latencia inferior al segundo.

3. Selección de parámetros

En lugar de un ajuste manual, los autores emplean un micro-benchmark offline reproducible sobre una cuadrícula discreta de parámetros CKKS (grado del módulo polinómico, cadena de módulo de coeficiente, escala) para seleccionar la configuración que minimice la latencia mientras satisface las tablas de seguridad (tc128) y las tolerancias de precisión.

Contribuciones clave

Teóricas:

Lema 1: El artículo demuestra un límite inferior ajustado para el error de reconstrucción $L_2$ para cualquier decodificador cuya imagen esté restringida al subespacio truncado. Esto cuantifica formalmente la información perdida debido a la proyección, aunque los autores aclaran que es un límite de proyección, no un teorema general de seguridad de inversión.
Hipótesis empírica 1: Formalizan la relación entre el proxy de error de reconstrucción ( $\sigma_{rec}$ ) y la puntuación BLEU de los ataques de inversión convencionales, validándolo numéricamente.

Empíricas y de Ingeniería:

Evaluación de escala: Experimentos realizados en un corpus de 1 millón de documentos (Wikipedia en ruso) utilizando cinco codificadores de texto contemporáneos (incluyendo multilingual-E5 y BGE-M3).
Latencia: El sistema logra una latencia de consulta de extremo a extremo cómodamente por debajo de 1 segundo (p95 $\approx$ 370 ms) para $10^6$ documentos.
Optimización CKKS: La configuración seleccionada ( $N_{poly}=8192$ , cadena de módulo específica) produce una aceleración de 1.7 $\times$ respecto a las configuraciones estándar de TenSEAL manteniendo el mismo límite de seguridad.
Efecto de eliminación de ruido: Para los codificadores entrenados para recuperación con dimensiones $d \ge 768$ , el truncamiento SVD actúa como un denoiser lineal, mejorando ligeramente las métricas de ranking (Acc@1, NDCG) en comparación con la línea base sin ruido, al filtrar el ruido en las direcciones singulares finales.

Resultados y análisis de seguridad

El artículo pone a prueba rigurosamente el sistema contra el modelo de amenaza previsto y contra adversarios más fuertes:

Contra atacantes no adaptativos: Bajo el modelo restringido (conocimiento desconocido de $R$ , Vec2Text convencional), la rotación secreta reduce las puntuaciones BLEU al nivel de ruido ( $\approx 0.007$ ), previniendo eficazmente la recuperación de texto.
Contra atacantes de texto plano conocido (Known-Plaintext Attackers): Si un atacante posee aproximadamente $k$ (la dimensión retenida) pares de (texto original, vector rotado), puede recuperar la rotación secreta $R$ utilizando la Procrustes Ortogonal. Una vez que $R$ es conocido, la protección se reduce únicamente al truncamiento SVD.
Fuga de corpus de referencia: Si la colección protegida se solapa con un corpus de referencia público o filtrado, el atacante puede utilizar la rotación recuperada para realizar búsquedas exactas de párrafos.
Fuga de artefactos de PQ: Los códigos PQ públicos preservan aproximadamente el 95% de la similitud de coseno con los vectores rotados y retienen la mayoría de los 10 vecinos principales, confirmando que el artefacto de PQ es un canal expuesto que filtra información estructural.
Dependencia del codificador: El beneficio de "eliminación de ruido" es específico para los codificadores entrenados para recuperación. Los modelos compactos (ej. e5-small) o los modelos destilados para paráfrasis sufren degradación de precisión con el truncamiento $k=d/2$ .

Significado y afirmaciones

El artículo se posiciona como un estudio científico más que como un producto desplegable o un informe de ingeniería de sistemas. Su importancia radica en:

Definición de límites: Delimita explícitamente el modelo de amenaza. Afirma que la confidencialidad de la consulta es criptográfica (vía CKKS), pero la protección del documento es una ofuscación empírica (vía SVD + Rotación Secreta). No afirma que la capa de documentos sea criptográficamente segura contra adversarios adaptativos o de texto plano conocido.
Cuantificación de compensaciones (trade-offs): Proporciona un punto de operación medido donde se equilibran la privacidad, la precisión y la latencia. Demuestra que, para tipos específicos de codificadores, la truncación que preserva la privacidad puede, de manera coincidente, mejorar la calidad de la recuperación.
Reproducibilidad: Ofrece un método determinista para la selección de parámetros criptográficos y libera todos los scripts y configuraciones.

Limitaciones reconocidas por los autores:

La privacidad del documento no es criptográfica; falla ante ataques de texto plano conocido o adaptativos.
Los patrones de acceso (qué documentos se reordenan) y los códigos PQ están expuestos.
El sistema depende de una clase específica de codificadores (entrenados para recuperación, $d \ge 768$ ) para mantener la precisión.
La principal cuestión abierta sigue siendo la robustez frente a un decodificador aprendido de extremo a extremo entrenado específicamente en el espacio rotado, el cual no fue evaluado completamente en este estudio.

En conclusión, el artículo presenta un enfoque híbrido práctico y de alto rendimiento para la búsqueda semántica que traslada la carga de la privacidad hacia el lado de la consulta (criptográfica) y hacia el lado del documento (ofuscación geométrica), cuantificando de forma transparente los modos de fallo de la capa de ofuscación geométrica.