💻 computer science

Don't Show What They Can't See: Authorization-First Schema Context for Secure Text-to-SQL

Este artículo propone un marco de trabajo basado en la autorización previa que aplica un control de acceso detallado durante la recuperación del esquema para evitar la exposición de metadatos de la base de datos no autorizada en sistemas de texto a SQL basados en LLM, logrando cero filtraciones de objetos no autorizados mientras mantiene la utilidad de la recuperación y reduce significamente las referencias SQL no autorizadas.

Autores originales: Jianan Jiang, Zhenxin Zhang, Yucheng Long, Zhihao Li, Yaqi Wu, Yu Wang

Publicado 2026-09-28

📖 6 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Jianan Jiang, Zhenxin Zhang, Yucheng Long, Zhihao Li, Yaqi Wu, Yu Wang

Artículo original bajo licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagine a un bibliotecario que puede traducir instantáneamente sus preguntas habladas en comandos de biblioteca precisos, encontrando exactamente los libros que necesita entre millones de estantes. Esta es la promesa de los sistemas modernos de inteligencia artificial que convierten el lenguaje natural en consultas de bases de datos. Estos sistemas dependen de un mapa detallado del contenido de la biblioteca —una lista de cada tabla, columna y conexión entre ellas— para comprender lo que usted está preguntando. En un entorno seguro, sin embargo, no toda la parte de ese mapa debe ser visible para todas las personas. Así como un cajero de un banco no puede ver los códigos de la bóveda de todas las cuentas, un usuario solo debería ver las partes de la base de datos a las que tiene permitido acceder. El peligro surge cuando el sistema accidentalmente muestra todo el mapa al traductor incluso antes de que comience a trabajar. Si el traductor es engañado o manipulado, podría revelar la existencia de tablas secretas o columnas sensibles, proporcionando a un atacante un plano para un ataque dirigido, incluso si nunca llega a ver un solo registro real.

Investigadores de la Universidad de Guangzhou y la Universidad de Xidian han desarrollado una nueva forma de manejar este problema, asegurando que el traductor solo vea las partes del mapa que el usuario tiene permitido ver. Su enfoque invierte el orden tradicional de las operaciones. En lugar de reunir toda la información, filtrar las partes prohibidas y luego pedirle a la inteligencia artificial que escriba la consulta, primero verifican los permisos del usuario. Construyen una versión pequeña y segura del mapa de la base de datos que contiene solo las tablas y columnas que el usuario está autorizado a tocar. Solo este mapa seguro y limitado se le muestra al sistema de IA. Esto evita que la IA llegue a conocer las secciones prohibidas, de modo que incluso si un actor malintencionado intenta engañar al sistema para que revele secretos, no hay secretos en el contexto para revelar.

El equipo probó este método en una colección de 20 bases de datos diferentes que contenían 240 preguntas específicas emparejadas con diferentes roles de usuario. En el enfoque estándar, donde el sistema ve el mapa completo de la base de datos antes de filtrar, la IA estaba expuesta a un promedio de 35.5 objetos no autorizados —como tablas secretas o columnas ocultas— cada vez que procesaba una solicitud. Con el nuevo método de "autorización primero", ese número cayó a cero. El sistema mantuvo con éxito toda la información no autorizada fuera de la vista de la IA incluso antes de que comenzara a pensar. Crucialmente, esta seguridad no tuvo un costo en el rendimiento. El sistema fue tan bueno como el método anterior para encontrar las tablas y columnas correctas para las preguntas reales del usuario. Los investigadores descubrieron que la única razón por la que el método antiguo a veces fallaba al producir la respuesta correcta era que tenía que trabajar con un conjunto de información mucho más grande y desordenado, mientras que el nuevo método trabajaba con un subconjunto limpio y relevante.

Un descubrimiento clave en su trabajo fue comprender dónde siguen ocurriendo los errores. Incluso con el nuevo sistema de seguridad, la IA ocasionalmente escribía consultas que mencionaban cosas que no debería haber mencionado. Sin embargo, los investigadores rastrearon estos errores y encontraron que no eran causados por la filtración de información del sistema. En cambio, la IA simplemente estaba adivinando o "alucinando" los nombres de las columnas prohibidas, inventándolos de la nada. Esta distinción es vital: demuestra que ocultar la información prohibida de la IA detiene la filtración directa de secretos, pero no detiene a la IA de inventar nombres. Por lo tanto, el nuevo método funciona mejor cuando se combina con una verificación final que valida la consulta antes de que se ejecute, creando dos capas de defensa. Una capa impide que la IA vea los secretos, y la segunda capa impide que la IA use accidentalmente un secreto inventado.

El estudio también analizó cómo el sistema maneja los nombres confusos o abreviados que se encuentran a menudo en las bases de datos empresariales del mundo real, donde "customer risk score" (puntuación de riesgo del cliente) podría escribirse como "cust_rsk_scr". Cuando los nombres eran claros y descriptivos, el nuevo sistema funcionó tan bien como el anterior. Pero cuando los nombres eran cortos y crípticos, el sistema utilizó una técnica especial para añadir descripciones en lenguaje sencillo al mapa seguro. Esto ayudó a la IA a comprender qué significaban los códigos cortos, mejorando su capacidad para encontrar los datos correctos en un 11.5 por ciento en comparación con un sistema sin esas descripciones. Esta mejora solo ocurrió cuando los nombres eran difíciles de adivinar, lo que demuestra que la ayuda adicional solo es necesaria cuando el mapa es difícil de leer.

Para asegurar que el sistema fuera verdaderamente seguro, los investigadores simularon ataques donde un usuario intentaba engañar a la IA para que enumerara todas las tablas secretas. En el sistema antiguo, estos ataques tenían éxito aproximadamente la mitad de las veces, revelando una parte significativa de la estructura oculta de la base de datos. En el nuevo sistema, los ataques fallaron por completo. La IA, al no haber visto nunca las tablas secretas, no pudo enumerarlas. La única información que se filtró fueron palabras comunes que casualmente aparecían en las instrucciones generales del sistema, no los secretos reales de la base de datos. Esto confirmó que el nuevo método bloquea eficazmente la vía que un atacante usaría para mapear una base de datos.

Los investigadores reconocen que su solución es un paso poderoso hacia adelante, pero no es una cura completa para todo. Evita que la IA vea secretos que no debería, pero no puede evitar que un atacante adivine secretos basados en conocimiento público o que infiera datos ocultos a partir de mensajes de error. Por esta razón, el nuevo método está diseñado para trabajar junto con las verificaciones de seguridad existentes, no para reemplazarlas. Al asegurar que la IA nunca vea las partes prohibidas de la base de datos en primer lugar, el sistema elimina una vulnerabilidad importante. Crea un límite donde la IA solo puede trabajar con lo que el usuario tiene permitido ver, haciendo que todo el proceso de convertir preguntas en comandos de base de datos sea mucho más seguro para las organizaciones que necesitan proteger información sensible.

Resumen Técnico: No muestre lo que no pueden ver: Contexto de esquema basado en la autorización para un Text-to-SQL seguro

1. Declaración del problema

Los agentes de Text-to-SQL basados en Modelos de Lenguaje de Gran Escala (LLM) dependen de esquemas de bases de datos (tablas, columnas y relaciones de unión) para comprender la intención del usuario y generar consultas. En entornos empresariales con control de acceso detallado, los metadatos del esquema en sí mismos pueden ser sensibles. Por ejemplo, nombres de tablas como employee_compensation o nombres de columnas como fraud_score revelan procesos de negocio internos y activos de datos incluso sin exponer los registros de datos reales.

Los sistemas actuales de Text-to-SQL suelen proporcionar el esquema completo o recuperan objetos relevantes del espacio de esquema completo antes de añadirlos al contexto del modelo. Este diseño asume que los metadatos del esquema son universalmente visibles, lo cual es inseguro en entornos multi-inquilino o de acceso restringido. El problema central abordado es la exposición de esquema a nivel de proceso:

La Amenaza: Si un esquema completo o parcialmente recuperado entra en un componente de menor confianza (por ejemplo, un servicio de LLM externo, un módulo de reordenamiento o un componente vulnerable a la inyección de prompts), se revelan identificadores y relaciones estructurales no autorizados.
La Limitación de las Defensas Existentes: La validación de SQL post-generación y los controles de acceso del Sistema de Gestión de Bases de Datos (DBMS) pueden bloquear la ejecución de consultas no autorizadas, pero no pueden revocar la información del esquema que el modelo ya ha observado. Una vez que un objeto no autorizado entra en el contexto, puede ser explotado mediante inyección de prompts, juegos de rol o sondeo de múltiples turnos para reconstruir estructuras de esquema sensibles.
La Brecha: Existe una falta de mecanismos que apliquen la autorización antes de la recuperación de relevancia, asegurando que los objetos no autorizados nunca entren en el flujo de trabajo de menor confianza.

2. Metodología: Marco de trabajo basado en la Autorización Primero

Los autores proponen un marco de trabajo de Autorización Primero que construye un contexto de esquema compacto y seguro mediante la aplicación del control de acceso antes de que ocurra cualquier computación de relevancia. El sistema opera bajo un modelo de amenaza donde los componentes de recuperación, reordenamiento y generación se encuentran fuera del límite de confianza.

2.1 Principios Fundamentales

Confidencialidad Pre-Generación: La autorización se trata como un prerrequisito para que un objeto de esquema participe en la recuperación. El sistema construye un subespacio autorizado específico para el usuario ( $S_u$ ) antes de cualquier puntuación de relevancia dependiente de la consulta.
Herencia Consciente de la Procedencia: La seguridad se extiende más allá de los objetos base (tablas, columnas) a los artefactos derivados (descripciones semánticas, pistas de unión, demostraciones de SQL). Un artefacto es visible solo si todos los objetos base de los que depende están autorizados. Por ejemplo, una descripción de una columna autorizada no puede mencionar una tabla no autorizada.
Abstención No Reveladora: Si una solicitud no puede satisfacerse dentro del subespacio autorizado, el sistema rechaza la solicitud con un mensaje genérico ("La solicitud no puede completarse dentro del alcance de acceso actual") que es idéntico en bytes independientemente de la causa. Esto evita que el comportamiento de rechazo actúe como un oráculo de sondeo de esquemas.

2.2 Pipeline del Sistema

El marco consta de una gobernanza offline y una inferencia online:

Gobernanza Offline: El esquema se atomiza y se generan las descripciones semánticas. Crucialmente, las descripciones se generan a partir del propio objeto y su propia tabla únicamente, nunca desde el esquema global, para evitar la filtración de identificadores ocultos. Se adjuntan etiquetas de procedencia a todos los artefactos.
Inferencia Online:
- Construcción del Subespacio Autorizado: Antes de procesar la pregunta del usuario, el sistema filtra el esquema para crear $S_u = \text{Authorize}(S, P(u))$ , donde $P(u)$ es la política del usuario.
- Recuperación Restringida: La recuperación de tablas, la selección de columnas y la selección de relaciones ocurren exclusivamente dentro de $S_u$ . Los objetos no autorizados están ausentes del espacio de candidatos, no solo con una puntuación baja.
- Enriquecimiento Semántico Seguro en Permisos: Para manejar identificadores empresariales abreviados (por ejemplo, cust_rsk_scr), el sistema utiliza descripciones semánticas como un recurso de respaldo para la recuperación. Estas descripciones se fusionan con la coincidencia de identificadores pero adhieren estrictamente a las reglas de procedencia.
- Puerta de Satisfacibilidad: El sistema verifica si $S_u$ (no solo el top-K recuperado) cubre las entidades y operaciones requeridas. Si la cobertura es insuficiente, se emite un rechazo genérico.
- Ensamblaje de Contexto: El contexto final se ensambla a partir de tablas, columnas, relaciones y artefactos derivados autorizados.

3. Contribuciones Clave

Marco de Confidencialidad de Esquema Pre-Generación: Los autores aíslan la confidencialidad del esquema pre-generación como un objetivo distinto de la autorización de SQL post-generación. Definen un modelo de amenaza para el procesamiento de esquemas entre fronteras e introducen una métrica de exposición a nivel de proceso. El mecanismo propuesto asegura que los objetos no autorizados y sus artefactos derivados sean eliminados antes de cualquier computación de recuperación de relevancia.
Evidencia Empírica de Orden y Defensa en Profundidad: A través de experimentos controlados donde los prompts finales son idénticos en bytes entre el método propuesto y una línea base de "recuperar-luego-enmascarar", los autores demuestran que la eliminación de la filtración a nivel de proceso es atribuible únicamente al orden de la autorización (pre-recuperación vs. post-recuperación). Además, el análisis de procedencia de filtración demuestra que la minimización del contexto y la validación post-generación mitigan riesgos ortogonales: los contextos de esquema completo filtran mediante inyección directa, mientras que las filtraciones residuales bajo el marco propuesto se originan únicamente por la alucinación del modelo.
Resultados Condicionales sobre el Enriquecimiento Semántico: El artículo establece que la opacidad de los identificadores es una condición previa para el beneficio del enriquecimiento semántico. Mientras que el enriquecimiento no aporta ninguna ganancia medible en conjuntos de datos estándar con identificadores de lenguaje natural, mejora significativamente la recuperación de esquemas y la precisión de la ejecución en esquemas de estilo empresarial sistemáticamente abreviados.

la 4. Resultados Experimentales

El marco fue evaluado en un benchmark Spider aumentado con control de acceso que contiene 240 pares pregunta-rol en 20 bases de datos y cuatro niveles de permisos.

Exposición a Nivel de Proceso: El marco redujo la exposición de esquema a nivel de proceso de un promedio de 35.5 objetos no autorizados por solicitud (en las líneas base de esquema completo) a 0. Esto se logró con un costo de utilidad de cero en comparación con una línea base de "recuperar-luego-enmascarar" con presupuesto igualado.
Filtración de SQL: Las referencias de SQL no autorizadas se redujeron de 0.546 (Esquema completo) a 0.115.
- La reducción de 0.546 a ~0.15 fue impulsada por la minimización del contexto (tamaño de contexto más pequeño).
- La reducción adicional a 0.115 fue impulsada por la puerta de satisfacibilidad.
Procedencia de la Filtración: El análisis mostró que, bajo el marco propuesto, el 100% de las referencias de SQL no autorizadas que ocurrieron se originaron por alucinación del modelo (adivinar identificadores) en lugar de por el contexto suministrado. En contraste, bajo las líneas base de esquema completo, el 100% de las filtraciones fueron copiadas directamente del contexto.
Resistencia a la Inyección de Prompts: En un estudio de caso que involucró ataques de enumeración directa y juegos de rol, el marco redujo la recuperación de tablas no autorizadas del 40–55% (Esquema completo) al 0.00% en configuraciones de esquema ofuscado.
Impacto del Enriquecimiento Semántico: En esquemas ofuscados, el enriquecimiento semántico mejoró la recuperación de la búsqueda en +11.5 puntos porcentuales y el SchemaF1 en +6.6 puntos porcentuales. En esquemas de lenguaje natural, no mostró una ganancia medible.

5. Significado y Reclamaciones

El artículo afirma que la autorización debe preceder a la recuperación para lograr la confidencialidad a nivel de proceso en los sistemas Text-to-SQL. Los autores argumentan que las defensas post-generación son insuficientes porque no pueden revocar la información que ya ha sido observada por componentes de menor confianza.

La importancia del trabajo radica en:

Cambio Arquitectónico: Mover el límite de seguridad de la capa de ejecución de SQL a la capa de construcción del contexto del esquema.
Defensa en Profundidad: Demostrar que la minimización del contexto (evitar que el modelo vea datos sensibles) y la validación de SQL (evitar que el modelo ejecute consultas no autorizadas) abordan riesgos ortogonales y deben usarse juntos.
Costo de Utilidad Cero: Probar que la autorización estricta pre-recuperación no degrada la utilidad de la recuperación ni la precisión de la generación cuando se compara con una línea base que recupera la misma cantidad de datos autorizados pero lo hace después de ver el esquema completo.

Los autores mantienen la modestia respecto a las limitaciones, señalando que el marco no previene la inferencia a partir del conocimiento público, mensajes de error de la base de datos o la divulgación estadística. También reconocen que la puerta de satisfacibilidad es una heurística y que la evaluación depende de políticas sintéticas en lugar de entornos empresariales dinámicos. El marco se presenta como una capa de minimización de información que complementa, en lugar de reemplazar, los controles de acceso de DBMS y la validación de SQL existentes.