Résumé technique : VectorSmuggle et VectorPin

Énoncé du problème

Les systèmes modernes de génération augmentée par récupération (RAG) reposent sur des bases de données vectorielles pour stocker des plongements (embeddings) de haute dimension de contenus sensibles. Bien que ces systèmes sécurisent l'accès via l'authentification, le chiffrement en transit (TLS) et le chiffrement au repos, ils traitent la charge utile des plongements elle-même comme un artefact numérique opaque. Les principaux produits de stockage vectoriel (par exemple, Qdrant, Pinecone, FAISS, Chroma) manquent de contrôles natifs pour :

1. Examiner la distribution statistique des vecteurs lors de l'ingestion.
2. Vérifier la provenance des plongements stockés lors de la récupération.
3. Maintenir des pistes d'audit inviolables pour les modifications post-ingestion.

Cette lacune crée une vulnérabilité où un attaquant disposant d'un accès en écriture au pipeline d'ingestion (Modèle de menace A : Insiders avec accès aux sauvegardes) peut effectuer une exfiltration stéganographique. L'attaquant dissimule des données de charge utile au sein des plongements en utilisant des perturbations qui préservent le comportement de récupération de surface (similarité cosinus) tout en échappant aux outils standard de prévention des pertes de données (DLP), qui analysent les documents et le trafic mais pas le contenu vectoriel à virgule flottante.

Méthodologie

L'article évalue six familles de techniques stéganographiques sur plusieurs modèles de plongement (OpenAI text-embedding-3-large, Nomic, EmbeddingGemma, Snowflake Arctic, MXBai) et corpus (PII synthétique, BEIR NFCorpus, sous-ensemble Quora).

Techniques d'attaque

1. Attaques par perturbation : Modification d'un vecteur de plongement unique $v$ en $v'$ via :
   • Injection de bruit : Ajout de bruit gaussien ($v' = v + n$).
   • Rotation : Application d'une matrice orthogonale ($v' = Rv$).
   • Mise à l'échelle : Multiplication par un scalaire ($v' = s \cdot v$).
   • Décalage : Ajout d'un vecteur constant ($v' = v + o$).
   • Combiné : Application séquentielle des méthodes ci-dessus.
2. Contrebande architecturale : Fragmentation inter-modèles, où le contenu source est réparti sur différents modèles de plongement et stocké dans des collections distinctes, évitant ainsi toute modification sur place.

Métriques d'évaluation

L'étude mesure :

• Fidélité : Similarité cosinus entre les vecteurs originaux et obfusqués ; préservation des matrices de similarité par paires.
• DéTECTabilité : ROC-AUC et taux de vrais positifs (TPR) à des taux de faux positifs (FPR) fixes, en utilisant des détecteurs d'anomalies du commerce (Isolation Forest, SVM à une classe) entraînés sur des données propres.
• Résilience : Survie des perturbations à travers la quantification des bases de données vectorielles (par exemple, int8 scalaire de Qdrant, quantification par produit FAISS).
• Utilité de récupération : Impact sur le rappel et le rang réciproque moyen (MRR) à l'aide de requêtes paraphrasées.
• Capacité : Capacité théorique et empirique de charge utile en bits par vecteur.

Proposition défensive : VectorPin

Les auteurs proposent VectorPin, un protocole de provenance cryptographique. Il signe une représentation canonique en octets du vecteur de plongement, son hachage de contenu source et l'identifiant du modèle producteur en utilisant Ed25519. La vérification contrôle la signature et les engagements de hachage pour détecter toute modification post-ingestion.

Résultats clés

1. Vulnérabilité des déploiements actuels

Toutes les techniques stéganographiques testées ont réussi à contourner les contrôles de sécurité par défaut des principaux magasins vectoriels. Les attaques ont préservé la similarité cosinus et survécu à la quantification standard (int8 scalaire) dans Qdrant et FAISS-HNSW.

2. Limites de la détection statistique

• Techniques de décalage de distribution : Le bruit, la mise à l'échelle et le décalage sont détectables. Les détecteurs du commerce (Isolation Forest, SVM à une classe) ont atteint un ROC-AUC $\ge 0,85$ pour des points de fonctionnement déplaçant significativement la direction du plongement. Cependant, ces détecteurs sont fragiles face à des attaquants adaptatifs ; un attaquant en boîte blanche utilisant la descente de gradient projetée pourrait réduire l'AUC du détecteur à près de zéro tout en préservant la similarité cosinus.
• Rotation orthogonale : Cette technique est l'exception critique. Les rotations orthogonales de petit angle et peu nombreuses préservent les produits scalaires par paires et les distributions marginales par dimension.
  • Pour toutes les paires (modèle, corpus) testées, la rotation aux paramètres par défaut de la bibliothèque a entraîné des AUC de détecteur proches du hasard ($\approx 0,50$).
  • Cette indétectabilité persiste même avec des attaquants adaptatifs et à travers différentes architectures de plongement (Nomic, Gemma, etc.) et de grands corpus (plus de 16k segments).
  • Compromis Capacité-Détectabilité : Bien que la rotation ait un plafond de capacité sous forme fermée de $\lfloor d/2 \rfloor \cdot b$ bits (environ 1,9 Ko/vecteur pour $d=3072$), les rotations à haute capacité (grands angles) deviennent détectables sur des corpus réels car elles repoussent les vecteurs hors de la géométrie de la variété locale apprise par le détecteur. Cependant, le point de fonctionnement « préservant la récupération » (petits angles) reste indétectable.

3. Quantification et résilience du backend

• Quantification scalaire (Qdrant int8) : Ne détruit pas les charges utiles cachées ; elle préserve le canal de bits à l'identique car l'API de récupération renvoie l'original float32 non quantifié.
• Quantification par produit (FAISS IVF-PQ) : Impose un « plancher de bruit » qui rétrécit le canal de l'attaquant (réduisant la charge utile récupérable de 12 à 24 %), mais ceci est un effet secondaire de l'optimisation de la mémoire, et non un contrôle d'intégrité intentionnel.

4. Efficacité de VectorPin

VectorPin fournit une intégrité structurelle. Comme le protocole s'engage sur la représentation exacte en octets du vecteur (vec_hash), toute modification post-plongement (y compris toutes les techniques de perturbation et de fragmentation) rompt la vérification de la signature. Le protocole distingue la contrefaçon de signature, la falsification de vecteur, la mismatch de source et la substitution de modèle.

Importance et revendications

L'article ne se positionne pas comme une découverte de primitives cryptographiques ou stéganographiques nouvelles, mais comme une caractérisation empirique d'un modèle de menace spécifique et une défense constructive pour un substrat qui en est actuellement dépourvu.

• Modèle de menace : L'article limite explicitement ses revendications à « l'insider avec accès aux sauvegardes » (Modèle de menace A). Il ne revendique pas une efficacité universelle contre les attaquants en lecture seule (Modèle de menace C) ou ceux disposant de clés de signature privées.
• Stratégie de défense : Les auteurs soutiennent que la détection statistique est un premier filtre utile mais pas un contrôle de sécurité « porteur de charge » en raison de sa dépendance à la couverture de l'ensemble d'entraînement et de sa vulnérabilité aux attaques adaptatives.
• Contribution principale : La contribution principale est VectorPin, un contrôle déployable et standardisable qui ferme la classe d'attaques démontrée. Il fait passer la posture de sécurité de la « détection d'anomalies » à la « vérification de la provenance ».
• Contexte industriel : L'article établit des parallèles avec des lacunes d'infrastructure historiques (DNS, HTTP/3, buckets S3), suggérant que l'intégrité des magasins vectoriels est actuellement sous-investie car la menace n'a pas encore provoqué de crise. Les auteurs visent à fournir la défense avant que de tels incidents ne se produisent.

L'article conclut que l'intégrité au niveau des plongements est un contrôle déployable qui doit être ajouté au pipeline RAG, car ce n'est pas une propriété native des bases de données vectorielles actuelles.