Résumé technique : Audit de la confidentialité dans les RAG multi-locataires sous collusion de comptes

1. Énoncé du problème

Les services de production de génération augmentée par la récupération (RAG) (par exemple, Microsoft 365 Copilot, OpenAI Assistants) fonctionnent généralement comme des systèmes multi-locataires où une infrastructure partagée dessert des milliers de comptes clients. Les garanties de confidentialité actuelles pour ces systèmes sont formulées au niveau par compte : il est promis que les requêtes de chaque compte satisfont la confidentialité différentielle (DP) $(\epsilon_{acc}, \delta_{acc})$ par rapport à l'index du locataire.

L'article identifie une défaillance critique des limites de confidentialité : cette formulation par compte est insuffisante lorsqu'un adversaire contrôle $k$ comptes (une coalition) qui coordonnent leurs requêtes vers le même index de locataire. Alors que la théorie DP standard suggère que $k$ requêtes indépendantes pourraient dégrader la confidentialité de manière linéaire ($k \cdot \epsilon_{acc}$) ou rester stables, les auteurs démontrent que pour les mécanismes de récupération bruités par du bruit gaussien, la fuite conjointe se dégrade à un taux de $\Theta(\sqrt{k} \cdot \epsilon_{acc})$.

Cette lacune implique qu'un service annonçant un budget par compte sûr (par exemple, $\epsilon_{acc}=1$) peut involontairement exposer une garantie conjointe significativement plus faible (par exemple, $\approx 3,2$ pour $k=10$) si une coalition se forme. Les défenses existantes modifient le déploiement pour réduire la fuite par requête, mais aucune ne fournit un mécanisme pour auditer la fuite conjointe d'un déploiement non modifié sans révéler l'index sous-jacent ou les poids du modèle.

2. Méthodologie

2.1 Modèle de menace

Les auteurs formalisent un modèle de confidentialité différentielle de collusion $(\epsilon, \delta, k)$. L'adversaire contrôle $k \ge 1$ comptes au sein d'un seul locataire (collusion intra-locataire) ou entre locataires (collusion inter-locataire/externe, conditionnée par un échec du contrôle d'accès). L'adversaire possède :

• Postérieur partagé : Une croyance probabiliste unifiée sur l'index cible.
• Coordination adaptative : Les requêtes du compte $a_i$ peuvent dépendre de la transcription complète de tous les autres comptes jusqu'au temps $t-1$.
• Conscience des limites de débit : Les requêtes sont planifiées pour maximiser le budget global tout en restant dans les limites individuelles par compte.
• Canal de sortie partagé : Toutes les réponses de récupération sont regroupées avant l'exécution de l'estimateur de l'adversaire.

L'analyse suppose un bruit gaussien frais indépendant par requête et un encodeur déterministe dans la fenêtre d'audit.

2.2 Analyse théorique

L'article spécialise la théorie avancée de la composition DP au contexte RAG :

• Majorant : En réduisant $k$ comptes coordonnés à un seul analyste adaptatif disposant d'un budget de $kn$ requêtes, les auteurs appliquent le théorème de composition avancée. Pour la publication de scores bruités par du bruit gaussien, ils prouvent que le paramètre de confidentialité conjoint $\epsilon_k$ évolue selon :
  $$\epsilon_k = \Theta\left(\sqrt{k} \cdot \epsilon_{acc}\right)$$
  Ceci est strictement pire que le budget par compte annoncé, mais meilleur que la borne de confidentialité de groupe linéaire naïve.
• Minorant : Les auteurs construisent une attaque spécifique (une requête de sonde contre des indices voisins différant d'un document) où une coalition de $k$ comptes atteint un avantage d'inférence d'appartenance (MIA) de $\Omega(\sqrt{k} \cdot \epsilon_{acc})$.
• Confidentialité différentielle de Rényi (RDP) : L'analyse est affinée en utilisant la RDP et le compteur de moments pour fournir des bornes numériques plus serrées pour les rapports d'audit pratiques.

2.3 Protocole d'audit

Pour rendre cette lacune vérifiable, l'article conçoit un protocole d'audit en quatre phases qui opère sur des déploiements RAG non modifiés sans nécessiter la divulgation de l'index :

1. Engagement : Le fournisseur s'engage sur l'encodeur, le contenu de l'index (via des engagements vectoriels), la graine de bruit et les paramètres de politique (y compris une limite de coalition déclarée $k_{max}$) en utilisant des hachages cryptographiques et des arbres de Merkle.
2. Attestation par requête : Pour chaque requête, le fournisseur génère une preuve à divulgation nulle de connaissance (ZK) attestant que :
   • L'encodage a été calculé en utilisant l'encodeur engagé.
   • Le bruit gaussien a été dérivé de la graine engagée.
   • La sélection Top-K a été effectuée sur les scores bruités (bruit-avant-sélection).
   • La récupération a été confinée au bon index de locataire.
3. Estimation de la taille de la coalition : Le fournisseur soumet une estimation de la taille de la coalition ($\hat{k}$) basée sur la corrélation des requêtes (regroupement des requêtes similaires dans le registre public), accompagnée d'une preuve ZK.
4. Vérification : Un vérificateur tiers vérifie les preuves et la cohérence du registre. Si la taille estimée de la coalition est dans la limite de la politique ($k_{max}$), le vérificateur émet un verdict quantitatif : (PASS, $\epsilon_{audit}$), où $\epsilon_{audit}$ est la borne de fuite conjointe calculée.

3. Contributions clés

1. Identification du modèle de menace : L'article définit la collusion multi-comptes sur un même index comme une défaillance structurelle des garanties DP par compte dans les RAG, établissant le taux de dégradation $\Theta(\sqrt{k})$ pour la récupération bruitée par du bruit gaussien.
2. Prédictions empiriques falsifiables : Les auteurs dérivent une prédiction spécifique pour la surface sous la courbe (AUC) de l'attaque d'inférence d'appartenance (MIA) : $AUC_k = \frac{1}{2} + \Theta(\sqrt{k} \cdot \epsilon_{acc})$. Ils s'engagent sur deux portes de falsification (pente et précision) pour valider la théorie.
3. Protocole d'audit exécutable par un vérificateur : Le premier protocole pour auditer la fuite conjointe dans des déploiements RAG non modifiés. Il utilise une combinaison de primitives cryptographiques génériques (registres Merkle, preuves ZK) et de primitives spécifiques aux RAG (engagement d'encodeur, attestation bruit-avant-sélection) pour émettre un verdict quantitatif $(PASS, \epsilon_{audit})$ sans exposer l'index ni les poids du modèle.
4. Suivi numérique de la confidentialité : L'intégration de la RDP et du compteur de moments permet une évaluation numérique exacte de la perte de confidentialité, fournissant des bornes plus serrées que les approximations sous forme close pour des tailles de coalition modérées.

4. Résultats expérimentaux

Les auteurs ont validé leurs prédictions théoriques en utilisant un simulateur multi-locataire synthétique basé sur FAISS et un encodeur entraîné (BAAI/bge-small-en-v1.5).

• Validation de l'échelle : Les expériences avec des tailles de coalition $k \in \{1, 2, 5, 10, 20\}$ ont confirmé l'échelle $\sqrt{k}$ prédite. Par exemple, pour $\epsilon_{acc}=4$, l'avantage MIA empirique est passé de 0,070 ($k=1$) à 0,281 ($k=20$), correspondant étroitement au facteur de croissance prédit de $\sqrt{20} \approx 4,5$.
• Post-traitement Top-K : La tendance $\sqrt{k}$ a été observée comme persistante même lorsque la sortie était restreinte à un indicateur binaire "Top-K hit", bien que l'avantage absolu ait été réduit par un facteur constant (environ 30 % inférieur à l'attaque sur les scores bruts).
• Vérifications de robustesse :
  • Adversaires alternatifs : Les variantes utilisant les rapports de vraisemblance logarithmique de Bayes ou le fractionnement multi-cibles diversifié n'ont pas dépassé le taux de base $\sqrt{k}$ ; la diversification a en fait dégradé l'avantage.
  • Transfert d'encodeur : Le taux a été maintenu pour un encodeur entraîné de 384 dimensions, l'avantage évoluant linéairement avec l'écart de score réalisé ($\Delta$).
  • Externe vs même locataire : Sous l'hypothèse d'un échec du contrôle d'accès (M4), les attaquants externes ont atteint des taux de fuite statistiquement indiscernables de ceux des coalitions intra-locataire.
• Échelle de production : Des tests sur un index HNSW de $10^6$ documents ont confirmé que, si les Top-K observables par l'utilisateur offrent une fuite quasi nulle à grande échelle, les scores bruités regroupés observables par l'auditeur (accessibles via le protocole d'audit) présentent toujours la tendance de fuite $\sqrt{k}$.

5. Importance et revendications

L'article se positionne comme une fondation technique plutôt qu'une spécification déployée. Son importance principale réside dans :

• Révéler une vulnérabilité structurelle : Il soutient que l'abus multi-comptes (par exemple, les faux comptes) n'est pas seulement un problème de fraude, mais une défaillance fondamentale des limites de confidentialité que les garanties DP par compte actuelles ne couvrent pas.
• Permettre des audits tiers : Le protocole fournit un mécanisme pour que les régulateurs et les tiers vérifient les revendications de confidentialité (par exemple, dans le cadre de la loi européenne sur l'IA ou du DSA) sans exiger que le fournisseur divulgue des données ou des modèles propriétaires.
• Opérationnaliser $\epsilon_{audit}$ : Il propose de déplacer l'unité de divulgation réglementaire du budget par compte ($\epsilon_{acc}$) vers la borne d'audit conjointe ($\epsilon_{audit}$), qui reflète la réalité des attaques coordonnées.

Les auteurs excluent explicitement la confidentialité du canal de génération (sortie LLM conditionnée par les documents sélectionnés) et les attaques par inversion d'encodage, les traitant comme des prédicats d'audit séparés. Ils reconnaissent que l'efficacité du protocole dépend du fait que le fournisseur déclare une limite de coalition significative ($k_{max}$) et que l'estimateur de la taille de la coalition peut être contourné par des adversaires qui diversifient délibérément leurs requêtes. L'article conclut que, bien que la lacune soit structurelle et nécessite des changements architecturaux pour être entièrement comblée, le protocole d'audit proposé offre une étape vérifiable et immédiate vers la transparence dans les services RAG de production.