🤖 machine learning

Auditing Privacy in Multi-Tenant RAG under Account Collusion

यह शोध पत्र यह पहचान करता है कि प्रति-खाता विभेदक गोपनीयता (differential privacy) का दावा करने वाले मल्टी-टेनेंट RAG सिस्टम, समान-टेनेंट खाता मिलीभगत (same-tenant account collusion) के तहत असीमित गोपनीयता क्षरण के प्रति संवेदनशील हैं, और बिना किसी सिस्टम संशोधन या इंडेक्स प्रकटीकरण की आवश्यकता के, रिट्रीवल-स्कोर चैनल की गोपनीयता गारंटी को मात्रात्मक रूप से सत्यापित करने के लिए क्रिप्टोग्राफिक प्रिमिटिव्स का उपयोग करते हुए पहले ऑडिट प्रोटोकॉल का प्रस्ताव करता है।

मूल लेखक: Florian A. D. Burnat, Brittany I. Davidson

प्रकाशित 2026-05-20

📖 7 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Florian A. D. Burnat, Brittany I. Davidson

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

यहाँ सरल भाषा और रोज़मर्रा के उदाहरणों का उपयोग करके पेपर की व्याख्या दी गई है।

बड़ी तस्वीर: "ग्रुप चैट" की समस्या

कल्पना कीजिए कि एक विशाल, उच्च-सुरक्षा वाली लाइब्रेरी (मल्टी-टेनेंट RAG सर्विस) है जहाँ हज़ारों अलग-अलग लोग (टेनेंट्स) अपने निजी दस्तावेज़ रखते हैं। गोपनीयता बनाए रखने के लिए, लाइब्रेरी का एक नियम है: हर एक व्यक्ति को सीमित संख्या में प्रश्न पूछने की अनुमति है, और उत्तरों को "नॉयस" (धुंधला) किया जाता है ताकि कोई यह पता न लगा सके कि लाइब्रेरी में वास्तव में कौन से विशिष्ट दस्तावेज़ मौजूद हैं। यह प्रति-खाता गोपनीयता गारंटी (Per-Account Privacy Guarantee) है।

लाइब्रेरी आपसे कहती है: "चिंता न करें, यदि आप 100 प्रश्न पूछते हैं, तो हम गारंटी देते हैं कि आपकी गोपनीयता सुरक्षित है।"

पेपर की खोज:
लेखकों ने एक खामी (लूपहोल) ढूँढ निकाली। क्या होगा यदि एक बुरा व्यक्ति केवल एक अकाउंट का उपयोग नहीं करता, बल्कि 100 नकली अकाउंट (सॉक पपेट्स) बनाता है और उन सभी को एक साथ सवाल पूछने के लिए समन्वित (coordinate) करता है?

पेपर का तर्क है कि लाइब्रेरी की वर्तमान सुरक्षा गारंटी एक एकल-व्यक्ति सीटबेल्ट की तरह है। यदि आप कार में अकेले हैं, तो यह बहुत अच्छा काम करती है। लेकिन अगर 100 लोग कार में चढ़ जाते हैं और सभी सीटबेल्ट पहनते हैं, लेकिन वे सभी एक-दूसरे का हाथ पकड़कर एक साथ खींच रहे हैं, तो सीटबेल्ट सिस्टम विफल हो जाता है। वह "नॉयस" जो दस्तावेज़ों की रक्षा करता है, वह तब समाप्त (cancel out) हो जाता है जब उन सभी 100 अकाउंट्स के उत्तरों को मिला दिया जाता है।

मुख्य उपमा: फुसफुसाने वाला खेल (The Whispering Game)

एक ऐसे खेल की कल्पना करें जहाँ आप एक कमरे में छिपे गुप्त शब्द का अनुमान लगाना चाहते हैं।

गार्ड (लाइब्रेरी): गार्ड आपको शब्द फुसफुसाता है, लेकिन इसमें बहुत सारा स्टैटिक शोर (static noise) जोड़ देता है ताकि आप इसे स्पष्ट रूप से न सुन सकें।
नियम: यदि एक व्यक्ति सुनता है, तो शब्द का अनुमान लगाने के लिए स्टैटिक बहुत तेज़ होता है। लाइब्रेरी कहती है, "हम सुरक्षित हैं क्योंकि एक व्यक्ति के लिए स्टैटिक पर्याप्त तेज़ है।"
हमला (कोलिजन/मिलीभगत): अब, कल्पना कीजिए कि 100 लोग (एक गठबंधन) कमरे में खड़े हैं। प्रत्येक व्यक्ति शोर के साथ शब्द सुनता है।
- व्यक्ति 1 सुनता है: "W...h...s...t..."
- व्यक्ति 2 सुनता है:: "W...h...s...t..."
- व्यक्ति 100 सुनता है: "W...h...s...t..."
परिणाम: जब वे सभी अपने नोट्स की तुलना करते हैं, तो रैंडम स्टैटिक खत्म हो जाता है, और असली शब्द बिल्कुल स्पष्ट हो जाता है।

पेपर गणितीय रूप से सिद्ध करता है कि यदि $k$ लोग मिलीभगत करते हैं, तो गोपनीयता सुरक्षा केवल थोड़ी कम नहीं होती; यह $\sqrt{k}$ के कारक से गिर जाती है।

यदि 1 व्यक्ति हमला करता है: गोपनीयता 100% है (जैसा वादा किया गया था)।
यदि 100 लोग हमला करते हैं: गोपनीयता प्रभावी रूप से 10 गुना कमजोर हो जाती है (क्योंकि $\sqrt{100} = 10$ )।

तीन मुख्य योगदान

1. गणित: "वर्गमूल नियम" (The Square Root Rule)

पेपर गणना करता है कि जब अकाउंट्स टीम बनाकर काम करते हैं तो कितनी गोपनीयता खो जाती है।

पुरानी सोच: यदि 100 लोग मिलकर हमला करते हैं, तो शायद जोखिम 100 गुना (लीनियर) अधिक होगा।
नई खोज: जोखिम वास्तव में 100 का वर्गमूल (जो कि 10 है) गुना अधिक है।
यह क्यों मायने रखता है: यह सबसे खराब स्थिति (100x) जितना बुरा नहीं है, लेकिन यह उससे कहीं अधिक बुरा है जितना कि लाइब्रेरी स्वीकार करती है (1x)। एक लाइब्रेरी जो दावा करती है कि "एक व्यक्ति के लिए 100% सुरक्षित है", वह वास्तव में 100 लोगों के समूह के लिए केवल "10% सुरक्षित" है।

2. प्रमाण: "नकली हमला"

लेखकों ने केवल गणित नहीं किया; उन्होंने यह साबित करने के लिए एक सिमुलेशन बनाया कि यह वास्तविक जीवन में कैसे काम करता है।

उन्होंने एक नकली लाइब्रेरी और 20 नकली अकाउंट्स का समूह बनाया।
उन्होंने दिखाया कि इन 20 अकाउंट्स के उत्तरों को मिलाकर, वे गुप्त दस्तावेज़ों का अनुमान एक एकल अकाउंट की तुलना में बहुत बेहतर तरीके से लगा सकते हैं।
मुख्य निष्कर्ष: भले ही लाइब्रेरी "Top-K" चयन (पूरी सूची के बजाय केवल शीर्ष 5 परिणाम दिखाना) का उपयोग करती है, फिर भी समूह का हमला काम करता है। "वर्गमूल नियम" सच साबित होता है।

3. समाधान: "अदृश्य ऑडिटर" (The Invisible Auditor)

यह सबसे रचनात्मक हिस्सा है। लेखकों ने लाइब्रेरी को जांचने का एक नया तरीका डिज़ाइन किया, बिना लाइब्रेरी को अपने गुप्त दस्तावेज़ दिखाए या अपना कोड बदले।

एक जादुई रसीद बुक (Magic Receipt Book) की कल्पना करें:

हर बार जब लाइब्रेरी किसी प्रश्न का उत्तर देती है, तो वह एक क्रिप्टोग्राफिक "रसीद" (डिजिटल सील) बनाती है जो यह प्रमाणित करती है:
1. उत्तर सही दस्तावेज़ों से आया था।
2. "स्टैटिक शोर" सही ढंग से जोड़ा गया था।
3. उत्तर अन्य लोगों के दस्तावेज़ों के बारे में जानकारी लीक नहीं करता है।
एक ऑडिटर (एक तीसरा पक्ष) इन रसीदों को देख सकता है और गणितीय रूप से सिद्ध कर सकता है: "हाँ, यदि 10 लोगों का समूह हमला करता है, तो गोपनीयता केवल इतनी मजबूत है।"
निर्णय: ऑडिटर एक सरल PASS या FAIL ग्रेड देता है, साथ ही एक संख्या भी (जैसे "आपकी गोपनीयता 10 में से 3.2 है")। यह ग्राहकों को उनके वास्तविक जोखिम के बारे में बताता है बिना लाइब्रेरी के रहस्यों को उजागर किए।

इसका आपके लिए क्या अर्थ है (पाठक के लिए)

उपयोगकर्ताओं के लिए: यदि आप माइक्रोसॉफ्ट कोपायलट (Microsoft Copilot) जैसी सेवाओं या AI सहायकों का उपयोग करते हैं जो आपकी निजी फाइलों से जुड़ते हैं, तो बारीक अक्षरों में दी गई "गोपनीयता गारंटी" भ्रामक हो सकती है यदि आप एक बड़े संगठन का हिस्सा हैं या हमलावर कई नकली अकाउंट बना लेते हैं।
कंपनियों के लिए: आप केवल यह नहीं कह सकते कि "हम एक उपयोगकर्ता के लिए सुरक्षित हैं।" आपको इस बात का ध्यान रखना होगा कि उपयोगकर्ता टीम बनाकर काम कर सकते हैं।
नियामकों (Regulators) के लिए: पेपर AI को ऑडिट करने का एक नया तरीका सुझाता है। कंपनियों से उनका कोड दिखाने के लिए कहने के बजाय (जो वे नहीं करेंगी), नियामक इस "जादुई रसीद" प्रणाली का उपयोग करके गोपनीयता दावों को गणितीय रूप से सत्यापित कर सकते हैं।

यह पेपर क्या नहीं कहता है

यह नहीं कहता कि वर्तमान AI सेवाएँ "टूटी हुई" हैं या आपका डेटा निश्चित रूप से चोरी हो रहा है।
यह नहीं कहता कि "Top-K" (केवल शीर्ष परिणाम दिखाना) फीचर बेकार है; यह केवल यह कहता है कि यह समन्वित समूह हमले को नहीं रोकता है।
यह "एम्बेडिंग इन्वर्जन" (पर्दे के पीछे के गणित से टेक्स्ट का अनुमान लगाना) की समस्या को हल नहीं करता है; यह केवल रिट्रीवल (खोज) चरण पर केंद्रित है।

सारांश

पेपर प्रकट करता है कि AI लाइब्रेरी में गोपनीयता नाजुक है जब उपयोगकर्ता टीम बनाकर काम करते हैं। यह सिद्ध करता है कि हमलावरों का एक समूह उम्मीद से कहीं अधिक तेज़ी से गोपनीयता शोर (privacy noise) को खत्म कर सकता है। इसे ठीक करने के लिए, लेखकों ने एक क्रिप्टोग्राफिक ऑडिट सिस्टम का आविष्कार किया है जो एक "सत्य मशीन" की तरह काम करता है, जिससे कोई भी AI सेवा के वास्तविक गोपनीयता स्तर को उसके गुप्त डेटा को देखे बिना सत्यापित कर सकता है।

तकनीकी सारांश: अकाउंट कोल्यूजन (Account Collusion) के तहत मल्टी-टेनेंट RAG में प्राइवेसी का ऑडिटिंग

1. समस्या विवरण (Problem Statement)

प्रोडक्शन रिट्रीवल-ऑगमेंटेड जनरेशन (RAG) सेवाएँ (जैसे, Microsoft 365 Copilot, OpenAI Assistants) आमतौर पर मल्टी-टेनेंट सिस्टम के रूप में संचालित होती हैं जहाँ एक साझा इंफ्रास्ट्रक्चर हजारों ग्राहक खातों (customer accounts) की सेवा करता है। वर्तमान प्राइवेसी गारंटी इन सिस्टम्स के लिए प्रति-खाता (per-account) स्तर पर फ्रेम की गई है: प्रत्येक खाते की क्वेरीज़ को यह वादा किया गया है कि वे टेनेंट इंडेक्स के संदर्भ में $(\epsilon_{acc}, \delta_{acc})$ -डिफरेंशियल प्राइवेसी (DP) को संतुष्ट करेंगी।

यह शोध एक प्राइवेसी-बाउंड्री फेलियर (privacy-boundary failure) की पहचान करता है: यह प्रति-खाता फ्रेमिंग तब अपर्याप्त है जब एक एडवरसरी (adversary) $k$ खातों (एक गठबंधन/coalition) को नियंत्रित करती है जो एक ही टेनेंट इंडेक्स को क्वेरी करने के लिए समन्वय करती है। जबकि मानक DP थ्योरी यह सुझाव देती है कि $k$ स्वतंत्र क्वेरीज़ प्राइवेसी को रैखिक रूप से ( $k \cdot \epsilon_{acc}$ ) कम कर सकती हैं या स्थिर रह सकती हैं, लेखक प्रदर्शित करते हैं कि गॉसियन-नॉइज़्ड (Gaussian-noised) रिट्रीवल मैकेनिज्म के लिए, संयुक्त रिसाव (joint leakage) $\Theta(\sqrt{k} \cdot \epsilon_{acc})$ की दर से घटता है।

यह अंतर यह दर्शाता है कि एक सुरक्षित प्रति-खाता बजट (जैसे, $\epsilon_{acc}=1$ ) का विज्ञापन करने वाली सेवा अनजाने में एक काफी कमजोर संयुक्त गारंटी (जैसे, $k=10$ के लिए $\approx 3.2$ ) को उजागर कर सकती है यदि एक गठबंधन बनता है। मौजूदा बचाव (defenses) लीकेज को कम करने के लिए डिप्लॉयमेंट को संशोधित करते हैं, लेकिन उनमें से कोई भी बिना अंडरलाइंग इंडेक्स या मॉडल वेट्स को प्रकट किए, अनमॉडिफाइड डिप्लॉयमेंट के संयुक्त लीकेज का ऑडिट करने का तंत्र प्रदान नहीं करता है।

2. कार्यप्रणाली (Methodology)

2.1 थ्रेट मॉडल (Threat Model)

लेखक एक $(\epsilon, \delta, k)$ -कोल्यूजन DP मॉडल को औपचारिक रूप देते हैं। एडवरसरी एक ही टेनेंट के भीतर $k \ge 1$ खातों (सेम-टेनेंट कोल्यूजन) या विभिन्न टेनेंट्स के बीच (क्रॉस-टेनेंट/एक्सटर्नल कोल्यूजन, एक्सेस-कंट्रोल विफलता के अधीन) समन्वय करती है। एडवरसरी के पास है:

साझा पोस्टीरियर (Shared posterior): टारगेट इंडेक्स पर एक एकीकृत संभाव्यता विश्वास (unified probabilistic belief)।
अनुकूली समन्वय (Adaptive coordination): खाते $a_i$ से क्वेरीज़ अन्य सभी खातों के $t-1$ समय तक के पूर्ण ट्रांसक्रिप्ट पर निर्भर हो सकती हैं।
रेट-लिमिट जागरूकता: क्वेरीज़ को व्यक्तिगत प्रति-खाता सीमाओं के भीतर रहते हुए कुल बजट को अधिकतम करने के लिए शेड्यूल किया जाता है।
साझा आउटपुट चैनल: एडवरसरी के एस्टीमेटर (estimator) के चलने से पहले सभी रिट्रीवल रिस्पॉन्स को पूल किया जाता है।

विश्लेषण प्रत्येक क्वेरी के लिए स्वतंत्र फ्रेश गॉसियन नॉइज़ और ऑडिट विंडो के भीतर एक नियतात्मक (deterministic) एम्बेडर को मानता है।

2.2 सैद्धांतिक विश्लेषण (Theoretical Analysis)

यह पेपर उन्नत DP कंपोजिशन थ्योरी को RAG सेटिंग के लिए विशिष्ट बनाता है:

अपर बाउंड (Upper Bound): $k$ समन्वित खातों को एक सिंगल एडैप्टिव एनालिस्ट (जिसका बजट $kn $क्वेरीज़ है) में बदलकर, लेखक एडवांस्ड कंपोजिशन थ्योरम लागू करते हैं। गॉसियन-नॉइज़्ड स्कोर रिलीज के लिए, वे सिद्ध करते हैं कि संयुक्त प्राइवेसी पैरामीटर$ \epsilon_k$ इस प्रकार स्केल होता है:
$\epsilon_k = \Theta\left(\sqrt{k} \cdot \epsilon_{acc}\right)$
यह घोषित प्रति-खाता बजट से काफी खराब है लेकिन नैव (naive) लीनियर ग्रुप-प्राइवेसी बाउंड से बेहतर है।
लोअर बाउंड (Lower Bound): लेखक एक विशिष्ट हमला (एक पड़ोसी इंडेक्स के विरुद्ध प्रोब क्वेरी, जो एक डॉक्यूमेंट से भिन्न है) का निर्माण करते हैं जहाँ $k$ खातों का गठबंधन एक मेंबरशिप इन्फरेंस एडवांटेज (MIA) $\Omega(\sqrt{k} \cdot \epsilon_{acc})$ प्राप्त करता है।
रेनी DP (RDP): विश्लेषण को RDP और मोमेंट्स अकाउंटेंट का उपयोग करके रिफाइन किया गया है ताकि व्यावहारिक ऑडिट रिपोर्टिंग के लिए सटीक संख्यात्मक बाउंड प्रदान किए जा सकें।

2.3 ऑडिट प्रोटोकॉल (Audit Protocol)

इस अंतर को सत्यापन योग्य बनाने के लिए, पेपर एक चार-चरणीय ऑडिट प्रोटोकॉल डिजाइन करता है जो इंडेक्स प्रकटीकरण की आवश्यकता के बिना अनमॉडिफाइड RAG डिप्लॉयमेंट पर कार्य करता है:

कमिटमेंट (Commitment): प्रदाता क्रिप्टोग्राफिक हैश और मर्केल ट्रीज़ का उपयोग करके एम्बेडर, इंडेक्स कंटेंट (वेक्टर कमिटमेंट्स के माध्यम से), नॉइज़ सीड, और पॉलिसी पैरामीटर्स (एक घोषित गठबंधन कैप $k_{max}$ सहित) के लिए कमिट करता है।
प्रति-क्वेरी अटेस्टेशन (Per-Query Attestation): प्रत्येक क्वेरी के लिए, प्रदाता एक ज़ीरो-नॉलेज (ZK) प्रूफ जेनरेट करता है जो प्रमाणित करता है कि:
- एम्बेडिंग को कमिटेड एम्बेडर का उपयोग करके कंप्यूट किया गया था।
- गॉसियन नॉइज़ को कमिटेड सीड से प्राप्त किया गया था।
- टॉप-K सिलेक्शन नॉइज़ी स्कोर्स (नॉइज़-देन-सेलेक्ट) पर किया गया था।
- रिट्रीवल सही टेनेंट इंडेक्स तक सीमित था।
कोलिशन-साइज़ एस्टीमेशन (Coalition-Size Estimation): प्रदाता क्वेरी सहसंबंध (पब्लिक लेजर में समान क्वेरीज़ को क्लस्टर करना) के आधार पर एक अनुमानित गठबंधन आकार ( $\hat{k}$ ) प्रस्तुत करता है, जिसके साथ एक ZK प्रूफ भी होता है।
वेरिफिकेशन (Verification): एक थर्ड-पार्टी वेरीफायर प्रूफ और लेजर कंसिस्टेंसी की जांच करता है। यदि अनुमानित गठबंधन का आकार पॉलिसी कैप ( $k_{max}$ ) के भीतर है, तो वेरीफायर एक मात्रात्मक निर्णय जारी करता है: (PASS, $\epsilon_{audit}$ ), जहाँ $\epsilon_{audit}$ गणना किया गया संयुक्त लीकेज बाउंड है।

3. मुख्य योगदान (Key Contributions)

थ्रेट मॉडल की पहचान: पेपर सेम-इंडेक्स मल्टी-अकाउंट कोल्यूजन को RAG में प्रति-खाता DP गारंटी की एक स्ट्रक्चरल विफलता के रूप में परिभाषित करता है, जो गॉसियन-नॉइज़्ड रिट्रीवल के लिए $\Theta(\sqrt{k})$ डिग्रेडेशन रेट स्थापित करता है।
असत्यता योग्य अनुभवजन्य भविष्यवाणियाँ (Falsifiable Empirical Predictions): लेखक एक विशिष्ट मेंबरशिप इन्फरेंस अटैक (MIA) AUC की भविष्यवाणी करते हैं: $AUC_k = \frac{1}{2} + \Theta(\sqrt{k} \cdot \epsilon_{acc})$ । वे सिद्धांत को मान्य करने के लिए दो फाल्सिफिकेशन गेट्स (स्लोप और टाइटनेस) को कमिट करते हैं।
वेरिफायर-रनेबल ऑडिट प्रोटोकॉल: अनमॉडिफाइड RAG डिप्लॉयमेंट में संयुक्त लीकेज का ऑडिट करने वाला पहला प्रोटोकॉल। यह इंडेक्स या मॉडल वेट्स को उजागर किए बिना मात्रात्मक $(PASS, \epsilon_{audit})$ निर्णय जारी करने के लिए जेनेरिक क्रिप्टोग्राफिक प्रिमिटिव्स (मर्केल लेजर्स, ZK प्रूफ) और RAG-विशिष्ट प्रिमिटिव्स (एम्बेडर कमिटमेंट, नॉइज़-देन-सेलेक्ट अटेस्टेशन) के संयोजन का उपयोग करता है।
संख्यात्मक प्राइवेसी ट्रैकिंग: सटीक संख्यात्मक मूल्यांकन प्रदान करने के लिए RDP और मोमेंट्स अकाउंटेंट का एकीकरण, जो मध्यम गठबंधन आकार के लिए क्लोज्ड-फॉर्म सन्निकटन (approximations) की तुलना में टाइट बाउंड प्रदान करता है।

4. प्रयोगात्मक परिणाम (Experimental Results)

लेखकों ने अपने सैद्धांतिक भविष्यवाणियों को एक सिंथेटिक मल्टी-टेनेंट FAISS-आधारित हार्नेस और एक प्रशिक्षित एम्बेडर (BAAI/bge-small-en-v1.5) का उपयोग करके मान्य किया।

स्केलिंग वैलिडेशन: $k \in \{1, 2, 5, 10, 20\}$ गठबंधन आकारों के साथ प्रयोगों ने अनुमानित $\sqrt{k}$ स्केलिंग की पुष्टि की। उदाहरण के लिए, $\epsilon_{acc}=4$ पर, अनुभवजन्य MIA एडवांटेज $0.070 $($ k=1 $) से बढ़कर$ 0.281 $($ k=20 $) हो गया, जो अनुमानित ग्रोथ फैक्टर$ \sqrt{20} \approx 4.5$ के साथ निकटता से मेल खाता है।
टॉप-K पोस्ट-प्रोसेसिंग: $\sqrt{k}$ ट्रेंड यह भी देखा गया जब आउटपुट को बाइनरी "टॉप-K हिट" इंडिकेटर तक सीमित कर दिया गया, हालांकि पूर्ण एडवांटेज एक कांस्टेंट फैक्टर (रॉ स्कोर अटैक की तुलना में लगभग 30% कम) द्वारा कम हो गया।
रोबस्टनेस चेक:
- वैकल्पिक एडवर्सरीज: बेयस लॉग-लाइक्लीहुड रेश्यो या डायवर्सिफाइड मल्टी-टारगेट स्प्लिटिंग का उपयोग करने वाले वेरिएंट्स ने $\sqrt{k}$ बेसलाइन रेट से अधिक लीकेज नहीं दिखाया; डायवर्सिफिकेशन ने वास्तव में एडवांटेज को कम कर दिया।
- एम्बेडर ट्रांसफर: रेट एक प्रशिक्षित 384-डायमेंशनल एम्बेडर के लिए भी बना रहा, जिसमें एडवांटेज वास्तविक स्कोर गैप ( $\Delta$ ) के साथ रैखिक रूप से स्केल हुआ।
- एक्सटर्नल बनाम सेम-टेनेंट: एक्सेस-कंट्रोल विफलता (M4) की धारणा के तहत, बाहरी हमलावर सेम-टेनेंट गठबंधन के समान ही लीकेज दर प्राप्त करते हैं।
प्रोडक्शन स्केल: $10^6$ -डॉक्यूमेंट HNSW इंडेक्स पर परीक्षणों ने पुष्टि की कि जबकि यूजर-ऑब्जर्वेबल टॉप-K हिट्स बड़े पैमाने पर नगण्य लीकेज देते हैं, ऑडिटर-ऑब्जर्वेबल पूल की गई नॉइजी स्कोर्स (जो ऑडिट प्रोटोकॉल के माध्यम से सुलभ हैं) अभी भी $\sqrt{k}$ लीकेज ट्रेंड प्रदर्शित करती हैं।

5. महत्व और दावे (Significance and Claims)

यह पेपर खुद को एक तैनात स्पेसिफिकेशन के बजाय एक तकनीकी आधार के रूप में प्रस्तुत करता है। इसका प्राथमिक महत्व है:

स्ट्रक्चरल वल्नरेबिलिटी को उजागर करना: यह तर्क देता है कि मल्टी-अकाउंट दुरुपयोग (जैसे, सॉक पपेट्स) केवल धोखाधड़ी का मुद्दा नहीं है बल्कि एक मौलिक प्राइवेसी बाउंड्री फेलियर है जिसे वर्तमान प्रति-खाता DP गारंटी कवर नहीं करती है।
थर्ड-पार्टी ऑडिट को सक्षम बनाना: प्रोटोकॉल नियामकों और तीसरे पक्ष को प्रदाता के स्वामित्व वाले डेटा या मॉडल को प्रकट किए बिना प्राइवेसी दावों (जैसे, EU AI Act या DSA के तहत) को सत्यापित करने का तंत्र प्रदान करता है।
$\epsilon_{audit}$ को ऑपरेशनलाइज करना: प्रति-खाता बजट ( $\epsilon_{acc}$ ) के बजाय संयुक्त ऑडिट बाउंड ( $\epsilon_{audit}$ ) को प्राइवेसी डिस्क्लोजर यूनिट के रूप में उपयोग करने का प्रस्ताव देना, जो समन्वित हमलों की वास्तविकता को दर्शाता है।

लेखक स्पष्ट रूप से जनरेशन-चैनल प्राइवेसी (LLM आउटपुट जो चयनित डॉक्यूमेंट्स पर आधारित है) और एम्बेडिंग इन्वर्जन हमलों को अलग प्राइवेसी प्रेडिकेट्स के रूप में रखते हैं। वे स्वीकार करते हैं कि प्रोटोकॉल की प्रभावशीलता इस बात पर निर्भर करती है कि प्रदाता एक सार्थक गठबंधन कैप ( $k_{max}$ ) घोषित करता है और गठबंधन-आकार एस्टीमेटर को उन एडवर्सरीज द्वारा चकमा दिया जा सकता है जो जानबूझकर अपने क्वेरीज़ को विविध (diversify) करते हैं। पेपर निष्कर्ष निकालता है कि हालांकि यह अंतर संरचनात्मक है और इसे पूरी तरह से बंद करने के लिए आर्किटेक्चरल बदलावों की आवश्यकता है, प्रस्तावित ऑडिट प्रोटोकॉल प्रोडक्शन RAG सेवाओं में पारदर्शिता की दिशा में एक सत्यापन योग्य, तत्काल कदम है।