Riepilogo Tecnico: VectorSmuggle e VectorPin

Enunciato del Problema

I moderni sistemi di Generazione Aumentata dal Recupero (RAG) si affidano a database vettoriali per memorizzare embedding ad alta dimensionalità di contenuti sensibili. Sebbene tali sistemi proteggano l'accesso tramite autenticazione, crittografia del trasporto (TLS) e crittografia a riposo, trattano il payload dell'embedding stesso come un artefatto numerico opaco. I principali prodotti per l'archiviazione vettoriale (ad es. Qdrant, Pinecone, FAISS, Chroma) mancano di controlli nativi per:

1. Ispezionare la distribuzione statistica dei vettori durante l'ingestione.
2. Verificare la provenienza degli embedding archiviati al momento del recupero.
3. Mantenere tracce di audit a prova di manomissione per le modifiche post-ingestione.

Questo vuoto crea una vulnerabilità in cui un attaccante con accesso in scrittura alla pipeline di ingestione (Modello di Minaccia A: Interno con accesso ai backup) può eseguire un'esfiltrazione steganografica. L'attaccante nasconde dati del payload all'interno degli embedding utilizzando perturbazioni che preservano il comportamento di recupero a livello superficiale (similarità coseno) eludendo al contempo i tradizionali strumenti di Prevenzione della Perdita di Dati (DLP), che scansionano documenti e traffico ma non il contenuto vettoriale in virgola mobile.

Metodologia

Il documento valuta sei famiglie di tecniche steganografiche su più modelli di embedding (OpenAI text-embedding-3-large, Nomic, EmbeddingGemma, Snowflake Arctic, MXBai) e corpora (PII sintetico, BEIR NFCorpus, sottoinsieme di Quora).

Tecniche di Attacco

1. Attacchi di Perturbazione: Modifica di un singolo vettore di embedding $v$ in $v'$ tramite:
   • Iniezione di Rumore: Aggiunta di rumore gaussiano ($v' = v + n$).
   • Rotazione: Applicazione di una matrice ortogonale ($v' = Rv$).
   • Ridimensionamento: Moltiplicazione per uno scalare ($v' = s \cdot v$).
   • Offset: Aggiunta di un vettore costante ($v' = v + o$).
   • Combinato: Applicazione sequenziale delle suddette.
2. Nascita Architettonica: Frammentazione cross-modello, dove il contenuto sorgente viene suddiviso tra diversi modelli di embedding e archiviato in collezioni separate, evitando completamente la modifica in loco.

Metriche di Valutazione

Lo studio misura:

• Fedeltà: Similarità coseno tra vettori originali e offuscati; preservazione delle matrici di similarità pairwise.
• Rilevabilità: ROC-AUC e Tasso di Vero Positivo (TPR) a Tassi di Falso Positivo (FPR) fissi utilizzando rilevatori di anomalie pronti all'uso (Isolation Forest, One-Class SVM) addestrati su dati puliti.
• Resilienza: Sopravvivenza delle perturbazioni attraverso la quantizzazione del database vettoriale (ad es. int8 scalare di Qdrant, Quantizzazione Prodotto di FAISS).
• Utilità del Recupero: Impatto su recall e Mean Reciprocal Rank (MRR) utilizzando query parafrasate.
• Capacità: Capacità teorica ed empirica del payload in bit per vettore.

Proposta Difensiva: VectorPin

Gli autori propongono VectorPin, un protocollo crittografico di provenienza. Firma una rappresentazione byte canonica del vettore di embedding, l'hash del contenuto sorgente e l'identificativo del modello produttore utilizzando Ed25519. La verifica controlla la firma e gli impegni hash per rilevare qualsiasi modifica post-ingestione.

Risultati Chiave

1. Vulnerabilità delle Attuali Implementazioni

Tutte le tecniche steganografiche testate hanno superato con successo i controlli di sicurezza predefiniti dei principali archivi vettoriali. Gli attacchi hanno preservato la similarità coseno e sono sopravvissuti alla quantizzazione standard (int8 scalare) in Qdrant e FAISS-HNSW.

2. Limitazioni del Rilevamento Statistico

• Tecniche di Spostamento della Distribuzione: Rumore, ridimensionamento e offset sono rilevabili. I rilevatori pronti all'uso (Isolation Forest, One-Class SVM) hanno raggiunto un ROC-AUC $\ge 0,85$ per punti operativi che spostavano in modo significativo la direzione dell'embedding. Tuttavia, questi rilevatori sono fragili di fronte ad attaccanti adattivi; un attaccante con accesso al codice sorgente (white-box) che utilizza la discesa del gradiente proiettato potrebbe ridurre l'AUC del rilevatore a quasi zero preservando la similarità coseno.
• Rotazione Ortogonale: Questa tecnica è l'eccezione critica. Le rotazioni ortogonali di pochi gradi e pochi angoli preservano i prodotti interni pairwise e le distribuzioni marginali per dimensione.
  • In tutte le coppie (modello, corpus) testate, la rotazione con le impostazioni predefinite della libreria ha portato ad AUC del rilevatore vicini al caso casuale ($\approx 0,50$).
  • Questa indistinguibilità vale anche con attaccanti adattivi e attraverso diverse architetture di embedding (Nomic, Gemma, ecc.) e corpora su larga scala (16k+ chunk).
  • Trade-off Capacità-Rilevabilità: Sebbene la rotazione abbia un limite di capacità in forma chiusa di $\lfloor d/2 \rfloor \cdot b$ bit (circa 1,9 KB/vettore per $d=3072$), le rotazioni ad alta capacità (angoli ampi) diventano rilevabili su corpora reali perché spingono i vettori fuori dalla geometria del manifold locale appresa dal rilevatore. Tuttavia, il punto operativo "che preserva il recupero" (angoli piccoli) rimane indistinguibile.

3. Quantizzazione e Resilienza del Backend

• Quantizzazione Scalare (Qdrant int8): Non distrugge i payload nascosti; preserva il canale dei bit inalterato perché l'API di recupero restituisce l'originale float32 non quantizzato.
• Quantizzazione Prodotto (FAISS IVF-PQ): Impone un "pavimento di rumore" che restringe il canale dell'attaccante (riducendo il payload recuperabile del 12–24%), ma questo è un effetto collaterale dell'ottimizzazione della memoria, non un controllo di integrità intenzionale.

4. Efficacia di VectorPin

VectorPin fornisce integrità strutturale. Poiché il protocollo si impegna sulla rappresentazione byte esatta del vettore (vec_hash), qualsiasi modifica post-embedding (inclusi tutti i tecniche di perturbazione e frammentazione) rompe la verifica della firma. Il protocollo distingue tra falsificazione della firma, manomissione del vettore, disallineamento della sorgente e sostituzione del modello.

Significato e Affermazioni

Il documento si posiziona non come una scoperta di primitive crittografiche o steganografiche nuove, ma come una caratterizzazione empirica di un modello di minaccia specifico e una difesa costruttiva per un substrato che attualmente ne è privo.

• Modello di Minaccia: Il documento limita esplicitamente le sue affermazioni all'"Interno con accesso ai backup" (Modello di Minaccia A). Non afferma efficacia universale contro attaccanti con solo accesso in lettura (Modello di Minaccia C) o coloro che possiedono chiavi di firma private.
• Strategia Difensiva: Gli autori sostengono che il rilevamento statistico è un utile primo filtro ma non un controllo di sicurezza "portante" a causa della sua dipendenza dalla copertura del set di addestramento e della vulnerabilità agli attacchi adattivi.
• Contributo Principale: Il contributo primario è VectorPin, un controllo implementabile e standardizzabile che chiude la classe di attacchi dimostrata. Sposta la postura di sicurezza dal fare affidamento sulla "rilevazione di anomalie" alla "verifica della provenienza".
• Contesto Industriale: Il documento traccia paralleli con lacune infrastrutturali storiche (DNS, HTTP/3, bucket S3), suggerendo che l'integrità degli archivi vettoriali è attualmente sottovalutata perché la minaccia non ha ancora generato una crisi. Gli autori mirano a fornire la difesa prima che tali incidenti si verifichino.

Il documento conclude che l'integrità a livello di embedding è un controllo implementabile che deve essere aggiunto alla pipeline RAG, poiché non è una proprietà nativa dei database vettoriali attuali.