Riepilogo Tecnico: Audit della Privacy in RAG Multi-Tenant in Caso di Collusione tra Account

1. Enunciato del Problema

I servizi di produzione di Generazione Aumentata dal Recupero (RAG) (ad esempio, Microsoft 365 Copilot, OpenAI Assistants) operano tipicamente come sistemi multi-tenant in cui un'infrastruttura condivisa serve migliaia di account clienti. Le attuali garanzie di privacy per questi sistemi sono formulate a livello per-account: si promette che le query di ogni account soddisfino la privacy differenziale (DP) $(\epsilon_{acc}, \delta_{acc})$ rispetto all'indice del tenant.

Il documento identifica una critica mancata del confine della privacy: questa formulazione per-account è insufficiente quando un avversario controlla $k$ account (una coalizione) che coordinano le query sullo stesso indice del tenant. Sebbene la teoria DP standard suggerisca che $k$ query indipendenti possano degradare la privacy linearmente ($k \cdot \epsilon_{acc}$) o rimanere stabili, gli autori dimostrano che per i meccanismi di recupero con rumore gaussiano, la perdita congiunta degrada a un tasso di $\Theta(\sqrt{k} \cdot \epsilon_{acc})$.

Questo divario implica che un servizio che pubblicizza un budget sicuro per-account (ad esempio, $\epsilon_{acc}=1$) possa involontariamente esporre una garanzia congiunta significativamente più debole (ad esempio, $\approx 3.2$ per $k=10$) se si forma una coalizione. Le difese esistenti modificano il deployment per ridurre la perdita per query, ma nessuna fornisce un meccanismo per auditare la perdita congiunta di un deployment non modificato senza rivelare l'indice sottostante o i pesi del modello.

2. Metodologia

2.1 Modello di Minaccia

Gli autori formalizzano un modello DP di collusione $(\epsilon, \delta, k)$. L'avversario controlla $k \ge 1$ account all'interno di un singolo tenant (collusione intra-tenant) o tra tenant (collusione inter-tenant/esterna, condizionata a un fallimento del controllo degli accessi). L'avversario possiede:

• Posteriore condiviso: Una credenza probabilistica unificata sull'indice target.
• Coordinamento adattivo: Le query dall'account $a_i$ possono dipendere dalla trascrizione completa di tutti gli altri account fino al tempo $t-1$.
• Consapevolezza dei limiti di velocità: Le query sono programmate per massimizzare il budget aggregato rimanendo entro i limiti individuali per-account.
• Canale di output condiviso: Tutte le risposte di recupero sono raggruppate prima dell'esecuzione dello stimatore dell'avversario.

L'analisi assume rumore gaussiano fresco indipendente per query e un embedder deterministico all'interno della finestra di audit.

2.2 Analisi Teorica

Il documento specializza la teoria avanzata della composizione DP per l'ambiente RAG:

• Limite Superiore: Riducendo $k$ account coordinati a un singolo analista adattivo con un budget di $kn$ query, gli autori applicano il Teorema di Composizione Avanzata. Per il rilascio di punteggi con rumore gaussiano, dimostrano che il parametro di privacy congiunto $\epsilon_k$ scala come:
  $$\epsilon_k = \Theta\left(\sqrt{k} \cdot \epsilon_{acc}\right)$$
  Questo è strettamente peggiore del budget per-account pubblicizzato, ma migliore del limite di privacy di gruppo lineare ingenuo.
• Limite Inferiore: Gli autori costruiscono un attacco specifico (una query di sondaggio contro indici adiacenti che differiscono per un documento) in cui una coalizione di $k$ account ottiene un vantaggio di inferenza di appartenenza (MIA) di $\Omega(\sqrt{k} \cdot \epsilon_{acc})$.
• DP di Rényi (RDP): L'analisi è raffinata utilizzando RDP e il contatore dei momenti per fornire limiti numerici più stretti per la relazione pratica di audit.

2.3 Protocollo di Audit

Per rendere verificabile questo divario, il documento progetta un protocollo di audit a quattro fasi che opera su deployment RAG non modificati senza richiedere la divulgazione dell'indice:

1. Impegno: Il provider si impegna sull'embedder, sul contenuto dell'indice (tramite impegni vettoriali), sul seed del rumore e sui parametri della politica (incluso un limite massimo di coalizione dichiarato $k_{max}$) utilizzando hash crittografici e alberi di Merkle.
2. Attestazione per Query: Per ogni query, il provider genera una prova a conoscenza zero (ZK) che attesta che:
   • L'embedding è stato calcolato utilizzando l'embedder impegnato.
   • Il rumore gaussiano è stato derivato dal seed impegnato.
   • La selezione Top-K è stata eseguita sui punteggi rumorosi (rumore-poi-selezione).
   • Il recupero è stato confinato all'indice del tenant corretto.
3. Stima della Dimensione della Coalizione: Il provider sottomette una stima della dimensione della coalizione ($\hat{k}$) basata sulla correlazione delle query (clustering di query simili nel registro pubblico), accompagnata da una prova ZK.
4. Verifica: Un verificatore di terze parti controlla le prove e la coerenza del registro. Se la dimensione stimata della coalizione è entro il limite della politica ($k_{max}$), il verificatore emette un verdetto quantitativo: (PASS, $\epsilon_{audit}$), dove $\epsilon_{audit}$ è il limite di perdita congiunta calcolato.

3. Contributi Chiave

1. Identificazione del Modello di Minaccia: Il documento definisce la collusione multi-account sullo stesso indice come un fallimento strutturale delle garanzie DP per-account in RAG, stabilendo il tasso di degradazione $\Theta(\sqrt{k})$ per il recupero con rumore gaussiano.
2. Previsioni Empiriche Falsificabili: Gli autori derivano una previsione specifica per l'Area Under the Curve (AUC) dell'Attacco di Inferenza di Appartenenza (MIA): $AUC_k = \frac{1}{2} + \Theta(\sqrt{k} \cdot \epsilon_{acc})$. Si impegnano in due gate di falsificazione (pendenza e strettezza) per validare la teoria.
3. Protocollo di Audit Esegubile dal Verificatore: Il primo protocollo per auditare la perdita congiunta in deployment RAG non modificati. Utilizza una combinazione di primitive crittografiche generiche (registri Merkle, prove ZK) e primitive specifiche per RAG (impegno dell'embedder, attestazione rumore-poi-selezione) per emettere un verdetto quantitativo $(PASS, \epsilon_{audit})$ senza esporre l'indice o i pesi del modello.
4. Tracciamento Numerico della Privacy: L'integrazione di RDP e del contatore dei momenti consente una valutazione numerica esatta della perdita di privacy, fornendo limiti più stretti rispetto alle approssimazioni in forma chiusa per dimensioni di coalizione moderate.

4. Risultati Sperimentali

Gli autori hanno convalidato le loro previsioni teoriche utilizzando un ambiente di prova multi-tenant sintetico basato su FAISS e un embedder addestrato (BAAI/bge-small-en-v1.5).

• Validazione della Scalabilità: Esperimenti con dimensioni di coalizione $k \in \{1, 2, 5, 10, 20\}$ hanno confermato la scalabilità $\sqrt{k}$ prevista. Ad esempio, a $\epsilon_{acc}=4$, il vantaggio MIA empirico è cresciuto da 0.070 ($k=1$) a 0.281 ($k=20$), corrispondendo strettamente al fattore di crescita previsto di $\sqrt{20} \approx 4.5$.
• Post-Processing Top-K: La tendenza $\sqrt{k}$ è stata osservata persistere anche quando l'output era limitato a un indicatore binario "Hit Top-K", sebbene il vantaggio assoluto fosse ridotto di un fattore costante (circa il 30% inferiore rispetto all'attacco sui punteggi grezzi).
• Controlli di Robustezza:
  • Avversari Alternativi: Varianti che utilizzavano rapporti di verosimiglianza logaritmica Bayesiana o divisione multi-target diversificata non hanno superato il tasso di base $\sqrt{k}$; la diversificazione ha effettivamente degradato il vantaggio.
  • Trasferimento Embedder: Il tasso è rimasto valido per un embedder addestrato a 384 dimensioni, con il vantaggio che scala linearmente con il divario di punteggio realizzato ($\Delta$).
  • Esterno vs Stesso Tenant: Sotto l'ipotesi di fallimento del controllo degli accessi (M4), gli attaccanti esterni hanno ottenuto tassi di perdita statisticamente indistinguibili dalle coalizioni intra-tenant.
• Scala di Produzione: Test su un indice HNSW di $10^6$ documenti hanno confermato che, sebbene i hit Top-K osservabili dall'utente offrano una perdita vicina allo zero su larga scala, i punteggi rumorosi raggruppati osservabili dall'auditor (accessibili tramite il protocollo di audit) mostrano ancora la tendenza di perdita $\sqrt{k}$.

5. Significato e Affermazioni

Il documento si posiziona come fondamento tecnico piuttosto che come specifica implementata. Il suo significato principale risiede in:

• Esposizione della Vulnerabilità Strutturale: Sostiene che l'abuso multi-account (ad esempio, pupazzi di stoffa) non è solo un problema di frode, ma un fallimento fondamentale del confine della privacy che le attuali garanzie DP per-account non coprono.
• Abilitazione di Audit di Terze Parti: Il protocollo fornisce un meccanismo per regolatori e terze parti per verificare le affermazioni sulla privacy (ad esempio, sotto l'AI Act o il DSA dell'UE) senza richiedere al provider di divulgare dati o modelli proprietari.
• Operazionalizzazione di $\epsilon_{audit}$: Propone di spostare l'unità di divulgazione normativa dal budget per-account ($\epsilon_{acc}$) al limite di audit congiunto ($\epsilon_{audit}$), che riflette la realtà degli attacchi coordinati.

Gli autori escludono esplicitamente la privacy del canale di generazione (output LLM condizionato ai documenti selezionati) e gli attacchi di inversione dell'embedding, trattandoli come predicati di audit separati. Riconoscono che l'efficacia del protocollo dipende dal provider che dichiara un limite di coalizione significativo ($k_{max}$) e che lo stimatore della dimensione della coalizione può essere eluso da avversari che diversificano deliberatamente le loro query. Il documento conclude che, sebbene il divario sia strutturale e richieda cambiamenti architetturali per essere chiuso completamente, il protocollo di audit proposto offre un passo verificabile e immediato verso la trasparenza nei servizi RAG di produzione.