Hybrid privacy-aware semantic search: SVD-truncated document geometry and CKKS-encrypted query reranking under a restricted threat model

Problematica

La ricerca semantica moderna e la Generative Augmented Retrieval (RAG) si basano su embedding vettoriali densi. Tuttavia, ricerche recenti dimostrano che questi embedding possono essere invertiti nel loro testo sorgente con un'alta fedeltà (ad esempio, Vec2Text raggiunge circa il 97% di BLEU). Ciò crea una vulnerabilità critica: se un database vettoriale viene compromesso, i documenti sottostanti sono effettivamente esposti.

Le difese esistenti si collocano in due estremi, entrambi inadatti per l'implementazione su scala industriale:

1. Crittografia Omomorfa Completa (FHE): Crittograficamente solida ma computazionalmente proibitiva per la ricerca su milioni di documenti.
2. Differential Privacy (DP): L'aggiunta di rumore degrada significativamente la qualità del ranking prima di fornire una protezione significativa della privacy.

Il paper affronta la necessità di una via di mezzo che bilanci privacy, accuratezza del recupero e latenza alla scala di $10^6$ documenti.

Metodologia

Gli autori propongono un'architettura ibrida asimmetrica che tratta diversamente la collezione statica di documenti e la query dinamica dell'utente. Il sistema opera sotto un modello di minaccia ristretto: un client fidato, un server onesto-ma-curioso (honest-but-curious) e un attaccante non adattivo (che utilizza strumenti di inversione standard senza previa conoscenza della rotazione segreta).

1. Protezione dei Documenti (Lato Statico)

I vettori dei documenti sono protetti tramite una trasformazione geometrica piuttosto che tramite crittografia:

• Troncamento SVD: Il corpus centrale dei documenti viene proiettato su un sottospazio a dimensione inferiore ($k = d/2$) utilizzando la Decomposizione ai Valori Singolari (SVD). Questo troncamento è scelto per garantire un errore di ricostruzione relativo ($\sigma_{rec}$) di almeno 0,10, fungendo da proxy per la perdita di informazione.
• Rotazione Segreta: I vettori troncati vengono moltiplicati per una matrice ortogonale casuale di Haar $R$. Questa rotazione nasconde l'orientamento della base agli attaccanti che non possiedono $R$.
• Product Quantization (PQ) Pubblica: Un indice PQ (codebook + codici) viene addestrato nello spazio ruotato per consentire al client di eseguire il filtraggio locale dei candidati (Fase 1) senza inviare query al server. Gli autori notano esplicitamente che questo artefatto PQ è una "vista compressa e con perdita" che espone la struttura di vicinato ed è trattato come un canale esposto.

2. Protezione della Query (Lato Dinamico)

La query è protetta crittograficamente:

• Crittografia CKKS: Il client cripta il vettore della query ruotato utilizzando lo schema di crittografia omomorfa CKKS.
• Reranking Ciphertext-Plaintext (ct-pt): Il server esegue il reranking dei candidati selezionati (ad esempio, i top 40) calcolando il prodotto scalare tra la query criptata e i vettori dei documenti ruotati in chiaro.
• Ottimizzazione: Evitando la moltiplicazione ciphertext-ciphertext (ct-ct), il sistema elimina la necessità di costose fasi di rilinearizzazione. Ciò consente al server di calcolare i punteggi di similarità con una latenza sub-secondaria.

3. Selezione dei Parametri

Invece di un tuning manuale, gli autori impiegano un micro-benchmark offline riproducibile su una griglia discreta di parametri CKKS (grado del modulo polinomiale, catena del modulo del coefficiente, scala) per selezionare la configurazione che minimizza la latenza pur soddisfacendo le tabelle di sicurezza (tc128) e le tolleranze di accuratezza.

Contributi Chiave

Teorici:

• Lemma 1: Il paper dimostra un limite inferiore stretto sull'errore di ricostruzione $L_2$ per qualsiasi decoder la cui immagine sia vincolata al sottospazio troncato. Questo quantifica formalmente l'informazione persa con la proiezione, sebbene gli autori chiariscano che si tratta di un limite di proiezione, non di un teorema generale di sicurezza dell'inversione.
• Ipotesi Empirica 1: Formalizzano la relazione tra il proxy dell'errore di ricostruzione ($\sigma_{rec}$) e il punteggio BLEU degli attacchi di inversione standard, validandola numericamente.

Empirici e Ingegneristici:

• Valutazione della Scala: Esperimenti condotti su un corpus di 1 milione di documenti (Wikipedia russa) utilizzando cinque encoder testuali contemporanei (inclusi multilingual-E5 e BGE-M3).
• Latenza: Il sistema raggiunge una latenza di query end-to-end agevolmente inferiore a 1 secondo (p95 $\approx$ 370 ms) per $10^6$ documenti.
• Ottimizzazione CKKS: La configurazione selezionata ($N_{poly}=8192$, specifica catena di moduli) produce un incremento di velocità di 1,7$\times$ rispetto alle impostazioni standard di TenSEAL, mantenendo lo stesso limite di sicurezza.
• Effetto di Denoising: Per gli encoder addestrati al recupero con dimensioni $d \ge 768$, il troncamento SVD agisce come un denoiser lineare, migliorando leggermente le metriche di ranking (Acc@1, NDCG) rispetto al baseline originale, filtrando il rumore nelle direzioni singolari residue.

Risultati e Analisi della Sicurezza

Il paper testa rigorosamente il sistema sia contro il modello di minaccia previsto che contro avversari più forti:

• Contro Attaccanti Non Adattivi: Sotto il modello ristretto (rotazione $R$ ignota, Vec2Text standard), la rotazione segreta riduce i punteggi BLEU al livello del rumore ($\approx 0,007$), impedendo efficacementamente il recupero del testo.
• Contro Attaccanti con Conoscenza del Testo in Chiaro (Known-Plaintext): Se un attaccante possiede circa $k$ (la dimensione mantenuta) coppie di (testo originale, vettore ruotato), può recuperare la rotazione segreta $R$ usando la Procrustes Ortogonale. Una volta noto $R$, la protezione si riduce al solo troncamento SVD.
• Leakage del Corpus di Riferimento: Se la collezione protetta si sovrappone a un corpus pubblico o trapelato, un attaccante può usare la rotazione recuperata per eseguire lookup esatti di paragrafi.
• Leakage degli Artefatti PQ: I codici PQ pubblici preservano circa il 95% della similarità del coseno rispetto ai vettori ruotati e mantengono la maggior parte dei vicini top-10, confermando che l'artefatto PQ è un canale esposto che rivela informazioni strutturali.
• Dipendenza dall'Encoder: Il beneficio del "denoising" è specifico per gli encoder addestrati al recupero. I modelli compatti (es. e5-small) o i modelli distillati per il parafrasismo soffrono una degradazione dell'accuratezza con il troncamento $k=d/2$.

Significato e Rivendicazioni

Il paper si pone come uno studio scientifico piuttosto che come un prodotto deployabile o un report di ingegneria dei sistemi. La sua importanza risiede in:

1. Definizione dei Confini: Delimita esplicitamente il modello di minaccia. Afferma che la riservatezza della query è crittografica (tramite CKKS), ma la protezione dei documenti è un'offuscamento empirico (tramite SVD + Rotazione Segreta). Non afferma che lo strato dei documenti sia crittograficamente sicuro contro avversari adattivi o con conoscenza del testo in chiaro.
2. Quantificazione dei Trade-off: Fornisce un punto operativo misurato dove privacy, accuratezza e latenza sono bilanciate. Dimostra che, per specifici tipi di encoder, la riduzione della privacy tramite troncamento può coincidentalmente migliorare la qualità del recupero.
3. Riproducibilità: Offre un metodo deterministico per la selezione dei parametri crittografici e rilascia tutti gli script e le configurazioni.

Limitazioni Riconosciute dagli Autori:

• La privacy dei documenti non è crittografica; fallisce contro attacchi adattivi o con conoscenza del testo in chiaro.
• I pattern di accesso (quali documenti vengono sottoposti a reranking) e i codici PQ sono esposti.
• Il sistema dipende da una specifica classe di encoder (addestrati al recupero, $d \ge 768$) per mantenere l'accuratezza.
• La principale questione aperta rimane la robustezza contro un decoder appreso end-to-end addestrato specificamente sullo spazio ruotato, che non è stato pienamente valutato in questo studio.

In conclusione, il paper presenta un approccio ibrido pratico e ad alte prestazioni per la ricerca semantica che sposta l'onere della privacy sul lato della query (crittografico) e sul lato del documento (offuscamento geometrico), quantificando in modo trasparente i modi di fallimento dello strato di offuscamento geometrico.