技術的概要：アカウント共謀下におけるマルチテナント RAG のプライバシー監査

1. 問題定義

本番環境における検索拡張生成（RAG）サービス（例：Microsoft 365 Copilot、OpenAI Assistants）は、通常、共有インフラが数千の顧客アカウントにサービスを提供するマルチテナントシステムとして運用されています。これらのシステムに対する現在のプライバシー保証は、**テナントごと（per-account）**のレベルで定義されています：各テナントのインデックスに対して、各アカウントのクエリは $(\epsilon_{acc}, \delta_{acc})$-差分プライバシー（DP）を満たすことが約束されています。

本論文は、重要なプライバシー境界の失敗を特定しています：敵対者が $k$ 個のアカウント（連合）を制御し、それらが同じテナントインデックスに対して協調してクエリを送信する場合、このテナントごとの枠組みでは不十分です。標準的な DP 理論は、$k$ 個の独立したクエリがプライバシーを線形的に劣化させる（$k \cdot \epsilon_{acc}$）か、あるいは一定に留まると示唆していますが、著者らはガウスノイズを付与した検索メカニズムにおいて、結合漏洩が $\Theta(\sqrt{k} \cdot \epsilon_{acc})$ の速度で劣化することを示しました。

このギャップは、安全なテナントごとの予算（例：$\epsilon_{acc}=1$）を宣伝するサービスが、連合が形成された場合、実質的に著しく弱い結合保証（例：$k=10$ の場合 $\approx 3.2$）を不用意に露出させる可能性があることを意味します。既存の防御策は漏洩をクエリごとに削減するためにデプロイを変更しますが、根本的なインデックスやモデル重みを明かさずに、変更されていないデプロイの結合漏洩を監査するメカニズムを提供するものは存在しません。

2. 手法

2.1 脅威モデル

著者らは $(\epsilon, \delta, k)$-共謀 DP モデルを形式化しました。敵対者は、単一のテナント内（同テナント共謀）またはテナント間（アクセス制御の失敗に依存するクロステナント/外部共謀）で $k \ge 1$ 個のアカウントを制御します。敵対者は以下を有します：

• 共有事後分布： 対象インデックスに対する統合された確率的信念。
• 適応的協調： アカウント $a_i$ からのクエリは、時間 $t-1$ までの他の全アカウントの完全なトランスクリプトに依存し得ます。
• レート制限の認識： クエリは、個々のテナントごとの制限内に留まりつつ、集計予算を最大化するようにスケジュールされます。
• 共有出力チャネル： すべての検索応答は、敵対者の推定器が実行される前にプールされます。

分析は、クエリごとに独立した新鮮なガウスノイズを仮定し、監査ウィンドウ内では決定論的エンベッダーを仮定しています。

2.2 理論的分析

本論文は、高度な DP 合成理論を RAG 設定に特化させます：

• 上限： $k$ 個の協調アカウントを、$kn$個のクエリ予算を持つ単一の適応的分析者に還元することで、著者らは高度合成定理を適用します。ガウスノイズを付与したスコア公開について、結合プライバシーパラメータ$\epsilon_k$ が以下のようにスケーリングすることを証明します：
  $$\epsilon_k = \Theta\left(\sqrt{k} \cdot \epsilon_{acc}\right)$$
  これは宣伝されているテナントごとの予算よりも厳密に劣りますが、単純な線形グループプライバシー限界よりは優れています。
• 下限： 著者らは、$k$ 個のアカウントの連合がメンバーシップ推論優位性（MIA）$\Omega(\sqrt{k} \cdot \epsilon_{acc})$ を達成する特定の攻撃（1 つのドキュメントで異なる隣接インデックスに対するプローブクエリ）を構築します。
• Rényi 差分プライバシー（RDP）： 分析は RDP とモーメント会計士を用いて洗練され、実用的な監査報告のためのより厳密な数値限界を提供します。

2.3 監査プロトコル

このギャップを検証可能にするため、本論文はインデックスの開示を必要としない変更されていない RAG デプロイ上で動作する4 フェーズの監査プロトコルを設計しました：

1. コミットメント： プロバイダーは、暗号学的ハッシュとメルクル木を用いて、エンベッダー、インデックス内容（ベクトルコミットメントを介して）、ノイズシード、およびポリシーパラメータ（宣言された連合上限 $k_{max}$ を含む）にコミットします。
2. クエリごとのアテステーション： 各クエリについて、プロバイダーは以下のことを証明するゼロ知識（ZK）証明を生成します：
   • 埋め込みはコミットされたエンベッダーを用いて計算されたこと。
   • ガウスノイズはコミットされたシードから導出されたこと。
   • Top-K 選択はノイズ付きスコアに対して行われたこと（ノイズ付与後選択）。
   • 検索が正しいテナントインデックスに限定されたこと。
3. 連合サイズの推定： プロバイダーは、クエリの相関（公開台帳内の類似クエリのクラスタリング）に基づいた連合サイズの推定値（$\hat{k}$）を提出し、これに ZK 証明を伴います。
4. 検証： 第三者の検証者は証明と台帳の一貫性をチェックします。推定された連合サイズがポリシー上限（$k_{max}$）内にある場合、検証者は定量的な判決 (PASS, $\epsilon_{audit}$) を発行します。ここで $\epsilon_{audit}$ は計算された結合漏洩限界です。

3. 主要な貢献

1. 脅威モデルの特定： 本論文は、RAG におけるテナントごとの DP 保証の構造的失敗として、同インデックス上のマルチアカウント共謀を定義し、ガウスノイズを付与した検索における $\Theta(\sqrt{k})$ の劣化率を確立しました。
2. 反証可能な実証的予測： 著者らは、メンバーシップ推論攻撃（MIA）の曲線下面積（AUC）に対する具体的な予測を導出しました：$AUC_k = \frac{1}{2} + \Theta(\sqrt{k} \cdot \epsilon_{acc})$。理論を検証するために、2 つの反証ゲート（傾きと緊密性）にコミットしています。
3. 検証者が実行可能な監査プロトコル： 変更されていない RAG デプロイにおける結合漏洩を監査する最初のプロトコルです。汎用的な暗号プリミティブ（メルクル台帳、ZK 証明）と RAG 固有のプリミティブ（エンベッダーコミットメント、ノイズ付与後選択のアテステーション）の組み合わせを用いて、インデックスやモデル重みを露出させることなく、定量的な $(PASS, \epsilon_{audit})$ 判決を発行します。
4. 数値的プライバシー追跡： RDP とモーメント会計士の統合により、プライバシー損失の正確な数値評価が可能となり、中程度の連合サイズに対して閉形式近似よりも厳密な限界を提供します。

4. 実験結果

著者らは、合成マルチテナント FAISS ベースのハーネスと訓練済みエンベッダー（BAAI/bge-small-en-v1.5）を用いて、理論的予測を検証しました。

• スケーリング検証： 連合サイズ $k \in \{1, 2, 5, 10, 20\}$ を用いた実験は、予測された $\sqrt{k}$ スケーリングを確認しました。例えば、$\epsilon_{acc}=4$ の場合、実証的な MIA 優位性は 0.070（$k=1$）から 0.281（$k=20$）に成長し、予測された成長因子 $\sqrt{20} \approx 4.5$ とよく一致しました。
• Top-K 後処理： 出力がバイナリの「Top-K ヒット」インジケーターに制限された場合でも、$\sqrt{k}$ の傾向は持続しましたが、絶対的な優位性は定数因子（生スコア攻撃より約 30% 低い）だけ減少しました。
• 堅牢性チェック：
  • 代替敵対者： ベイズ対数尤度比を使用するバリエーションや多目標分割を分散させるバリエーションは、基準となる $\sqrt{k}$ レートを超えませんでした。分散化は実際には優位性を低下させました。
  • エンベッダー転送： このレートは、訓練された 384 次元エンベッダーでも維持され、優位性は実現されたスコアギャップ（$\Delta$）に比例してスケーリングしました。
  • 外部対同テナント： アクセス制御の失敗（M4）を仮定すると、外部攻撃者は同テナント連合と統計的に区別できない漏洩率を達成しました。
• 本番規模： $10^6$ ドキュメントの HNSW インデックスでのテストは、ユーザーが観測可能な Top-K ヒットは規模においてほぼゼロの漏洩を提供する一方で、監査人が観測可能なプールされたノイズ付きスコア（監査プロトコルを介してアクセス可能）は依然として $\sqrt{k}$ 漏洩傾向を示すことを確認しました。

5. 意義と主張

本論文は、展開された仕様ではなく、技術的基盤として位置づけられています。その主な意義は以下の点にあります：

• 構造的脆弱性の暴露： マルチアカウントの悪用（例：ソックパペット）は単なる詐欺の問題ではなく、現在のテナントごとの DP 保証がカバーしていない根本的なプライバシー境界の失敗であると主張します。
• 第三者監査の可能化： このプロトコルは、プロバイダーに専有データやモデルの開示を要求することなく、規制当局や第三者がプライバシー主張（EU AI 法や DSA に基づくなど）を検証するメカニズムを提供します。
• $\epsilon_{audit}$ の運用化： 規制開示単位をテナントごとの予算（$\epsilon_{acc}$）から、協調攻撃の現実を反映する結合監査限界（$\epsilon_{audit}$）へ移行することを提案します。

著者らは明示的に、選択されたドキュメントに条件付けられた LLM 出力（生成チャネル）のプライバシーと、埋め込み逆転攻撃を除外し、これらを別の監査述語として扱っています。また、プロトコルの有効性は、プロバイダーが意味のある連合上限（$k_{max}$）を宣言することに依存しており、連合サイズ推定器は敵対者が意図的にクエリを分散させることで回避され得ると認めています。本論文は、このギャップが構造的であり、完全に埋めるにはアーキテクチャの変更が必要である一方で、提案された監査プロトコルが本番環境の RAG サービスにおける透明性に向けた検証可能かつ即効性のある一歩を提供すると結論付けています。