💻 computer science

Hybrid privacy-aware semantic search: SVD-truncated document geometry and CKKS-encrypted query reranking under a restricted threat model

Dit artikel stelt een hybride privacybewust semantisch zoekraamwerk voor dat SVD-getrunceerde geometrische obscuratie voor statische documentvectoren combineert met CKKS homomorfe encryptie voor dynamische query-reranking, waarbij een latentie van minder dan een seconde en robuuste bescherming tegen embedding-inversieaanvallen wordt bereikt terwijl de hoge kwaliteit van de rangschikking behouden blijft onder een gedefinieerd dreigingsmodel.

Oorspronkelijke auteurs: Sergey Kurilenko

Gepubliceerd 2026-06-26

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Sergey Kurilenko

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een enorme bibliotheek met geheime documenten hebt en je wilt mensen de mogelijkheid geven om erin te zoeken zonder dat de bibliothecaris (de server) ooit de werkelijke tekst kan zien of precies weet waar je naar op zoek bent.

Dit artikel stelt een slimme, tweeledige truc voor om dit probleem op te lossen, maar is zeer eerlijk over waar deze truc wel en niet werkt. Beschouw het als een "hybride" beveiligingssysteem dat geometrie (vormen en hoeken) mengt met magische wiskunde (encryptie).

Hier is de onderverdeling in eenvoudige termen:

1. Het Probleem: De "Lekkende" Bibliotheek

Moderne zoekmachines zetten tekst om in "embeddings" — denk aan deze als unieke vingerafdrukken of schaduwen die door de tekst worden geworpen.

Het Risico: Onderzoekers hebben ontdekt dat als iemand deze vingerafdrukken steelt, ze de oorspronkelijke geheime tekst vaak met angstwekkende nauwkeurigheid kunnen reconstrueren. Het is alsof je een schaduw steelt en vervolgens de 3D-objecten kunt herbouwen die de schaduw wierp.
De Oude Oplossingen:
- Optie A (Volledige Encryptie): Elk document in een onbreekbare kluis plaatsen. Probleem: Het is zo traag dat het zoeken in een miljoen documenten uren zou duren.
- Optie B (Ruis Toevoegen): De vingerafdrukken vervagen met statische ruis. Probleem: De vervaging is zo zwaar dat de zoekmachine de juiste antwoorden niet meer kan vinden.

2. De Nieuwe Oplossing: Een Tweestapsdans

De auteurs stellen een middenweg voor die de documenten (de bibliotheek) en de zoekopdrachten (het verzoek van de gebruiker) verschillend behandelt.

Stap A: De Documenten Beschermen (De "Geometrische" Truc)

De documenten worden op de server opgeslagen, maar ze worden aangepast voordat ze daar terechtkomen.

Compressie (SVD Truncation): Stel je een foto met een hoge resolutie voor. Het systeem gooit de "fijne details" (de ruis) weg en houdt alleen de hoofdvormen over. Dit verkleint de bestandsgrootte en, cruciaal, het verwijdert een deel van de informatie die nodig is om de oorspronkelijke tekst te reconstrueren.
- De Kanttekening: Dit is geen magie; het is gewoon datacompressie. Als je te veel weggooit, wordt de zoekopdracht slechter. Als je te weinig weggooit, is de tekst nog steeds herstelbaar.
De Geheime Draai (Rotatie): Na het comprimeren van de gegevens, draait het systeem de hele bibliotheek op een geheime as. Stel je voor dat je een kaart van een stad neemt en deze 90 graden draait zodat "Noord" nu "Oost" is.
- De Truc: De server ziet de gedraaide kaart, maar weet de hoek van de draai niet. Voor een buitenstaander ziet de kaart eruit als wartaal.
- De Limiet: Als een aanvaller de originele tekst van zelfs maar een paar documenten kent (een "known-plaintext" aanval), kan hij de geheime draaihoek wiskundig berekenen en de rotatie ongedaan maken. Dit is geen onbreekbare cryptografie; het is een puzzel die makkelijker wordt als je een paar aanwijzingen hebt.

Stap B: De Zoekopdracht Beschermen (De "Magische" Truc)

Wanneer een gebruiker een zoekopdracht uitvoert, wordt de vraag niet in platte tekst verzonden.

Ze gebruiken CKKS-encryptie, een vorm van "magische wiskunde" die de server in staat stelt om berekeningen op de vraag uit te voeren zonder de vraag zelf te zien.
De server vergelijkt de versleutelde vraag met de gedraaide documenten en geeft een lijst met scores terug, terwijl de server "blind" blijft voor wat de gebruiker heeft gevraagd of wat de scores eigenlijk betekenen.
Resultaat: De server volgt de regels op, maar leert niets over de specifieke zoekopdracht. Dit deel is wiskundig beveiligd.

3. De Resultaten: Wat Werkt en Wat Niet

De auteurs hebben dit getest op een bibliotheek van één miljoen documenten.

Snelheid: Het is snel! Het hele proces duurt minder dan een seconde.
Nauwkeurigheid: Voor de meeste moderne zoekmodellen zorgde het weggooien van de helft van de gegevens (de compressiestap) zelfs voor een verbetering van de zoekresultaten. Het fungeerde als een "ruisonderdrukker" die de rommelige details filterde en de heldere signalen overliet.
Realiteitscheck Beveiliging:
- De Zoekopdracht: De server kan niet zien waarnaar je hebt gezocht. (Veilig).
- De Documenten: De server kan de gecomprimeerde, gedraaide gegevens zien. Als een aanvaller een paar voorbeelden heeft ("Originele Tekst vs. Gedraaide Vingerafdruk"), kan hij de geheime draai terugberekenen en de rest van de bibliotheek lezen.
- De "Publieke" Aanwijzingen: Het systeem gebruikt een publieke "index" (zoals een catalogus) om de zoekopdracht te versnellen. De paper geeft toe dat deze index enigszins informatie lekt over welke documenten aan elkaar gerelateerd zijn.

4. De Kern van de Zaak

Dit artikel beweert geen onbreekbare vesting te hebben gebouwd. In plaats daarvan biedt het een praktische afweging:

Voor de Gebruiker: Je krijgt snelle, privé zoekopdrachten waarbij de server niet in je gedachten kan kijken.
Voor de Documenten: Je krijgt een laag bescherming die het een buitenstaander erg moeilijk maakt om je geheimen te lezen, maar het is niet veilig tegen een vastberaden aanvaller die over een paar "cheat codes" (bekende voorbeelden van je data) beschikt.

De boodschap van de auteurs is: "We hebben een ideaal punt gevonden waar de zoekopdracht snel en nauwkeurig is, en de zoekopdracht cryptografisch veilig is. Echter, de bescherming van de documenten berust op een 'geheime draai', wat een methode van verhulling (obfuscatie) is, en geen magisch schild. Als je een paar gelekte voorbeelden van je data hebt, faalt die truc."

Ze zijn heel duidelijk: De privacy van de zoekopdracht is cryptografisch (onbreekbaar), maar de privacy van de documenten is empirisch (het werkt totdat iemand het patroon ontcijfert).

Probleemstelling

Moderne semantische zoekopdrachten en Retrieval-Augmented Generation (RAG) vertrouwen op dichte vector-embeddings. Recent onderzoek toont echter aan dat deze embeddings met een hoge getrouwheid kunnen worden terugveranderd naar de brontekst (bijv. Vec2Text bereikt ~97% BLEU). Dit creëert een kritieke kwetsbaarheid: als een vectordatabase lekt, is de onderliggende documentatie effectief gecompromitteerd.

Bestaande verdedigingsmechanismen vallen uiteen in twee extremen, die beide ongeschikt zijn voor industriële schaalvergroting:

Fully Homomorphic Encryption (FHE): Cryptografisch solide, maar computationeel te kostbaar voor het doorzoeken van miljoenen documenten.
Differential Privacy (DP): Het toevoegen van ruis verslechtert de rangschikkingskwaliteit aanzienlijk voordat er sprake is van zinvolle privacybescherming.

Dit artikel adresseert de behoefte aan een middenweg die een balans vindt tussen privacy, nauwkeurigheid van retrieval en latentie op de schaal van $10^6$ documenten.

Methodologie

De auteurs stellen een asymmetrische hybride architectuur voor die de statische documentencollectie en de dynamische gebruikersvraag verschillend behandelt. Het systeem opereert onder een beperkt dreigingsmodel: een vertrouwde client, een eerlijke-maar-nieuwsgierige (honest-but-curious) server, en een niet-adaptieve aanvaller (die gebruikmaakt van standaard tools voor inversie zonder voorafgaande kennis van de geheime rotatie).

1. Documentbescherming (Statische zijde)

De documentvectoren worden beschermd via een geometrische transformatie in plaats van encryptie:

SVD-truncatie: De gecentreerde documentencorpus wordt geprojecteerd op een lager-dimensionale subspace ( $k = d/2$ ) met behulp van Singular Value Decomposition (SVD). Deze truncatie is gekozen om een relatieve reconstructiefout ( $\sigma_{rec}$ ) van ten minste 0.10 te garanderen, wat dient als een proxy voor informatieverlies.
Geheime Rotatie: De getrunceerde vectoren worden vermenigvuldigd met een geheime, Haar-uniform willekeurige orthogonale matrix $R$ . Deze rotatie verbergt de oriëntatie van de basis voor aanvallers die $R$ niet bezitten.
Publieke Product Quantization (PQ): Een PQ-index (codeboek + codes) wordt getraind in de geroteerde ruimte om de client in staat te stellen lokaal kandidaat-filtering uit te voeren (Fase 1) zonder queries naar de server te sturen. De auteurs merken expliciet op dat dit PQ-artefact een "verlieslatend gecomprimeerd beeld" is dat de nabijheidsstructuur lekt en wordt behandeld als een blootgesteld kanaal.

2. Querybescherming (Dynamische zijde)

De query wordt cryptografisch beschermd:

CKKS-encryptie: De client versleutelt de geroteerde queryvector met behulp van het CKKS homomorfe encryptieschema.
Ciphertext-Plaintext (ct-pt) Reranking: De server voert de herrangschikking (reranking) uit van de kortgelijste kandidaten (bijv. de top 40) door de inproduct te berekenen tussen de versleutelde query en de plaintext geroteerde documentvectoren.
Optimalisatie: Door het vermijden van ciphertext-ciphertext (ct-ct) vermenigvuldigingen, elimineert het systeem de noodzaak voor kostbare relinearizatiestappen. Hierdoor kan de server gelijktijdigheidsscores berekenen met een latentie van minder dan een seconde.

3. Parameterselectie

In plaats van handmatige afstemming, maken de auteurs gebruik van een reproduceerbare offline micro-benchmark over een discrete grid van CKKS-parameters (polynoom modulus graad, coefficient modulus keten, schaal) om de configuratie te selecteren die de latentie minimaliseert terwijl aan de beveiligingstabellen (tc128) en nauwkeurigheidstoleranties wordt voldaan.

Belangrijkste Bijdragen

Theoretisch:

Lemma 1: Het artikel bewijst een strikte ondergrens voor de $L_2$ reconstructiefout voor elke decoder wiens afbeelding beperkt is tot de getrunceerde subspace. Dit kwantificeert formeel de verloren informatie door de projectie, hoewel de auteurs verduidelijken dat dit een projectiebound is, en geen algemene inversie-beveiligingstelling.
Empirische Hypothese 1: Ze formaliseren de relatie tussen de reconstructiefout-proxy ( $\sigma_{rec}$ ) en de BLEU-score van standaard inversie-aanvallen, en valideren dit numeriek.

Empirisch & Engineering:

Schaalevaluatie: Experimenten uitgevoerd op een corpus van 1 miljoen documenten (Russische Wikipedia) met vijf hedendaagse tekstencoders (inclusclusief meertalige-E5 en BGE-M3).
Latentie: Het systeem bereikt een end-to-end query-latentie ruim onder de 1 seconde (p95 $\approx$ 370 ms) voor $10^6$ documenten.
CKKS-optimalisatie: De gekozen configuratie ( $N_{poly}=8192$ , specifieke modulus keten) levert een 1.7 $\times$ versnelling op ten opzichte van standaard TenSEAL-instellingen, terwijl dezelfde beveiligingsgrens behouden blijft.
Denoising-effect: Voor retrieval-getrainde encoders met dimensies $d \ge 768$ , fungeert de SVD-truncatie als een lineaire denoiser, wat de rangschikkingsmetrieken (Acc@1, NDCG) licht verbetert ten opzichte van de rauwe baseline door ruis in de resterende singuliere richtingen weg te filteren.

Resultaten en Beveiligingsanalyse

Het artikel test het systeem rigoureus tegen het beoogde dreigingsmodel en sterkere tegenstanders:

Tegen niet-adaptieve aanvallers: Onder het beperkte model (onbekende $R$ , standaard Vec2Text), reduceert de geheime rotatie de BLEU-scores tot de ruisvloer ( $\approx 0.007$ ), wat tekstherstel effectief voorkomt.
Tegen known-plaintext aanvallers: Als een aanvaller ongeveer $k$ (de behouden dimensie) paren bezit van (originele tekst, geroteerde vector), kan de aanvaller de geheime rotatie $R$ herstellen met behulp van Orthogonal Procrustes. Zodra $R$ bekend is, reduceert de bescherming tot enkel de SVD-truncatie.
Referentie-corpus lekkage: Als de beschermde collectie overlap vertoont met een publiek of gelekt referentiecorpus, kan de aanvaller de herstelde rotatie gebruiken om exacte paragraaf-opzoekopdrachten uit te voeren.
PQ-artefact lekkage: De publieke PQ-codes behouden $\approx 95\%$ cosine gelijkenis met de geroteerde vectoren en behouden de meeste top-10 buren, wat bevestigt dat het PQ-artefact een blootgesteld kanaal is dat structurele informatie lekt.
Encoder Afhankelijkheid: Het "denoising" voordeel is specifief voor retrieval-getrainde encoders. Compacte modellen (bijv. e5-small) of paraphrase-distilled modellen lijden onder nauwkeurigheidsdegradatie bij $k=d/2$ truncatie.

Betekenis en Claims

Het artikel positioneert zich als een wetenschappelijke studie in plaats van een inzetbaar product of een systems engineering rapport. De betekenis ligt in:

Het definiëren van grenzen: Het bakent het dreigingsmodel expliciet af. Het claimt dat query-vertrouwelijkheid cryptografisch is (via CKKS), maar dat documentbescherming empirische obscuratie is (via SVD + Geheime Rotatie). Het claimt niet dat de documentlaag cryptografisch veilig is tegen adaptieve of known-plaintext tegenstanders.
Het kwantificeren van trade-offs: Het biedt een gemeten werkpunt waar privacy, nauwkeurigheid en latentie in balans zijn. Het demonstreert dat voor specifieke typen encoders, privacy-bewuste truncatie toevallig de retrieval-kwaliteit kan verbeteren.
Reproduceerbaarheid: Het biedt een deterministische methode voor het selecteren van cryptografische parameters en stelt alle scripts en configuraties beschikbaar.

Beperkingen erkend door de auteurs:

Documentprivacy is niet cryptografisch; het faalt tegen known-plaintext of adaptieve aanvallen.
Toegangspatronen (welke documenten worden opnieuw gerangschikt) en PQ-codes zijn blootgesteld.
Het systeem is afhankelijk van een specifieke klasse encoders (retrieval-getraind, $d \ge 768$ ) om de nauwkeurigheid te behouden.
De belangrijkste openstaande vraag blijft de robuustheid tegen een end-to-end geleerde decoder die specifiek op de geroteerde ruimte is getraind, welke niet volledig is geëvalueerd in deze studie.

Concluderend presenteert het artikel een praktische, hoogwaardige hybride benadering voor semantische zoekopdrachten die de privacylast verschuift naar de query-zijde (cryptografisch) en de documentzijde (geometrische obscuratie), terwijl het de faalmodi van de geometrische obscuratie-laag transparant kwantificeert.