Resumo Técnico: VectorSmuggle e VectorPin

Declaração do Problema

Sistemas modernos de Geração Aumentada por Recuperação (RAG) dependem de bancos de dados vetoriais para armazenar embeddings de alta dimensão de conteúdo sensível. Embora esses sistemas garantam o acesso por meio de autenticação, criptografia de transporte (TLS) e criptografia em repouso, eles tratam a carga útil do embedding em si como um artefato numérico opaco. Principais produtos de armazenamento vetorial (por exemplo, Qdrant, Pinecone, FAISS, Chroma) carecem de controles nativos para:

1. Inspeção da distribuição estatística dos vetores durante a ingestão.
2. Verificação da proveniência dos embeddings armazenados ao serem recuperados.
3. Manutenção de trilhas de auditoria à prova de adulteração para modificações pós-ingestão.

Essa lacuna cria uma vulnerabilidade onde um atacante com acesso de escrita ao pipeline de ingestão (Modelo de Ameaça A: Insider com acesso a backups) pode realizar exfiltração esteganográfica. O atacante oculta dados de carga útil dentro dos embeddings usando perturbações que preservam o comportamento de recuperação em nível superficial (similaridade de cosseno) enquanto evitam ferramentas padrão de Prevenção de Perda de Dados (DLP), que escaneiam documentos e tráfego, mas não o conteúdo vetorial de ponto flutuante.

Metodologia

O artigo avalia seis famílias de técnicas esteganográficas em múltiplos modelos de embedding (OpenAI text-embedding-3-large, Nomic, EmbeddingGemma, Snowflake Arctic, MXBai) e corpora (PII sintética, BEIR NFCorpus, subconjunto do Quora).

Técnicas de Ataque

1. Ataques de Perturbação: Modificação de um único vetor de embedding $v$ para $v'$ via:
   • Injeção de Ruído: Adição de ruído Gaussiano ($v' = v + n$).
   • Rotação: Aplicação de uma matriz ortogonal ($v' = Rv$).
   • Escala: Multiplicação por um escalar ($v' = s \cdot v$).
   • Deslocamento: Adição de um vetor constante ($v' = v + o$).
   • Combinado: Aplicação sequencial das técnicas acima.
2. Contrabando Arquitetural: Fragmentação entre modelos, onde o conteúdo de origem é dividido entre diferentes modelos de embedding e armazenado em coleções separadas, evitando completamente a modificação in loco.

Métricas de Avaliação

O estudo mede:

• Fidelidade: Similaridade de cosseno entre vetores originais e ofuscados; preservação de matrizes de similaridade em pares.
• Detectabilidade: ROC-AUC e Taxa de Verdadeiros Positivos (TPR) em Taxas de Falsos Positivos (FPR) fixas, utilizando detectores de anomalia prontos para uso (Isolation Forest, One-Class SVM) treinados em dados limpos.
• Resiliência: Sobrevivência das perturbações através da quantização do armazenamento vetorial (por exemplo, int8 escalar do Qdrant, Quantização Vetorial de Produto do FAISS).
• Utilidade de Recuperação: Impacto no recall e no Reciprocal Rank Médio (MRR) usando consultas parafraseadas.
• Capacidade: Capacidade teórica e empírica de carga útil em bits por vetor.

Proposta Defensiva: VectorPin

Os autores propõem o VectorPin, um protocolo de proveniência criptográfica. Ele assina uma representação byte canônica do vetor de embedding, o hash do conteúdo de origem e o identificador do modelo produtor usando Ed25519. A verificação checa a assinatura e os compromissos de hash para detectar qualquer modificação pós-ingestão.

Principais Resultados

1. Vulnerabilidade das Implantações Atuais

Todas as técnicas esteganográficas testadas contornaram com sucesso os controles de segurança padrão dos principais armazenamentos vetoriais. Os ataques preservaram a similaridade de cosseno e sobreviveram à quantização padrão (int8 escalar) no Qdrant e no FAISS-HNSW.

2. Limitações da Detecção Estatística

• Técnicas de Deslocamento de Distribuição: Ruído, escala e deslocamento são detectáveis. Detectores prontos para uso (Isolation Forest, One-Class SVM) alcançaram ROC-AUC $\ge 0,85$ para pontos de operação que deslocaram significativamente a direção do embedding. No entanto, esses detectores são frágeis contra atacantes adaptativos; um atacante de caixa branca usando descida de gradiente projetada poderia reduzir a AUC do detector para próximo de zero enquanto preserva a similaridade de cosseno.
• Rotação Ortogonal: Esta técnica é a exceção crítica. Rotações ortogonais de pequeno ângulo e poucas rotações preservam produtos internos em pares e distribuições marginais por dimensão.
  • Em todos os pares (modelo, corpus) testados, a rotação nos padrões de biblioteca resultou em AUCs de detector próximas ao acaso ($\approx 0,50$).
  • Essa indetectabilidade mantém-se mesmo com atacantes adaptativos e através de diferentes arquiteturas de embedding (Nomic, Gemma, etc.) e corpora em grande escala (16k+ fragmentos).
  • Compromisso Capacidade-Detectabilidade: Embora a rotação tenha um teto de capacidade de forma fechada de $\lfloor d/2 \rfloor \cdot b$ bits (aprox. 1,9 KB/vetor para $d=3072$), rotações de alta capacidade (grandes ângulos) tornam-se detectáveis em corpora do mundo real porque empurram os vetores para fora da geometria do manifold local aprendida pelo detector. No entanto, o ponto de operação "preservador de recuperação" (pequenos ângulos) permanece indetectável.

3. Quantização e Resiliência do Backend

• Quantização Escalar (Qdrant int8): Não destrói cargas ocultas; preserva o canal de bits literalmente porque a API de recuperação retorna o original float32 não quantizado.
• Quantização Vetorial de Produto (FAISS IVF-PQ): Impõe um "piso de ruído" que estreita o canal do atacante (reduzindo a carga útil recuperável em 12–24%), mas isso é um efeito colateral da otimização de memória, não um controle de integridade intencional.

4. Eficácia do VectorPin

O VectorPin fornece integridade estrutural. Como o protocolo compromete a representação byte exata do vetor (vec_hash), qualquer modificação pós-embedding (incluindo todas as técnicas de perturbação e fragmentação) quebra a verificação da assinatura. O protocolo distingue entre falsificação de assinatura, adulteração de vetor, incompatibilidade de origem e substituição de modelo.

Significado e Alegações

O artigo posiciona-se não como uma descoberta de primitivas criptográficas ou esteganográficas novas, mas como uma caracterização empírica de um modelo de ameaça específico e uma defesa construtiva para um substrato que atualmente carece de uma.

• Modelo de Ameaça: O artigo limita explicitamente suas alegações a "Insider com acesso a backups" (Modelo de Ameaça A). Não alega eficácia universal contra atacantes apenas de consulta (Modelo de Ameaça C) ou aqueles com chaves de assinatura privadas.
• Estratégia de Defesa: Os autores argumentam que a detecção estatística é um filtro inicial útil, mas não um controle de segurança "estrutural" devido à sua dependência da cobertura do conjunto de treinamento e vulnerabilidade a ataques adaptativos.
• Contribuição Central: A contribuição primária é o VectorPin, um controle implantável e padronizável que fecha a classe de ataque demonstrada. Ele desloca a postura de segurança de depender da "detecção de anomalias" para a "verificação de proveniência".
• Contexto da Indústria: O artigo traça paralelos com lacunas históricas de infraestrutura (DNS, HTTP/3, buckets S3), sugerindo que a integridade do armazenamento vetorial está atualmente subinvestida porque a ameaça ainda não provocou uma crise. Os autores visam fornecer a defesa antes que tais incidentes ocorram.

O artigo conclui que a integridade em nível de embedding é um controle implantável que deve ser adicionado ao pipeline RAG, pois não é uma propriedade nativa dos bancos de dados vetoriais atuais.