Resumo Técnico: Auditoria de Privacidade em RAG Multi-Tenant sob Colusão de Contas

1. Declaração do Problema

Serviços de Geração Aumentada por Recuperação (RAG) em produção (por exemplo, Microsoft 365 Copilot, OpenAI Assistants) operam tipicamente como sistemas multi-tenant, onde uma infraestrutura compartilhada atende milhares de contas de clientes. As garantias de privacidade atuais para esses sistemas são formuladas no nível por conta: promete-se que as consultas de cada conta satisfaçam a privacidade diferencial (DP) $(\epsilon_{acc}, \delta_{acc})$ em relação ao índice do inquilino.

O artigo identifica uma falha crítica de limite de privacidade: essa formulação por conta é insuficiente quando um adversário controla $k$ contas (uma coalizão) que coordenam consultas ao mesmo índice de inquilino. Embora a teoria padrão de DP sugira que $k$ consultas independentes possam degradar a privacidade linearmente ($k \cdot \epsilon_{acc}$) ou permanecer estáveis, os autores demonstram que, para mecanismos de recuperação com ruído gaussiano, o vazamento conjunto degrada-se a uma taxa de $\Theta(\sqrt{k} \cdot \epsilon_{acc})$.

Essa lacuna implica que um serviço que anuncia um orçamento seguro por conta (por exemplo, $\epsilon_{acc}=1$) pode inadvertidamente expor uma garantia conjunta significativamente mais fraca (por exemplo, $\approx 3,2$ para $k=10$) se uma coalizão se formar. Defesas existentes modificam a implantação para reduzir o vazamento por consulta, mas nenhuma fornece um mecanismo para auditar o vazamento conjunto de uma implantação não modificada sem revelar o índice subjacente ou os pesos do modelo.

2. Metodologia

2.1 Modelo de Ameaça

Os autores formalizam um modelo de DP de colusão $(\epsilon, \delta, k)$. O adversário controla $k \ge 1$ contas dentro de um único inquilino (colusão do mesmo inquilino) ou entre inquilinos (colusão entre inquilinos/externa, contingente a falha de controle de acesso). O adversário possui:

• Posterior compartilhado: Uma crença probabilística unificada sobre o índice alvo.
• Coordenação adaptativa: Consultas da conta $a_i$ podem depender do transcript completo de todas as outras contas até o tempo $t-1$.
• Consciência de limite de taxa: Consultas são agendadas para maximizar o orçamento agregado enquanto permanecem dentro dos limites individuais por conta.
• Canal de saída compartilhado: Todas as respostas de recuperação são agrupadas antes da execução do estimador do adversário.

A análise assume ruído gaussiano fresco independente por consulta e um codificador determinístico dentro da janela de auditoria.

2.2 Análise Teórica

O artigo especializa a teoria avançada de composição de DP para o cenário de RAG:

• Limite Superior: Ao reduzir $k$ contas coordenadas a um único analista adaptativo com um orçamento de $kn$ consultas, os autores aplicam o Teorema de Composição Avançada. Para liberação de pontuação com ruído gaussiano, eles provam que o parâmetro de privacidade conjunto $\epsilon_k$ escala como:
  $$\epsilon_k = \Theta\left(\sqrt{k} \cdot \epsilon_{acc}\right)$$
  Isso é estritamente pior que o orçamento por conta anunciado, mas melhor que o limite de privacidade de grupo linear ingênuo.
• Limite Inferior: Os autores constroem um ataque específico (uma consulta de sondagem contra índices vizinhos que diferem por um documento) onde uma coalizão de $k$ contas alcança uma vantagem de inferência de associação (MIA) de $\Omega(\sqrt{k} \cdot \epsilon_{acc})$.
• DP de Rényi (RDP): A análise é refinada usando RDP e o contador de momentos para fornecer limites numéricos mais apertados para relatórios de auditoria prática.

2.3 Protocolo de Auditoria

Para tornar essa lacuna verificável, o artigo projeta um protocolo de auditoria de quatro fases que opera em implantações de RAG não modificadas sem exigir divulgação de índice:

1. Comprometimento: O provedor compromete-se com o codificador, o conteúdo do índice (via compromissos vetoriais), a semente de ruído e os parâmetros de política (incluindo um limite de coalizão declarado $k_{max}$) usando hashes criptográficos e árvores de Merkle.
2. Atestação por Consulta: Para cada consulta, o provedor gera uma prova de Conhecimento Zero (ZK) atestando que:
   • O embedding foi computado usando o codificador comprometido.
   • O ruído gaussiano foi derivado da semente comprometida.
   • A seleção Top-K foi realizada nas pontuações ruidosas (ruído-então-seleção).
   • A recuperação foi confinada ao índice correto do inquilino.
3. Estimativa de Tamanho da Coalizão: O provedor submete uma estimativa do tamanho da coalizão ($\hat{k}$) baseada na correlação de consultas (agrupamento de consultas semelhantes no livro-razão público), acompanhada de uma prova ZK.
4. Verificação: Um verificador de terceiros verifica as provas e a consistência do livro-razão. Se o tamanho estimado da coalizão estiver dentro do limite da política ($k_{max}$), o verificador emite um veredito quantitativo: (PASS, $\epsilon_{audit}$), onde $\epsilon_{audit}$ é o limite de vazamento conjunto calculado.

3. Contribuições Principais

1. Identificação do Modelo de Ameaça: O artigo define a colusão multi-conta no mesmo índice como uma falha estrutural das garantias de DP por conta em RAG, estabelecendo a taxa de degradação $\Theta(\sqrt{k})$ para recuperação com ruído gaussiano.
2. Previsões Empíricas Falsificáveis: Os autores derivam uma previsão específica para a Área Sob a Curva (AUC) do Ataque de Inferência de Associação (MIA): $AUC_k = \frac{1}{2} + \Theta(\sqrt{k} \cdot \epsilon_{acc})$. Eles se comprometem com dois portões de falsificação (inclinação e precisão) para validar a teoria.
3. Protocolo de Auditoria Executável por Verificador: O primeiro protocolo para auditar vazamento conjunto em implantações de RAG não modificadas. Ele usa uma combinação de primitivas criptográficas genéricas (livros-razão de Merkle, provas ZK) e primitivas específicas de RAG (comprometimento de codificador, atestação de ruído-então-seleção) para emitir um veredito quantitativo $(PASS, \epsilon_{audit})$ sem expor o índice ou os pesos do modelo.
4. Rastreamento Numérico de Privacidade: A integração de RDP e do contador de momentos permite uma avaliação numérica exata da perda de privacidade, fornecendo limites mais apertados que aproximações de forma fechada para tamanhos moderados de coalizão.

4. Resultados Experimentais

Os autores validaram suas previsões teóricas usando uma harness sintética baseada em FAISS multi-tenant e um codificador treinado (BAAI/bge-small-en-v1.5).

• Validação de Escalonamento: Experimentos com tamanhos de coalizão $k \in \{1, 2, 5, 10, 20\}$ confirmaram o escalonamento $\sqrt{k}$ previsto. Por exemplo, em $\epsilon_{acc}=4$, a vantagem empírica de MIA cresceu de 0,070 ($k=1$) para 0,281 ($k=20$), correspondendo de perto ao fator de crescimento previsto de $\sqrt{20} \approx 4,5$.
• Pós-processamento Top-K: A tendência $\sqrt{k}$ foi observada persistindo mesmo quando a saída era restrita a um indicador binário "Top-K hit", embora a vantagem absoluta fosse reduzida por um fator constante (aproximadamente 30% menor que o ataque de pontuação bruta).
• Verificações de Robustez:
  • Adversários Alternativos: Variantes usando razões de verossimilhança logarítmica de Bayes ou divisão diversificada de múltiplos alvos não excederam a taxa base $\sqrt{k}$; a diversificação na verdade degradou a vantagem.
  • Transferência de Codificador: A taxa manteve-se para um codificador treinado de 384 dimensões, com a vantagem escalando linearmente com a lacuna de pontuação realizada ($\Delta$).
  • Externo vs. Mesmo Inquilino: Sob a suposição de falha de controle de acesso (M4), atacantes externos alcançaram taxas de vazamento estatisticamente indistinguíveis das coalizões do mesmo inquilino.
• Escala de Produção: Testes em um índice HNSW de $10^6$ documentos confirmaram que, embora os hits Top-K observáveis pelo usuário ofereçam vazamento próximo de zero em escala, as pontuações ruidosas agrupadas observáveis pelo auditor (acessíveis via protocolo de auditoria) ainda exibem a tendência de vazamento $\sqrt{k}$.

5. Significado e Alegações

O artigo posiciona-se como uma fundação técnica, e não como uma especificação implantada. Seu significado principal reside em:

• Expor Vulnerabilidade Estrutural: Argumenta que o abuso multi-conta (por exemplo, marionetes) não é apenas uma questão de fraude, mas uma falha fundamental de limite de privacidade que as atuais garantias de DP por conta não cobrem.
• Habilitar Auditorias de Terceiros: O protocolo fornece um mecanismo para reguladores e terceiros verificarem alegações de privacidade (por exemplo, sob o Ato de IA da UE ou DSA) sem exigir que o provedor divulgue dados ou modelos proprietários.
• Operacionalizar $\epsilon_{audit}$: Propõe deslocar a unidade de divulgação regulatória do orçamento por conta ($\epsilon_{acc}$) para o limite de auditoria conjunta ($\epsilon_{audit}$), o que reflete a realidade de ataques coordenados.

Os autores explicitamente excluem a privacidade do canal de geração (saída do LLM condicionada aos documentos selecionados) e ataques de inversão de embedding, tratando-os como predicados de auditoria separados. Eles reconhecem que a eficácia do protocolo depende do provedor declarar um limite de coalizão significativo ($k_{max}$) e que o estimador de tamanho de coalizão pode ser evadido por adversários que deliberadamente diversificam suas consultas. O artigo conclui que, embora a lacuna seja estrutural e exija mudanças arquitetônicas para ser totalmente fechada, o protocolo de auditoria proposto oferece um passo imediato e verificável em direção à transparência em serviços de RAG em produção.