Hybrid privacy-aware semantic search: SVD-truncated document geometry and CKKS-encrypted query reranking under a restricted threat model

Declaração do Problema

A busca semântica moderna e a Geração Aumentada por Recuperação (RAG) dependem de embeddings de vetores densos. No entanto, pesquisas recentes demonstram que esses embeddings podem ser invertidos de volta para seu texto de origem com alta fidelidade (ex: Vec2Text alcançando ~97% de BLEU). Isso cria uma vulnerabilidade crítica: se um banco de dados vetorial vazar, os documentos subjacentes estarão efetivamente comprometidos.

As defesas existentes situam-se em dois extremos, ambos inadequados para implantação em escala industrial:

1. Criptografia Totalmente Homomórfica (FHE): Criptograficamente sólida, mas computacionalmente proibitiva para pesquisar milhões de documentos.
2. Privacidade Diferencial (DP): A adição de ruído degrada significativamente a qualidade do ranking antes de fornecer proteção de privacidade significativa.

O artigo aborda a necessidade de um caminho intermediário que equilibre privacidade, precisidade de recuperação e latência na escala de $10^6$ documentos.

Metodologia

Os autores propõem uma arquitetura híbrida assimétrica que trata a coleção estática de documentos e a consulta dinâmica do usuário de forma distinta. O sistema opera sob um modelo de ameaça restrito: um cliente confiável, um servidor honesto-mas-curioso e um atacante não adaptativo (utilizando ferramentas de inversão prontas para uso sem conhecimento prévio da rotação secreta).

1. Proteção de Documentos (Lado Estático)

Os vetores dos documentos são protegidos via uma transformação geométrica em vez de criptografia:

• Truncamento SVD: O corpus de documentos centralizado é projetado em um subespaço de dimensão inferior ($k = d/2$) usando Decomposição de Valores Singulares (SVD). Este truncamento é escolhido para garantir um erro de reconstrução relativo ($\sigma_{rec}$) de pelo menos 0,10, servindo como um proxy para a perda de informação.
• Rotação Secreta: Os vetores truncados são multiplicados por uma matriz ortogonal aleatória, distribuída uniformemente de Haar, $R$. Esta rotação esconde a orientação da base de atacantes que não possuem $R$.
• Quantização de Produto (PQ) Pública: Um índice PQ (codebook + códigos) é treinado no espaço rotacionado para permitir que o cliente realize a filtragem local de candidatos (Estágio 1) sem enviar consultas ao servidor. Os autores explicitamente observam que este artefato de PQ é uma "visão comprimida com perda" que vaza a estrutura de vizinhança e é tratado como um canal exposto.

2. Proteção de Consulta (Lado Dinâmico)

A consulta é protegida criptograficamente:

• Criptografia CKKS: O cliente criptografa o vetor de consulta rotacionado usando o esquema de criptografia homomórfica CKKS.
• Reranking de Texto Criptografado-Texto Plano (ct-pt): O servidor realiza o reranking dos candidatos pré-selecionados (ex: os 40 melhores) computando o produto interno entre a consulta criptografada e os vetores de documentos rotacionados em texto plano.
• Otimização: Ao evitar a multiplicação de texto cifrado-texto cifrado (ct-ct), o sistema elimina a necessidade de etapas custosas de relinearização. Isso permite que o servidor compute pontuações de similaridade com latência inferior a um segundo.

3. Seleção de Parâmetros

Em vez de ajuste manual, os autores empregam um micro-benchmark offline reproduzível sobre uma grade discreta de parâmetros CKKS (grau do módulo polinomial, cadeia de módulo de coeficiente, escala) para selecionar a configuração que minimiza a latência enquanto satisfaz as tabelas de segurança (tc128) e tolerâncias de precisão.

Principais Contribuições

Teóricas:

• Lema 1: O artigo prova um limite inferior rigoroso para o erro de reconstrução $L_2$ para qualquer decodificador cuja imagem é restrita ao subespaço truncado. Isso quantifica formalmente a informação perdida para a projeção, embora os autores esclareçam que se trata de um limite de projeção, não um teorema geral de segurança de inversão.
• Hipótese Empírica 1: Eles formalizam a relação entre o proxy de erro de reconstrução ($\sigma_{rec}$) e a pontuação BLEU de ataques de inversão prontos para uso, validando isso numericamente.

Empíricas & Engenharia:

• Avaliação de Escala: Experimentos conduzidos em um corpus de 1 milhão de documentos (Wikipedia russa) utilizando cinco codificadores de texto contemporâneos (incluindo multilingual-E5 e BGE-M3).
• Latência: O sistema atinge a latência de consulta end-to-end confortavelmente abaixo de 1 segundo (p95 $\approx$ 370 ms) para $10^6$ documentos.
• Otimização CKKS: A configuração selecionada ($N_{poly}=8192$, cadeia de módulo específica) produz uma aceleração de 1,7$\times$ em relação às configurações padrão do TenSEAL, mantendo o mesmo limite de segurança.
• Efeito de Denoising (Redução de Ruído): Para codificadores treinados para recuperação com dimensões $d \ge 768$, o truncamento SVD atua como um denoiser linear, melhorando ligeiramente as métricas de ranking (Acc@1, NDCG) em comparação com o baseline bruto, ao filtrar ruídos nas direções singulares de cauda.

Resultados e Análise de Segurança

O artigo testa rigorosamente o sistema contra o modelo de ameaça pretendido e adversários mais fortes:

• Contra Atacantes Não Adaptativos: Sob o modelo restrito (R desconhecida, Vec2Text pronto para uso), a rotação secreta reduz as pontuações BLEU para o nível de ruído ($\approx 0,007$), impedindo efetivamente a recuperação de texto.
• Contra Atacantes de Texto Claro Conhecido (Known-Plaintext): Se um atacante possuir aproximadamente $k$ (a dimensão retida) pares de (texto original, vetor rotacionado), ele pode recuperar a rotação secreta $R$ usando Procrustes Ortogonal. Uma vez que $R$ é conhecido, a proteção reduz-se apenas ao truncamento SVD.
• Vazamento de Corpus de Referência: Se a coleção protegida sobrepor-se a um corpus de referência público ou vazado, o atacante pode usar a rotação recuperada para realizar buscas exatas de parágrafos.
• Vazamento de Artefato de PQ: Os códigos PQ públicos preservam $\approx 95\%$ de similaridade de cosseno com os vetores rotacionados e retêm a maioria dos vizinhos do top-10, confirmando que o artefato de PQ é um canal exposto que vaza informações estruturais.
• Dependência do Encoder: O benefício de "denoising" é específico para codificadores treinados para recuperação. Modelos compactos (ex: e5-small) ou modelos destilados para paráfrase sofrem degradação de precisão com o truncamento $k=d/2$.

Significância e Alegações

O artigo posiciona-se como um estudo científico em vez de um produto implantável ou um relatório de engenharia de sistemas. Sua significância reside em:

1. Definição de Limites: Ele delimita explicitamente o modelo de ameaça. Alega que a confidencialidade da consulta é criptográfica (via CKKS), mas a proteção de documentos é uma obscuridade empírica (via SVD + Rotação Secreta). Ele não afirma que a camada de documentos é criptograficamente segura contra adversários adaptativos ou de texto claro conhecido.
2. Quantificação de Trade-offs: Fornece um ponto de operação medido onde privacidade, precisão e latência são equilibradas. Demonstra que, para tipos específicos de encoders, a truncagem preservando a privacidade pode, coincidentemente, melhorar a qualidade da recuperação.
3. Reprodutibilidade: Oferece um método determinístico para selecionar parâmetros criptográficos e libera todos os scripts e configurações.

Limitações Reconhecidas pelos Autores:

• A privacidade do documento não é criptográfica; falha contra ataques de texto claro conhecido ou adaptativos.
• Padrões de acesso (quais documentos estão sendo reclassificados) e códigos PQ são expostos.
• O sistema depende de uma classe específica de encoders (treinados para recuperação, $d \ge 768$) para manter a precisão.
• A principal questão em aberto permanece sendo a robustez contra um decodificador aprendido de ponta a ponta treinado especificamente no espaço rotacionado, o qual não foi totalmente avaliado neste estudo.

Em conclusão, o artigo apresenta uma abordagem híbrida prática e de alto desempenho para busca semântica que desloca o ônus da privacidade para o lado da consulta (criptográfico) e para o lado do documento (obscuridade geométrica), enquanto quantifica de forma transparente os modos de falha da camada de obscuridade geométrica.