技术摘要：多租户 RAG 在账户合谋下的隐私审计

1. 问题陈述

生产级检索增强生成（RAG）服务（例如 Microsoft 365 Copilot、OpenAI Assistants）通常作为多租户系统运行，其共享基础设施服务于数千个客户账户。当前这些系统的隐私保障框架建立在单账户层面：承诺每个账户的查询相对于租户索引满足 $(\epsilon_{acc}, \delta_{acc})$-差分隐私（DP）。

本文指出了一个关键的隐私边界失效：当攻击者控制 $k$ 个账户（即一个联盟）并协调查询同一租户索引时，这种单账户框架是不够的。虽然标准 DP 理论表明 $k$ 次独立查询可能会使隐私线性退化（$k \cdot \epsilon_{acc}$）或保持平稳，但作者证明，对于高斯噪声检索机制，联合泄露的退化速率为 $\Theta(\sqrt{k} \cdot \epsilon_{acc})$。

这一差距意味着，如果一个服务宣传安全的单账户预算（例如 $\epsilon_{acc}=1$），一旦形成联盟，可能会无意中暴露显著更弱的联合保障（例如当 $k=10$ 时，$\approx 3.2$）。现有的防御措施通过修改部署来减少每次查询的泄露，但没有任何一种机制能够在不泄露底层索引或模型权重的情况下，审计未修改部署的联合泄露。

2. 方法论

2.1 威胁模型

作者形式化了一个 $(\epsilon, \delta, k)$-合谋 DP 模型。攻击者控制单个租户内的 $k \ge 1$ 个账户（同租户合谋）或跨租户的账户（跨租户/外部合谋，取决于访问控制是否失效）。攻击者拥有：

• 共享后验：针对目标索引的统一概率信念。
• 自适应协调：来自账户 $a_i$ 的查询可以依赖于时间 $t-1$ 之前所有其他账户的完整对话记录。
• 速率限制感知：查询被调度以在保持各自单账户限制的同时最大化总预算。
• 共享输出通道：所有检索响应在攻击者的估计器运行之前被汇集。

分析假设每次查询使用独立的新鲜高斯噪声，且在审计窗口内嵌入器是确定性的。

2.2 理论分析

本文将高级 DP 组合理论专门应用于 RAG 场景：

• 上界：通过将 $k$ 个协调账户简化为具有 $kn$次查询预算的单个自适应分析者，作者应用了高级组合定理。对于高斯噪声分数发布，他们证明了联合隐私参数$\epsilon_k$ 的缩放比例为：
  $$\epsilon_k = \Theta\left(\sqrt{k} \cdot \epsilon_{acc}\right)$$
  这严格劣于宣传的单账户预算，但优于朴素线性组隐私边界。
• 下界：作者构建了一种特定攻击（针对相差一个文档的相邻索引的探测查询），其中 $k$ 个账户的联盟实现了 $\Omega(\sqrt{k} \cdot \epsilon_{acc})$ 的成员推断优势（MIA）。
• Rényi 差分隐私（RDP）：分析利用 RDP 和矩会计（moments accountant）进行细化，为实际审计报告提供更紧密的数值边界。

2.3 审计协议

为了使这一差距可验证，本文设计了一个四阶段审计协议，该协议在不要求披露索引的情况下，在未经修改的 RAG 部署上运行：

1. 承诺：提供商使用加密哈希和默克尔树（Merkle trees）对嵌入器、索引内容（通过向量承诺）、噪声种子以及策略参数（包括声明的联盟上限 $k_{max}$）进行承诺。
2. 单查询认证：对于每次查询，提供商生成一个零知识（ZK）证明，证明：
   • 嵌入是使用承诺的嵌入器计算的。
   • 高斯噪声源自承诺的种子。
   • Top-K 选择是在噪声分数上执行的（先加噪声后选择）。
   • 检索被限制在正确的租户索引内。
3. 联盟规模估计：提供商基于查询相关性（在公共账本中聚类相似查询）提交联盟规模估计值（$\hat{k}$），并附带 ZK 证明。
4. 验证：第三方验证者检查证明和账本的一致性。如果估计的联盟规模在策略上限内（$k_{max}$），验证者将发布定量裁决：(PASS, $\epsilon_{audit}$)，其中 $\epsilon_{audit}$ 是计算出的联合泄露边界。

3. 主要贡献

1. 威胁模型识别：本文定义了同索引多账户合谋作为 RAG 中单账户 DP 保障的结构性失效，确立了高斯噪声检索的 $\Theta(\sqrt{k})$ 退化率。
2. 可证伪的实证预测：作者推导了成员推断攻击（MIA）曲线下面积（AUC）的具体预测：$AUC_k = \frac{1}{2} + \Theta(\sqrt{k} \cdot \epsilon_{acc})$。他们承诺了两个证伪门槛（斜率和紧密度）以验证该理论。
3. 可运行的验证者审计协议：首个在未经修改的 RAG 部署中审计联合泄露的协议。它结合了通用密码学原语（默克尔账本、ZK 证明）和 RAG 特定原语（嵌入器承诺、先加噪声后选择认证），在不暴露索引或模型权重的情况下发布定量的 $(PASS, \epsilon_{audit})$ 裁决。
4. 数值隐私追踪：RDP 和矩会计的集成允许对隐私损失进行精确的数值评估，为中等规模的联盟提供了比闭式近似更紧密的边界。

4. 实验结果

作者使用基于合成多租户 FAISS 的测试平台和训练好的嵌入器（BAAI/bge-small-en-v1.5）验证了其理论预测。

• 扩展性验证：针对联盟规模 $k \in \{1, 2, 5, 10, 20\}$ 的实验证实了预测的 $\sqrt{k}$ 缩放比例。例如，在 $\epsilon_{acc}=4$ 时，实证 MIA 优势从 0.070（$k=1$）增长到 0.281（$k=20$），与预测的增长因子 $\sqrt{20} \approx 4.5$ 高度吻合。
• Top-K 后处理：即使输出被限制为二进制"Top-K 命中”指示器，$\sqrt{k}$ 趋势仍被观察到持续存在，尽管绝对优势降低了常数因子（比原始分数攻击低约 30%）。
• 鲁棒性检查：
  • 替代攻击者：使用贝叶斯对数似然比或多样化多目标分割的变体并未超过基线 $\sqrt{k}$ 速率；多样化实际上降低了优势。
  • 嵌入器迁移：该速率适用于训练好的 384 维嵌入器，优势随实现的分数差距（$\Delta$）线性缩放。
  • 外部与同租户：在访问控制失效（M4）的假设下，外部攻击者实现的泄露速率与同租户联盟在统计上无法区分。
• 生产规模：在 $10^6$ 文档的 HNSW 索引上的测试证实，虽然用户可观察的 Top-K 命中在大规模下提供接近零的泄露，但审计者可观察的汇集噪声分数（可通过审计协议访问）仍表现出 $\sqrt{k}$ 泄露趋势。

5. 意义与主张

本文将其定位为技术基础而非已部署的规范。其主要意义在于：

• 揭示结构性漏洞：它论证了多账户滥用（例如傀儡账号）不仅仅是欺诈问题，而是当前单账户 DP 保障未涵盖的根本性隐私边界失效。
• 启用第三方审计：该协议提供了一种机制，使监管机构和第三方能够在不要求提供商披露专有数据或模型的情况下验证隐私声明（例如根据欧盟《人工智能法案》或《数字服务法案》）。
• 操作化 $\epsilon_{audit}$：它提议将监管披露单位从单账户预算（$\epsilon_{acc}$）转移到联合审计边界（$\epsilon_{audit}$），后者反映了协调攻击的现实。

作者明确排除了生成通道隐私（基于选定文档的条件化 LLM 输出）和嵌入逆攻击，将其视为单独的审计谓词。他们承认，该协议的有效性依赖于提供商声明有意义的联盟上限（$k_{max}$），且联盟规模估计器可能被故意多样化查询的攻击者规避。本文结论认为，虽然这一差距是结构性的，需要架构变更才能完全消除，但所提出的审计协议为生产级 RAG 服务的透明度提供了一个可验证的、即时的步骤。