La conoscenza ha un confine di accesso

Una citazione porta a un contratto, ma il contratto appartiene al cliente sbagliato. In questo caso illustrativo, un assistente dell’assistenza cerca una data di rinnovo nelle cartelle di due clienti. Trova un contratto simile dell’altro cliente, lo inserisce nel contesto e risponde con sicurezza.

Non è un incidente riportato. La citazione fa sembrare accurata la risposta mentre rivela dati del cliente sbagliato. Il difetto si è verificato prima che il modello scrivesse una frase.

Un intervento registrato su dove collocare la conoscenza di un’AI propone un punto architetturale utile: le informazioni che variano per utente richiedono uno strato di ricerca con controllo degli accessi. La guida di Microsoft sull’accesso ai singoli documenti descrive verifiche dei permessi collegate ai documenti indicizzati e all’identità usata nella ricerca. La regola generale è più semplice di qualsiasi prodotto: solo materiale autorizzato deve raggiungere il percorso della risposta.

Metti il confine prima della risposta

Un prompt può chiedere all’assistente di essere conciso, citare le fonti o fare una domanda. Non può garantire «ricorda di non usare i documenti del cliente sbagliato» se al modello quei documenti vengono comunque consegnati. Se la ricerca ha già superato il confine, al prompt si chiede di annullare un errore di accesso.

L’applicazione deve stabilire l’identità della persona. La query di ricerca deve portare il perimetro risultante: tenant, ruolo, account o permessi sul documento, secondo il dominio. I risultati candidati vanno filtrati o autorizzati prima che il loro testo sia fornito al modello. Se una risposta può innescare una scrittura, il percorso di scrittura deve controllare nuovamente il permesso sul record di destinazione.

Non è soltanto un problema di ricerca vettoriale. Anche ricerca per parole chiave, riassunti salvati, memoria della conversazione e risultati degli strumenti possono trasportare contenuti privati. Un riassunto derivato dal documento di un tenant rimane privato anche se il testo originale è stato abbreviato.

La nostra guida a collegare gli strumenti aziendali chiede chi è responsabile di ogni record e quale sistema è autorevole. Per un assistente, aggiungi un’altra domanda: chi ha il permesso di sapere che quel record esiste?

Un piccolo esempio rivela l’ordine corretto

Supponiamo che un indice illustrativo contenga quattro documenti: due articoli di aiuto pubblici, un contratto per Tenant A e uno per Tenant B. Una persona di Tenant A chiede le condizioni di fatturazione. Il risultato semanticamente più vicino è, per caso, il contratto di Tenant B.

Una ricerca senza limiti lo restituisce. Un’istruzione successiva come «rispondi solo per Tenant A» non garantisce sicurezza: il contenuto è già nel contesto del modello. Una ricerca delimitata elimina il documento di B prima della classifica o restituisce solo candidati autorizzati. L’assistente può quindi rispondere dal contratto di A oppure dire che manca la fonte necessaria.

L’implementazione precisa dipende dalla piattaforma. Il modello di filtro di sicurezza di Azure AI Search associa identificatori di gruppo ai documenti e applica un filtro a ogni query. La documentazione avverte anche che nascondere un campo dei permessi nella risposta non costituisce di per sé controllo degli accessi. Il controllo effettivo è il filtro, insieme all’identità verificata che lo determina.

Il confine conta quando cambiano i permessi. Se una persona perde l’accesso, una vecchia cache o un indice obsoleto non deve continuare a servire il documento. Servono un percorso definito di aggiornamento e prove di revoca, non solo test per le prime concessioni. Se il servizio di ricerca non può rispettare il modello di accesso della fonte, copiare i contenuti in quell’indice potrebbe essere la scelta sbagliata.

Permesso e pertinenza sono controlli diversi

Un documento autorizzato può essere irrilevante o superato. Una risposta accurata può non essere autorizzata. Sono errori distinti e vanno valutati separatamente.

Prova prima il confine: una persona di un tenant può recuperare, citare o dedurre contenuti privati di un altro? Includi domande dirette, parafrasi e riassunti. Poi verifica la qualità della risposta dentro l’insieme consentito: l’assistente sceglie la politica attuale e ammette quando mancano le prove? La guida RAG di Microsoft raccomanda espressamente il controllo degli accessi durante la ricerca e tratta i contenuti trovati come non affidabili.

C’è un costo. Gli indici consapevoli dei permessi richiedono metadati, corrispondenza delle identità e gestione delle revoche. Dopo il filtro, alcuni risultati saranno vuoti. È l’esito giusto quando la persona non ha accesso alle prove. Riempire il vuoto con una congettura espressa con sicurezza trasformerebbe una protezione in un problema di accuratezza.

Questo confine è anche una prova della più ampia regola sulle eccezioni dell’automazione: cosa succede quando la ricerca autorizzata è vuota? Un buon sistema può dire «Non ho accesso a una fonte per questa risposta» e indicare il giusto percorso di richiesta. Non deve cercare in un altro tenant, riusare una risposta vecchia o dedurre dettagli privati dal titolo di un documento. Tratta il risultato vuoto come uno stato normale e verificabile del flusso. Il permesso fa parte della correttezza, non è una patch da aggiungere dopo il lancio.

Un assistente utile non è quello che sa tutto nell’azienda. È quello che trova le prove giuste entro l’autorità di chi chiede e sa dire quando quel limite impedisce la risposta.