Wiedza ma granicę dostępu

Odpowiedź cytuje umowę, ale należącą do innego klienta. W tym ilustracyjnym przypadku asystent wsparcia przeszukuje foldery dwóch klientów w poszukiwaniu daty odnowienia. Znajduje podobną umowę drugiego klienta, umieszcza ją w kontekście i płynnie odpowiada.

To nie jest opis zgłoszonego incydentu. Cytat sprawia, że odpowiedź wygląda starannie, a jednocześnie ujawnia dane niewłaściwego klienta. Błąd nastąpił, zanim model napisał pierwsze zdanie.

Zarejestrowana prezentacja o miejscu przechowywania wiedzy dla AI wskazuje ważną zasadę architektoniczną: wiedza zależna od użytkownika potrzebuje warstwy wyszukiwania kontrolującej dostęp. Wskazówki Microsoftu dotyczące dostępu na poziomie dokumentu opisują kontrolę uprawnień powiązaną z dokumentami w indeksie i tożsamością używaną w zapytaniu. Zasada ogólna jest prostsza od dowolnego produktu do wyszukiwania: do odpowiedzi powinny trafiać wyłącznie materiały, do których wywołujący ma dostęp.

Umieść granicę przed odpowiedzią

Instrukcja może kazać asystentowi pisać zwięźle, cytować źródła lub prosić o doprecyzowanie. Nie może bezpiecznie mówić „pamiętaj, by nie używać dokumentów innego klienta”, gdy model już je dostał. Jeśli wyszukiwanie przekroczyło granicę, od instrukcji oczekuje się naprawienia błędu dostępu.

Aplikacja musi ustalić tożsamość wywołującego. Zapytanie powinno nieść wynikający z niej zakres: najemcę, rolę, konto lub uprawnienia do dokumentów, zależnie od dziedziny. Wyniki kandydujące należy filtrować lub autoryzować, zanim ich tekst trafi do modelu. Jeśli odpowiedź może uruchomić zapis, ścieżka zapisu musi ponownie sprawdzić uprawnienie względem docelowego rekordu.

To nie dotyczy wyłącznie wyszukiwania wektorowego. Wyszukiwanie słów kluczowych, zapisane podsumowania, pamięć rozmowy i wyniki narzędzi mogą również przenosić prywatną treść. Streszczenie dokumentu jednego najemcy pozostaje prywatne także po skróceniu oryginału.

Nasz poradnik łączenia narzędzi biznesowych pyta, kto jest właścicielem rekordu i który system jest autorytatywny. Dla asystenta dodaj kolejne pytanie: kto ma prawo wiedzieć, że ten rekord istnieje?

Mały przykład pokazuje znaczenie kolejności

Załóżmy, że ilustracyjny indeks zawiera cztery dokumenty: dwa publiczne artykuły pomocy, umowę najemcy A i umowę najemcy B. Użytkownik najemcy A pyta o warunki rozliczeń. Najbliższym dopasowaniem znaczeniowym okazuje się umowa najemcy B.

Wyszukiwanie bez ograniczenia zakresu ją zwraca. Późniejsza instrukcja „odpowiadaj tylko dla najemcy A” nie może zagwarantować bezpieczeństwa; treść już weszła do kontekstu modelu. Wyszukiwanie z kontrolą zakresu usuwa dokument najemcy B przed rankingiem albo zwraca tylko autoryzowanych kandydatów. Asystent może wtedy odpowiedzieć na podstawie umowy A lub przyznać, że brakuje mu źródła.

Dokładne wdrożenie zależy od platformy. Wzorzec filtrów bezpieczeństwa w Azure AI Search przypisuje dokumentom identyfikatory grup i stosuje filtr przy każdym zapytaniu. Dokumentacja ostrzega też, że ukrycie pola uprawnień w odpowiedzi samo w sobie nie jest kontrolą dostępu. Egzekwowalna część to filtr i stojąca za nim tożsamość wywołującego.

Ta różnica ma znaczenie przy zmianie uprawnień. Jeśli pracownik traci dostęp, stara pamięć podręczna lub nieaktualny indeks nie może nadal podawać dokumentu. Zespół potrzebuje określonej ścieżki aktualizacji i testów odebrania dostępu, a nie tylko testów jego przyznania. Jeśli usługa wyszukiwania nie potrafi odzwierciedlić modelu dostępu źródła, kopiowanie danych do jej indeksu może być złą architekturą.

Uprawnienia i trafność to dwa osobne testy

Dozwolony dokument może być nieistotny lub nieaktualny. Trafna odpowiedź może być niedozwolona. To różne tryby awarii, więc badaj je oddzielnie.

Najpierw przetestuj granicę: czy podmiot z jednego najemcy może wyszukać, zacytować lub wywnioskować prywatną treść drugiego? Uwzględnij pytania bezpośrednie, parafrazy i podsumowania. Następnie badaj jakość odpowiedzi w dozwolonym zbiorze: czy asystent wybiera aktualną politykę i przyznaje się do braku dowodów? Wskazówki Microsoftu dotyczące RAG wyraźnie zalecają kontrolę dostępu podczas wyszukiwania i traktowanie pobranej treści jako niezaufanej.

To kosztuje. Indeksowanie z uwzględnieniem uprawnień wymaga metadanych, powiązania tożsamości i obsługi odebrania dostępu. Niektóre zapytania po filtrowaniu dadzą pusty wynik. To poprawny rezultat, jeśli wywołującemu brak dostępu do dowodów. Wypełnienie luki pewnym siebie zgadywaniem zamieniłoby zabezpieczenie w problem z trafnością.

Ta granica pozwala też sprawdzić szerszą regułę dotyczącą wyjątków w automatyzacji: co powinno nastąpić, gdy zbiór autoryzowanych wyników jest pusty? Dobry projekt może odpowiedzieć „Nie mam dostępu do źródła potrzebnego do tej odpowiedzi” i wskazać właściwą ścieżkę eskalacji. Nie powinien poszerzać wyszukiwania o innego najemcę, ponownie używać starej odpowiedzi ani wywodzić prywatnych szczegółów z tytułu dokumentu. Traktuj pusty wynik jako zwykły, testowalny stan procesu. Uprawnienie jest częścią poprawności, a nie wyjątkiem łatanym po uruchomieniu.

Użyteczny asystent nie jest tym, który wie wszystko w firmie. Jest nim ten, który znajduje właściwe dowody w granicach uprawnień wywołującego i mówi, kiedy ta granica pozostawia pytanie bez odpowiedzi.