Debilidades del almacén de vectores

En la sala anterior, la reseña envenenada se recuperaba cuando alguien preguntaba por ese hotel. Un atacante que entiende el RAG puede ir más lejos: redactar su documento para que el buscador lo considere parecido a muchas preguntas diferentes —repartiendo términos variados, cubriendo temas que no vienen a cuento— de modo que se recupere en conversaciones que no tenían nada que ver con él. Cuantas más conversaciones lo traen al contexto, a más clientes llega la orden que lleva dentro.

Esto cambia la escala del problema. Una inyección por documento que solo aparece en un tema afecta a quien pregunta por ese tema; una fabricada para dominar la recuperación se cuela por todas partes. El defensor no puede mirar solo «qué dice» un documento, sino también «cuánto se recupera»: un texto que salta en respuestas de temas dispares es sospechoso por su alcance, aunque su contenido parezca inocuo.

Parte de la dificultad es que lo que el almacén guarda no es el texto, son vectores: listas de números que representan el significado. No puedes abrir el almacén y leer «esta entrada tiene una orden escondida», porque ahí no hay frases, hay coordenadas. Revisar la seguridad de lo indexado mirando los vectores es inviable; la revisión tiene que ocurrir antes, sobre el texto, en el momento de la ingesta.

De ahí que la curación en la ingesta —revisar y limpiar el contenido de terceros antes de convertirlo en vectores— no sea opcional cuando la fuente admite terceros. Una vez que un texto envenenado se vectoriza y entra al almacén, deja de ser legible y se comporta como cualquier otra entrada: se recupera por parecido sin que nadie note qué lleva dentro. La ventana para inspeccionar es la ingesta; después, el contenido se vuelve números.

El almacén de vectores tiene una segunda debilidad, de separación. Si Aura guarda en un mismo índice los documentos de todos los clientes sin partición, una búsqueda por parecido puede traer el documento de un cliente a la respuesta de otro —aunque la consulta sea legítima—, porque el parecido semántico no sabe de permisos. Es la fuga de contexto de este mismo módulo, pero vista desde la estructura del almacén, no desde el filtro de la consulta.

Por eso la separación se defiende en dos sitios a la vez. En el almacén, particionando: los vectores de cada cliente —o de cada nivel de confidencialidad— viven en su propio espacio, de modo que una búsqueda ni siquiera alcanza lo ajeno. Y en la consulta, filtrando por el usuario autenticado, como vimos. Apoyarse en un solo filtro de consulta sobre un índice que lo mezcla todo es más frágil que separar también la estructura: defensa en profundidad, no una sola línea.

Juntando la sala: el almacén de vectores no es plomería invisible, es superficie de seguridad. Se audita por tres cosas —si cura el contenido de terceros en la ingesta, si vigila documentos que se recuperan de más, y si separa por cliente—, y debajo de todas sigue la red de seguridad de la ruta: que lo recuperado no tenga poder directo de acción. Aunque un documento fabricado logre colarse y recuperarse mucho, la orden que lleve dentro muere si para hacer algo sensible tiene que pasar por el permiso determinista.

Esa es la jerarquía correcta. Curar la ingesta, vigilar la recuperación y particionar el almacén reducen cuántas inyecciones llegan y a cuántos clientes; el permiso de fondo decide que, si una llega, no logre nada grave. El almacén de vectores se diseña con cuidado porque es una puerta real, pero no es la última línea: la última sigue siendo lo que el modelo no puede desencadenar.

Ya sabes que el almacén de vectores es superficie. Audítalo sobre Aura: abre la configuración de su almacén de vectores y mira si separa por cliente y si cura el contenido en la ingesta. El archivo cierra con un código de la sala.