安全 · 2024
权限与隐私
检索前就按身份过滤文档，并防止模型把不该泄露的原文复述出来。
要解决的问题
向量库如果对所有用户返回最相似的块，权限低的人可以通过提问摸到权限高的文档。模型也可能把检索到的隐私原文写进答案。
相对前一代的变化
普通 RAG 只按相关性排序。权限过滤先限定允许的文档集合，隐私研究则说明检索增强会带来新的泄露面。
做法
每个块带上访问控制元数据。查询时把用户允许的租户、目录或密级写进过滤条件，再做向量或关键词检索。Zeng 等人进一步分析了 RAG 中资料被抽取和成员推断的风险。
局限
元数据过滤不等于完整的权限系统。过滤条件漏了、缓存串了用户，或者答案复述了敏感句，文档级权限仍然会破。
在链路中的位置
在检索发生之前生效，并在生成和日志里继续约束原文是否可显示。