Similaridade de cosseno não é propriedade de segurança

{ "resumo": "## A tese: similaridade não é verdade\n\nA busca vetorial em sistemas RAG devolve os documentos mais próximos da consulta segundo similaridade de cosseno - uma propriedade matemática sem qualquer noção de precisão, autoridade ou proveniência. Um documento fabricado pode pontuar 0,95 e o verdadeiro, 0,60. O modelo de embeddings não sabe o que o texto significa em sentido factual: frases que diferem só no número ("receita de $8,3M" vs. "$24,7M") quase não se distinguem no espaço vetorial. O autor ressalva que isso é propriedade da recuperação densa, não defeito de um modelo específico - nem all-MiniLM-L6-v2 nem sucessores como EmbeddingGemma-300M, Qwen3-Embedding e BGE-M3 mudam o quadro.\n\n## Engenharia de vocabulário: envenenar sem gradiente\n\nO ataque formalizado no PoisonedRAG (USENIX Security 2025) usa otimização por gradiente com acesso white-box e injetou cinco textos num corpus de 2,6 milhões, impondo respostas do atacante em mais de 90% dos casos. O autor mostra uma versão barata que dispensa gradiente: identificar o vocabulário da consulta alvo, escrever documentos com esse vocabulário e sinais de autoridade. Em laboratório, contra um pipeline sem defesa, alcançou 95% de sucesso em vinte execuções (leitura de laboratório, não taxa base de produção). Três documentos falsos - uma "correção do CFO", um "aviso de restatement" que reenquadra o número real como erro e uma "ata de conselho" - corroboram a fabricação; no top-3, três vencem um, e o documento verdadeiro fica fora da janela de contexto.\n\n## O enquadramento pesa mais que a recuperação\n\nPoisonedRAG descreve duas condições: o documento envenenado deve entrar no top-k e deve induzir a resposta do atacante. Pesquisa recente (Korn, 2026) sugere que o enquadramento adversarial faz mais da metade do trabalho, com sucesso variando quase 58 pontos entre quatro arquiteturas - de 81,9% no RAG vanilla a 24,4% num arranjo recursivo. O autor observa que, em suas medições, o documento legítimo muitas vezes era recuperado e ainda assim perdia a disputa dentro da janela de contexto.\n\n## A geometria vira defesa\n\nO requisito do atacante é também sua assinatura: para ser recuperado, o documento envenenado precisa se aproximar do conteúdo legítimo. O autor propõe dois sinais na ingestão - alta similaridade com documentos existentes e clusters apertados entre documentos novos - que, com limiares de 0,85 e 0,90, derrubaram o sucesso do ataque de 95% para 20%. O resíduo é o dilema do atacante: fugir da detecção degrada a recuperação. Limiares, porém, dependem do padrão de ingestão e do modelo de embeddings: trocar o modelo invalida os valores calibrados.\n\n## Controle de acesso como única defesa estrutural\n\nSem filtro de metadados na consulta, qualquer usuário acessa qualquer documento - o autor obteve dados salariais confidenciais, material jurídico privilegiado e pipeline de M&A em 20 de 20 consultas, sem evasão. O filtro de classificação por perfil é a única defesa completa contra vazamento entre inquilinos, porque impede o conteúdo de entrar no contexto. Implementação parcial, que cobre só o endpoint principal, é pior que nenhuma, pois cria confiança falsa.\n\n## Vetores não são opacos\n\nA suposição de que embeddings são funções de mão única era folclore, não resultado. Vec2Text (EMNLP 2023) recuperou exatamente 92% de entradas de 32 tokens, incluindo nomes completos em notas clínicas. ALGEN (2025) reduziu o custo: de milhões de pares texto-vetor para cerca de mil, com a média de uma linha, transferindo entre codificadores e idiomas, e as defesas testadas não foram eficazes. LAGO (2025) amplia ainda mais o ganho com poucas amostras. Logo, exfiltração do repositório vetorial é exposição parcial de documentos, não de metadados - mesmo sem armazenar o texto original.\n\n## Implicações para o modelo de ameaças\n\nO autor recomenda reclassificar o comprometimento do vector store como vazamento parcial de documentos nos planos de resposta a incidentes (mudança barata antes do incidente) e avaliar criptografia vetorial por inquilino em cenários multi-tenant, como o Cloaked AI da IronCore Labs, com custo em latência e gestão de chaves. Fecha com um checklist cobrindo acesso, classificação, monitoramento, recuperação e exposição à inversão. As medições, de março de 2026, usaram ChromaDB com all-MiniLM-L6-v2 e Qwen2.5-7B-Instruct; demonstram mecanismos, não taxas base de produção.", "hook": "Cinco documentos fabricados bastaram para corromper uma base de conhecimento de 2,6 milhões em testes do PoisonedRAG, e uma versão sem otimização por gradiente alcançou 95% de sucesso em laboratório. Enquanto isso, pesquisas de inversão já recuperam até 92% do texto original a partir de embeddings armazenados - com cerca de mil pares como treino. O autor argumenta que similaridade de cosseno mede ângulo, não verdade, e que defesas viáveis existem na própria geometria do ataque.", "entities": ["ChromaDB", "PoisonedRAG", "all-MiniLM-L6-v2", "Vec2Text", "ALGEN", "IronCore Labs"], "themes": ["seguranca-e-alinhamento", "pesquisa-e-benchmarks"], "story_key": "similaridade-cosseno-nao-e-seguranca", "reasoning": { "story_key": "Tese central do artigo: similaridade de cosseno não é propriedade de segurança em RAG; o fato canônico é a demonstração de envenenamento e inversão de embeddings.", "themes": { "seguranca-e-alinhamento": "O assunto é risco do pipeline de IA: envenenamento de RAG, vazamento entre inquilinos e inversão de embeddings - ataques ao sistema de IA em si, não malware clássico.", "pesquisa-e-benchmarks": "O artigo se apoia em medições, evals e papers (PoisonedRAG, Korn 2026, Vec2Text, ALGEN, LAGO) que medem comportamento de modelos e arquiteturas RAG." }, "entities": { "ChromaDB": "Banco vetorial usado nos experimentos e cujas configurações (L2 vs. cosseno) são analisadas.", "PoisonedRAG": "Ataque formalizado que fundamenta o cenário de envenenamento descrito.", "all-MiniLM-L6-v2": "Modelo de embeddings usado nas medições e exemplo do problema discutido.", "Vec2Text": "Trabalho que estabeleceu a recuperação de texto a partir de embeddings.", "ALGEN": "Pesquisa que reduziu drasticamente o custo da inversão de embeddings.", "IronCore Labs": "Empresa citada com solução de criptografia vetorial (Cloaked AI) na defesa recomendada." }, "excluded": { "Amine Raji": "Autor do texto, excluído por regra.", "Qwen3-Embedding, BGE-M3, EmbeddingGemma-300M": "Menções secundárias sobre modelos mais recentes, sem papel central.", "LAGO": "Extensão secundária do ALGEN, citada de forma acessória." } } }