AI Security

外观

数据、知识与隐私安全 · A2.2 RAG、知识库与索引安全更新 2026-09-06约 5 分钟证据：中等 来源：arXiv:2609.03749v1

Rent-a-RAG：用 Embedding 空间水印审计第三方语料复用 ​

摘要 ​

Rent-a-RAG 研究第三方 RAG 市场中的文档复用审计。数据提供方只控制交付前的文档，不控制运营方的检索器、生成模型、Prompt 或后处理，也看不到检索日志。作者提出 DirBucket：用保持语义的改写让文档 embedding 朝向“提供方—桶”密钥方向偏移，再从黑盒回答中累积方向性证据，判断运营方是否复用了应付费文档。

在主要混合提供方 benchmark 上，作者报告 DirBucket 是比较方法中唯一持续实现强目标检测且没有非目标激活的方法，每轮违规审计都在最多 23 个回答内达到报告阈值。方法未经改动迁移到由临床、网络威胁情报和法律语料组成的第二个 benchmark。这里的“23”是单轮审计所需回答数上界，不是文档数、提供方数或独立部署数；论文尚无独立复现，因此证据等级为 moderate。

核心创新与差异 ​

原研究贡献。 既有输出水印通常要求控制生成解码，RAG 数据集推断多以整库是否存在为目标。DirBucket 把水印放在提供方交付的文档中，目标细化为多提供方混合回答里的文档级复用归因；检测只需审计密钥、源语料和问答接口。

本站分析。 本研究的安全价值不是证明内容所有权，而是为合同或计费争议提供可重复的统计信号。它应归入 RAG 知识与索引安全，而不是模型输出水印：水印载体是检索文档，审计目标是第三方语料使用，主要控制方是数据提供方与 RAG 运营方。

威胁模型与审计链 ​

多个数据提供方把带水印语料交给第三方运营方。运营方可能缓存、复制或绕过按次付费，并可在答案中释义、摘要、重排、混合多个提供方内容，甚至做针对性后处理。授权审计者持有提供方密钥和源语料，只能提交查询并观察最终回答。

  1. 提供方把文档分桶，为每个提供方—桶组合派生秘密方向。
  2. 在保持含义与可读性的约束下选择改写，使文档 embedding 带方向性偏移。
  3. 审计者提交会自然检索目标文档的问题，不读取内部检索结果。
  4. 将回答片段与候选源文档对齐，按密钥方向累积目标与非目标证据。
  5. 统计量达到预先设定的报告阈值后，输出需进一步核查的复用信号。

方法与安全复现材料 ​

以下是本站依据公开机制重构的合规测试接口，只用于自有合成语料。它省略秘密方向生成、改写搜索参数、检测阈值和规避实验细节，避免形成针对真实服务的未授权审计工具。

text
key = test_key(provider=FAKE_PROVIDER, corpus=SYNTHETIC_CORPUS)
marked = watermark_for_lab_only(SYNTHETIC_DOCS, key)
answers = query_local_rag(AUTHORIZED_TEST_QUERIES, marked)
report = audit_with_preregistered_threshold(answers, key)
assert report.includes(target_rate, non_target_rate, answer_count)

预期结果不是“单个回答命中即定罪”，而是在预注册阈值、负对照和多轮回答下形成可复核证据。检测日志应保存查询数、可对齐回答数、目标激活、非目标激活、停止规则及答案质量。

实验设计与实际过程 ​

主要 benchmark 使用污染可控的虚构多提供方语料，模拟同一回答混合多个来源；比较对象包括改造后的语义水印、词面/embedding 相似度、检索表示与蕴含式归因方法。作者还测试释义、风格变化、生成后清洗和不同混合程度。第二个 benchmark 使用 3 个真实领域——临床、网络威胁情报和法律——检验参数不变时的迁移。

论文以审计回答数作为样本效率分母，同时报告目标检测与非目标激活。摘要确认主要 benchmark 中每轮审计在不超过 23 个回答后达到报告阈值，但没有把该值表述为单次回答准确率。本站核对了论文公开全文和摘要，未生成水印或对第三方系统执行审计。

关键结果与实际影响 ​

  • 主要 benchmark 中，DirBucket 在作者设定的全部审计轮次内达到目标检测阈值，单轮最多使用 23 个回答，同时没有观察到非目标激活。
  • 水印在已测释义、风格变化和针对性答案清洗后仍可检测；作者报告没有一种已测规避方法能同时消除检测信号并保持用户感知的答案质量。
  • 同一检测配置迁移到 3 个真实领域构成的第二 benchmark，说明信号不只存在于虚构语料；这仍不是对生产市场或所有 embedding 模型的保证。

实际应用中，该信号可触发合同审计、账单复核或更强取证，但不能单独证明故意侵权。语义等价判断、阈值选择、密钥保管和合法授权都属于证据链的一部分。

防护措施与验证方法 ​

  1. 预注册审计方案。 在看到目标输出前固定阈值、停止规则、查询集和负对照，避免事后挑选显著结果。
  2. 同时报告两类分母。 分开记录达到阈值所需回答数，以及目标/非目标提供方的审计轮次；不能只给“检测成功”。
  3. 验证内容效用。 对原文与水印版本比较检索召回、答案正确性、语义一致性和人工可读性。
  4. 密钥与桶隔离。 使用独立密钥、轮换和访问审计，避免一个提供方的方向泄漏污染其他提供方归因。
  5. 与运营日志交叉核验。 水印信号只作为外部证据；争议处理仍应结合检索日志、授权记录、缓存策略和计费流水。

局限与待验证问题 ​

论文假设提供方能在交付前改写文档，审计者持有源语料与密钥，并能构造自然命中目标文档的查询。方法依赖语义保持判定和特定 embedding 几何；更换模型、语言、长文切分或大规模提供方数量可能改变信号。摘要给出的 23 个回答是主要 benchmark 的上界，不代表所有文档都可用同样预算审计。研究已被 EMNLP 2026 主会接收，但同行评审状态不等于生产级独立验证。

参考链接 ​