AI Security

外观

数据、知识与隐私安全 · A2.2 RAG、知识库与索引安全更新 2026-08-09约 4 分钟证据：中等 来源：arXiv:2605.13764

Embedding Store 隐写外传与向量完整性证明研究 ​

摘要 ​

VectorSmuggle 研究向量库中的一个非传统数据完整性风险：拥有摄取路径和向量备份读取权的内部攻击者可以在 Embedding 上做轻微变换，把额外信息编码进浮点制品，同时尽量不破坏用户可见的检索结果。作者在多种 Embedding 模型、七种向量存储配置及超过 26,000 个跨语料分块上评测，发现常规噪声、缩放等变换可被分布检测器识别，而小角度正交旋转可在作者评测中绕过两种密度检测器。

研究的关键结论不是“Embedding 必然泄露”，而是仅对文本、访问控制和网络流量做检查不足以证明向量制品未被事后篡改。作者提出的 VectorPin 将内容、Embedding 模型和规范化向量字节签名绑定；该结论成立的前提是攻击者能够修改摄取结果且能获得恢复所需元数据的威胁模型，不适用于只有正常查询权限的远程用户。

核心创新与差异 ​

原研究贡献是将 Embedding 视作需完整性保护的高维制品，比较六类变换的检索保真度、可检测性与恢复条件，并提出签名校验协议。本站分析认为它与“从向量恢复文本”或“软删除残留”不同：首个控制失效不是读取授权，而是摄取后向量字节与来源内容/模型之间没有不可篡改绑定。

威胁模型与攻击链 ​

攻击者是能通过正常摄取流程写入文档、并读取向量备份的内部人员或平台工程角色；不是只有检索 API 权限的外部查询者。

  1. 正常文档被分块并生成 Embedding。
  2. 攻击者在写入索引前或之后替换/变换向量，同时保留恢复所需的私有元数据。
  3. 向量库继续为相近查询返回看似正常的结果，常规 DLP 和文本审计看不到浮点层变化。
  4. 攻击者从可读备份或制品中恢复隐藏信息；若没有签名校验，系统无法判断向量是否仍对应原始内容和模型。

攻击工件与复现材料 ​

论文讨论了可编码变换。为避免提供可直接用于在生产向量库中隐藏或恢复数据的编码器，本站只给出防御端最小校验伪代码，保留“规范化字节必须绑定来源和模型”的验证条件。

python
# 本站去武器化伪代码；不生成、变换或恢复隐藏内容。
record = canonicalize(source_chunk, embedding_model, vector_bytes)
if not ed25519_verify(record.signature, record.public_key, record.payload):
    reject_ingestion("VECTOR_PROVENANCE_MISMATCH")
if record.embedding_model != approved_model:
    reject_ingestion("MODEL_MISMATCH")

该工件对应第 2–4 步的防御判定。测试应使用合成向量和本地密钥，不能把真实 Embedding、备份或业务内容加入样本。

实验设计与实际过程 ​

作者实验使用 text-embedding-3-large 与四个本地模型，在合成 PII、BEIR NFCorpus 和 Quora 子集上比较噪声、旋转、缩放、偏移、分片及组合变换；评测七种存储配置、查询改写、量化和自适应检测。检测对照为 Isolation Forest 与 One-Class SVM，防御为对规范化向量字节的 Ed25519 签名绑定。本站没有运行编码、恢复或向量库实验。

关键结果与实际影响 ​

作者报告只要变换明显改变方向（原向量余弦相似度低于 0.95），两种检测器对许多噪声类设置的 ROC-AUC 至少为 0.85；小角度正交旋转在其 35 个评测点中 AUC 不高于 0.53。高容量旋转并非不可见：在 text-embedding-3-large 的实测语料上，256 B 条件下 One-Class SVM AUC 约为 0.92，512 B 时至少 0.99，体现的是容量—可检测性权衡。作者的 VectorPin 设计能在签名校验时发现写后修改，但尚未给出生产规模部署或独立复现。

防护措施与验证方法 ​

  • 对每个向量的来源分块、版本、Embedding 模型、规范化字节和签名建立不可替换绑定，并在摄取和读取时验证。
  • 将异常检测作为辅助告警，不把“分布看起来正常”当作完整性保证。
  • 分开演练文档内容审计、向量字节篡改、模型替换、索引快照/备份恢复和签名密钥轮换。
  • 以合成数据测量签名失败检测率、检索质量、延迟和故障恢复，明确攻击者权限假设。

局限与待验证问题 ​

实验主要模拟拥有摄取和备份访问的内部攻击者，不能外推到查询接口泄露。论文检测器、语料、模型和量化配置有限；VectorPin 是协议设计，密钥管理、批量重嵌入、分布式索引一致性和真实吞吐代价仍待独立验证。

参考链接 ​