Edição de 24/09: retirar acesso a um documento também no RAG

O acesso não termina no ficheiro original

Uma PME organiza um assistente interno para consultar documentação de projetos. A equipa de vendas perde acesso a um dossier reservado, mas o assistente já o indexou. A pergunta desta edição é o que deve ser demonstrado antes de afirmar que a restrição também vale na resposta gerada.

A nossa proposta separa três operações: autorizar a ingestão, decidir quais excertos uma identidade pode recuperar e eliminar cópias quando isso tiver sido decidido. Não são sinónimos. Retirar um utilizador do documento não prova, por si só, que todas as representações derivadas deixaram de ser acessíveis.

O risco identificado pela OWASP

OWASP LLM08 identifica acesso indevido por controlos desalinhados em sistemas de vetores e embeddings e recomenda recuperação consciente das permissões. LLM02 recomenda acesso limitado ao necessário. O AI RMF NIST é voluntário. Estas fontes não confirmam a segurança de uma base vetorial específica.

Ingestão com dono, recuperação com identidade

No nosso desenho, quem aprova a entrada de um dossier identifica dono, âmbito e versão da regra de acesso. A equipa RAG conserva a ligação entre documento, excertos e objetos derivados. Se a regra não puder ser representada de forma verificável, o documento não entra no piloto.

A consulta usa a identidade de quem pergunta e uma decisão de autorização independente da resposta do modelo. Não propomos recuperar tudo e pedir ao assistente que omita o que é reservado. O ensaio deve conseguir mostrar quais candidatos foram excluídos antes de construir o contexto e por que razão, sem despejar conteúdo confidencial nos registos.

O ensaio da revogação

Cenário hipotético: duas identidades autorizadas consultam um documento sintético. Uma perde acesso; a outra mantém-no. Depois repetem a mesma pergunta e uma paráfrase. O resultado esperado é impedir a recuperação para a primeira sem retirar indevidamente a consulta à segunda.

Teste também uma conversa iniciada antes da revogação e uma resposta em cache. Defina previamente se o serviço invalida esse estado ou exige nova consulta. A equipa deve observar o caminho real, não apenas verificar a lista de permissões na origem. A presença de um fragmento reservado no contexto da identidade revogada deve bloquear a expansão, mesmo que a resposta final o esconda.

Três operações, três donos de prova

A matriz é uma proposta não testada. O dono do documento não deve ter de interpretar sozinho a estrutura dos vetores; engenharia não deve inventar a política de acesso. A decisão de eliminação indica o que será apagado e o que exige tratamento separado, incluindo registos e cópias de recuperação.

Eliminar sem prometer mais do que a prova permite

Propomos inventariar documento original, excertos, índices, caches e respostas armazenadas antes de executar a eliminação. Para cada componente, registe ação, resultado e exceção. Uma cópia de recuperação que continue retida deve aparecer como limite explícito, com restrição de acesso e regra para eventual restauro.

Não chamamos a isto prova de cumprimento de uma obrigação legal de apagamento. É um dossier operacional para uma PME portuguesa saber onde o conteúdo permanece e quem o pode consultar. Reveja o ensaio quando mudar a identidade, a estratégia de cache ou a sincronização de permissões. Só descreva como observado aquilo que os testes e o inventário efetivamente mostram.