Znalosti mají hranici přístupu

Citace ukazuje na smlouvu, ale ta patří jinému zákazníkovi. V tomto ilustrativním případě asistent podpory prohledává složky dvou zákazníků kvůli datu obnovení. Najde podobnou smlouvu druhého zákazníka, vloží ji do kontextu a plynule odpoví.

Nejde o nahlášený incident. Citace dělá odpověď zdánlivě pečlivou, ale odhaluje data nesprávného zákazníka. Chyba vznikla předtím, než model napsal větu.

Zaznamenaná přednáška o místě znalostí v AI přináší užitečný architektonický bod: znalosti odlišné podle uživatele potřebují vyhledávací vrstvu s kontrolou přístupu. Pokyny Microsoftu k oprávněním na úrovni dokumentu popisují kontroly svázané s indexovanými dokumenty a identitou v době dotazu. Obecné pravidlo je jednodušší než kterýkoli vyhledávací produkt: do cesty k odpovědi smí vstoupit jen povolený materiál.

Hranici umístěte před odpověď

Prompt může asistentovi říct, aby byl stručný, citoval zdroje nebo žádal upřesnění. Nemůže bezpečně tvrdit „pamatuj, že nesmíš použít dokumenty jiného zákazníka“, pokud je model již dostal. Pokud vyhledávání překročilo hranici, prompt má napravit selhání přístupu.

Identitu volajícího musí stanovit aplikace. Vyhledávací dotaz musí nést odpovídající rozsah: zákaznický účet, roli, účet uživatele nebo oprávnění k dokumentu podle oblasti. Kandidátní výsledky musí být filtrovány nebo autorizovány dříve, než jejich text dostane model. Může-li odpověď spustit zápis, cesta zápisu musí oprávnění znovu zkontrolovat vůči cílovému záznamu.

Není to jen problém vektorového vyhledávání. Klíčová slova, uložená shrnutí, paměť konverzace i výsledky nástrojů mohou obsahovat soukromé údaje. Shrnutí dokumentu jednoho zákazníka zůstává soukromé i po zkrácení zdroje.

Náš průvodce propojením firemních nástrojů se ptá, komu patří každý záznam a který systém je autoritativní. U asistenta přidejte další otázku: kdo smí vědět, že záznam existuje?

Malý příklad ukazuje pořadí

Představme si ilustrativní index se čtyřmi dokumenty: dva veřejné články nápovědy, jednu smlouvu zákazníka A a jednu zákazníka B. Uživatel zákazníka A se ptá na platební podmínky. Nejbližší významovou shodou je smlouva zákazníka B.

Vyhledávání bez omezení ji vrátí. Pozdější pokyn „odpovídej jen pro zákazníka A“ nemůže zajistit bezpečnost; obsah už vstoupil do kontextu modelu. Vyhledávání s omezením odstraní dokument B před řazením nebo vrátí jen autorizované kandidáty. Asistent pak může odpovědět ze smlouvy A nebo říct, že potřebný zdroj nemá.

Přesná realizace závisí na platformě. Bezpečnostní filtr Azure AI Search přiřazuje dokumentům identifikátory skupin a na každý dotaz aplikuje filtr. Dokumentace také upozorňuje, že skrytí pole oprávnění v odpovědi samo o sobě není kontrolou přístupu. Vymahatelnou částí je filtr a identita volajícího za ním.

Rozdíl je důležitý při změně oprávnění. Ztratí-li zaměstnanec přístup, stará cache nebo zastaralý index mu nesmí dokument dále podávat. Tým potřebuje určenou cestu aktualizace a testy odebrání oprávnění, nejen testy přidělení. Pokud vyhledávací služba neumí respektovat přístupový model zdroje, kopírovat data do jejího indexu může být špatná architektura.

Oprávnění a relevantnost jsou různé testy

Povolený dokument může být nepodstatný nebo zastaralý. Správná odpověď může být nepovolená. To jsou odlišná selhání a testujte je odděleně.

Nejprve testujte hranici: může volající z jednoho zákaznického účtu načíst, citovat nebo odvodit soukromý obsah druhého? Zahrňte přímé dotazy, parafráze i shrnutí. Potom testujte kvalitu odpovědi uvnitř povoleného souboru: zvolí asistent aktuální pravidlo a přizná chybějící důkazy? Pokyny Microsoftu k RAG výslovně doporučují kontrolu přístupu při vyhledávání a zacházet s načteným obsahem jako s nedůvěryhodným.

Je to práce navíc. Indexování se znalostí oprávnění vyžaduje metadata, propojení identit a řešení odebrání přístupu. Některé výsledky budou po filtraci prázdné. To je správně, pokud volajícímu chybějí povolené důkazy. Vyplnit mezeru sebejistým odhadem by změnilo ochranu přístupu v problém správnosti.

Tato hranice také prakticky testuje širší pravidlo o výjimkách automatizace: co má nastat, když je povolený soubor výsledků prázdný? Dobrý návrh odpoví „Nemám přístup ke zdroji potřebnému pro tuto odpověď“ a nabídne správnou cestu eskalace. Nemá rozšířit hledání na jiného zákazníka, znovu použít starou odpověď ani odvozovat soukromé detaily z názvu dokumentu. Prázdný výsledek berte jako běžný testovatelný stav postupu. Oprávnění je součást správnosti, ne výjimka k záplatě po spuštění.

Užitečný asistent nemusí vědět všechno ve firmě. Musí najít správné důkazy v mezích oprávnění volajícího a říct, když tato hranice ponechává otázku bez odpovědi.