Auf dieser Seite
Ein Quellenverweis führt zu einem Vertrag, aber zum falschen Kunden. In diesem Beispiel durchsucht ein Support-Assistent die Ordner zweier Kunden nach einem Verlängerungsdatum. Er findet einen ähnlichen Vertrag des anderen Kunden, nimmt ihn in den Kontext und antwortet flüssig.
Das ist kein gemeldeter Vorfall. Der Verweis lässt die Antwort sorgfältig aussehen, während sie Daten des falschen Kunden offenlegt. Der Fehler entstand, bevor das Modell einen Satz schrieb.
Ein aufgezeichneter Vortrag zum Ort von KI-Wissen macht einen nützlichen Architekturpunkt: Wissen, das je nach Nutzer:in variiert, braucht eine zugriffsgeschützte Suchschicht. Die Anleitung von Microsoft zum Zugriff auf Dokumentebene beschreibt Berechtigungsprüfungen für indexierte Dokumente und die Identität bei der Abfrage. Die allgemeine Regel ist einfacher als jedes einzelne Suchprodukt: Nur erlaubtes Material darf den Antwortweg erreichen.
Setze die Grenze vor die Antwort
Ein Prompt kann einen Assistenten zu knappen Antworten, Quellenangaben oder Rückfragen anhalten. Er kann aber nicht sicher sagen „Verwende keine Dokumente des falschen Kunden“, während das Modell genau diese Dokumente erhält. Hat die Suche die Grenze überschritten, soll der Prompt einen Zugriffsfehler rückgängig machen.
Die Anwendung muss die Identität der anfragenden Person feststellen. Die Suchanfrage trägt den daraus folgenden Umfang: Mandant, Rolle, Konto oder Dokumentrecht, je nach Fachgebiet. Kandidaten müssen gefiltert oder autorisiert werden, bevor ihr Text an das Modell geht. Kann die Antwort einen Schreibvorgang auslösen, muss der Schreibweg die Berechtigung am Zieldatensatz erneut prüfen.
- Identität
in der Anwendung authentifizieren
- Beschränkte Suche Mandant · Rolle · Dokument
vor dem Modellkontext filtern
- Belegte Antwort
erlaubte Quellen nennen
- Schreibberechtigung
Zieldatensatz erneut prüfen
Das betrifft nicht nur Vektorsuche. Auch Stichwortsuche, zwischengespeicherte Zusammenfassungen, Gesprächsspeicher und Toolergebnisse können private Inhalte enthalten. Eine Zusammenfassung aus dem Dokument eines Mandanten bleibt privat, auch wenn der Quelltext gekürzt wurde.
Unser Leitfaden zur Verbindung von Business-Tools fragt, wer jeden Datensatz besitzt und welches System maßgeblich ist. Für einen Assistenten kommt eine weitere Frage hinzu: Wer darf überhaupt wissen, dass dieser Datensatz existiert?
Ein kleines Beispiel zeigt die Reihenfolge
Angenommen, ein beispielhafter Index enthält vier Dokumente: zwei öffentliche Hilfeartikel, einen Vertrag für Mandant A und einen für Mandant B. Eine Person aus Mandant A fragt nach Rechnungsbedingungen. Der semantisch ähnlichste Treffer ist zufällig der Vertrag von B.
Eine unbeschränkte Suche liefert ihn. Die spätere Anweisung „Antworte nur für Mandant A“ garantiert keine Sicherheit; der Inhalt ist schon im Modellkontext. Eine beschränkte Suche entfernt das Dokument von B vor der Rangfolge oder gibt nur erlaubte Kandidaten zurück. Der Assistent kann aus dem Vertrag von A antworten oder sagen, dass die nötige Quelle fehlt.
Die konkrete Umsetzung hängt von der Plattform ab. Das Sicherheitsfiltermuster von Azure AI Search verbindet Gruppenkennungen mit Dokumenten und filtert jede Abfrage. Die Dokumentation warnt zudem: Ein Berechtigungsfeld aus der Antwort auszublenden, ist selbst keine Zugriffssteuerung. Durchsetzbar sind der Filter und die geprüfte Identität dahinter.
Wenn Berechtigungen sich ändern, wird das besonders wichtig. Verliert jemand den Zugriff, darf ein alter Cache oder Index das Dokument nicht weiterliefern. Teams brauchen einen festgelegten Aktualisierungsweg und Tests für Entzug, nicht nur für die erste Vergabe. Kann die Suche das Zugriffsmodell der Quelle nicht abbilden, ist eine Kopie in diesen Index möglicherweise die falsche Architektur.
Berechtigung und Relevanz sind verschiedene Prüfungen
Ein erlaubtes Dokument kann unpassend oder veraltet sein. Eine richtige Antwort kann unerlaubt sein. Das sind verschiedene Fehlerarten; prüfe sie getrennt.
Teste zuerst die Grenze: Kann eine Person aus einem Mandanten private Inhalte eines anderen suchen, zitieren oder erschließen? Stelle direkte Fragen, umschreibe sie und nutze Zusammenfassungen. Prüfe danach die Antwortqualität innerhalb der erlaubten Menge: Wählt der Assistent die aktuelle Richtlinie und gibt er fehlende Belege zu? Der RAG-Leitfaden von Microsoft empfiehlt ausdrücklich Zugriffskontrolle bei der Suche und behandelt gefundene Inhalte als nicht vertrauenswürdig.
Das kostet Aufwand. Berechtigungsbewusste Indizes benötigen Metadaten, Identitätszuordnung und Behandlung des Rechteentzugs. Manche Suchen liefern nach dem Filtern nichts. Fehlen der anfragenden Person Belege, ist genau das die richtige Antwort. Eine selbstsichere Vermutung würde aus dem Zugriffsschutz ein Genauigkeitsproblem machen.
Diese Grenze prüft auch die breitere Regel für Ausnahmen in der Automation: Was passiert, wenn die erlaubte Suchmenge leer ist? Eine gute Architektur kann „Ich habe keinen Zugriff auf eine Quelle für diese Antwort“ liefern und den richtigen Eskalationsweg zeigen. Sie darf weder in einem anderen Mandanten suchen noch eine alte Antwort wiederverwenden oder private Details aus einem Dokumenttitel ableiten. Behandle die leere Ergebnismenge als normalen, testbaren Zustand. Berechtigung gehört zur Korrektheit, nicht zu den Nacharbeiten nach dem Start.
Ein nützlicher Assistent weiß nicht alles im Unternehmen. Er findet die richtigen Belege innerhalb der Befugnis der anfragenden Person und sagt, wann diese Grenze eine Antwort verhindert.
Häufig gestellte Fragen
Kann ein Prompt dem Assistenten verbieten, private Datensätze preiszugeben?
Ein Prompt beschreibt Verhalten, ersetzt aber keine Zugriffsprüfung. Beschränke die Suche auf Dokumente, die die anfragende Person sehen darf, und prüfe Rechte vor folgenreichen Aktionen erneut.
Wo gelten Mandantenrechte in einem Suchsystem?
Verbinde die authentifizierte Person mit der Abfrage und filtere oder autorisiere Dokumente, bevor ihr Inhalt in den Modellkontext gelangt. Halte Berechtigungsdaten bei Zugriffsänderungen aktuell.
Macht ein Quellenverweis die Antwort vertrauenswürdig?
Nein. Er zeigt die Quelle. Er beweist weder, dass die anfragende Person sie sehen durfte, noch dass die Daten aktuell und richtig sind.