Le RAG qui en dit trop

Brancher un assistant sur les documents d'une organisation est l'usage le plus répandu en entreprise. C'est aussi là que se produisent les fuites les plus banales et les plus graves : un salarié qui obtient, par une question anodine, un document qu'il n'aurait jamais pu ouvrir lui-même.

L'index commun, ou la fuite par construction

Le schéma naïf : tous les documents dans une même base vectorielle, et une consigne au modèle (« ne révèle pas les documents RH aux non-managers »). La recherche ramène les passages les plus proches de la question, quels que soient les droits de celui qui la pose, et le modèle les a sous les yeux. La consigne n'y peut rien : l'information est déjà dans le contexte.

La règle : filtrer avant de chercher

• Chaque morceau indexé porte ses droits d'accès en métadonnées : qui peut le lire, d'après le système d'origine.
• La recherche est filtrée selon l'identité de l'utilisateur avant le calcul de proximité. Ce qu'il ne peut pas lire n'est jamais remonté, donc jamais vu par le modèle.
• Les droits se synchronisent : un document retiré à quelqu'un dans l'outil d'origine doit disparaître de ses résultats, et un document supprimé doit sortir de l'index. L'oubli de cette synchronisation est une cause fréquente de fuite durable.
• Un client, un espace : pour un service utilisé par plusieurs organisations, des index séparés ou un filtrage strict par client, jamais une base commune filtrée par le modèle.

Les embeddings ne sont pas de l'anonymisation

On entend parfois que les vecteurs stockés sont « illisibles ». Des travaux de recherche ont montré dès 2023 qu'on peut reconstruire une grande partie du texte d'origine à partir de ses embeddings. Une base vectorielle qui contient des données personnelles se protège donc comme la base de documents elle-même.

Le prompt système n'est pas un coffre

Partez du principe que votre prompt système finira par être lu : des utilisateurs patients parviennent presque toujours à le faire réciter. N'y mettez ni clé d'accès, ni règle de sécurité dont la connaissance permettrait de la contourner, ni information confidentielle. Ce qui doit rester secret reste côté serveur.