El ruido en los embeddings no protege los datos: 100 pares conocidos revelan ~90% de los documentos

Si se almacenan en una base vectorial embeddings con ruido añadido, reconstruir el texto original a partir de ellos es, en efecto, difícil, pero eso no significa que los datos estén protegidos. El autor del estudio, publicado en Habr, montó un banco de pruebas que mide el reconocimiento: dado un registro protegido y un conjunto de documentos conocidos, determina a qué documento pertenece el registro. Se evaluaron 8 esquemas de protección.

En la comparación principal, el atacante conoce 1000 pares «documento — registro» de los 5183 documentos de la colección SciFact (cerca del 19%). Con solo 100 pares conocidos, es decir, el 2% del corpus, ya se reconoce cerca del 90% de los documentos. El ruido gaussiano deja reconocibles el 99,9% de los registros, incluso cuando la calidad de la búsqueda se ha reducido a la mitad.

Qué se probó exactamente y en qué condiciones

El trabajo sobre vec2text (un ataque que reconstruye un texto a partir de su embedding) proponía tres defensas: ruido, compresión con product quantization (PQ) y una transformación lineal secreta. Según sus datos, el ruido anula la reconstrucción exacta del texto mientras la calidad de la búsqueda apenas se resiente: 0,748 frente a 0,730 en top-10. El autor observó que reconstruir un texto y reconocer un registro entre documentos conocidos son tareas distintas. Una defensa puede superar la primera prueba y fallar la segunda. Para documentación pública, artículos científicos y bases filtradas con anterioridad, la segunda tarea es realista: el atacante no necesita textos desconocidos, le basta con emparejar los registros con los que ya tiene.

El banco de pruebas incluye ocho esquemas: ruido gaussiano, ruido tras una rotación secreta, SAP/DCPE (ruido uniforme en una bola; implementado según el algoritmo 2 del artículo de Fuchsbauer y coautores, SCN 2022), LSH binario, proyección aleatoria, PQ, una no linealidad secreta y cuantización k-anónima. Las pruebas se hicieron con dos colecciones de BEIR (SciFact, con 5183 documentos, y NFCorpus, con 3633) y dos modelos: all-MiniLM-L6-v2 y bge-small-en-v1.5. El atacante ajusta, por mínimos cuadrados, una transformación lineal que lleva los registros protegidos de vuelta al espacio de los embeddings. Las autocomprobaciones con protección nula detectaron dos errores: k-means cambiaba la partición al escalar los datos, y el 2,2% de NFCorpus resultó ser duplicados, que se excluyeron del cómputo.

Las cifras: el ruido no funciona, la pérdida de información sí

En el punto en que la calidad de la búsqueda cae a la mitad, se reconoce el 99,9% de los registros con ruido gaussiano, el 99,2% con rotación más ruido y el 98,7% con SAP/DCPE. El LSH binario da un 81,1%, la proyección aleatoria un 60,8% y PQ un 27,0%. La no linealidad secreta tanh(gain · Qv) no ayudó: 100% en todo el rango del parámetro, con una calidad de búsqueda superior al 90%. La forma del ruido es irrelevante: el ruido uniforme en una bola, el gaussiano común y el gaussiano tras una rotación producen curvas casi idénticas.

La rotación secreta solo frena el ataque ingenuo: la correspondencia por coseno cae del 100% al 0,0%, pero el alineamiento lineal sigue dando el 100%. Al atacante le hace falta poco: con una configuración de ~80% de calidad, 100 pares conocidos (2% del corpus) permiten reconocer el 91% de los registros en SAP, el 89% con ruido gaussiano, el 88% con rotación, el 72% con proyección, el 61% con LSH y el 37% con PQ. Con 200 pares, los esquemas basados en ruido alcanzan entre el 98% y el 100%.

PQ resultó la mejor de las defensas probadas, pero no sale gratis. En los regímenes de alta precisión a los que se refiere el artículo sobre vec2text, el reconocimiento es casi total: 192 subvectores, 100%; 48, 100%; 32, 99,8%. Solo baja del 50% con una compresión a 4 bytes por vector (9,7% con un 41% de calidad); con 8 bytes se reconoce el 44,5% de los registros y la calidad cae al 59%.

El resultado también depende del corpus: con un 50% de calidad en SciFact se reconoce el 27,0% y el 25,4%, y en NFCorpus el 1,6% y el 1,7%. El autor supone que un corpus temáticamente homogéneo (nutrición y medicina) funde documentos parecidos en códigos idénticos, de modo que la protección sería un efecto secundario de los datos y no una propiedad del esquema.

Para obtener un límite demostrable, el autor implementó una cuantización k-anónima: los documentos se agrupan en conjuntos de al menos k elementos y cada grupo se almacena con un único vector común. Con k=2, el límite de reconocibilidad es del 29,8% y lo medido fue 8,3%; con k=3, el límite es del 16,5% y lo medido, 0,5%. Sin embargo, en calidad por coste la implementación pierde frente a PQ: con un 8,3% de reconocibilidad se conserva un 34% de calidad, mientras que PQ con m=4 conserva un 41% con un 9,7%.

La causa son los grupos desequilibrados (mínimo 2, mediana 3, media 6,2): el límite lo fija el grupo más pequeño, mientras que la calidad se resiente por la larga cola de grupos grandes. El autor no probó una asignación equilibrada.

Límites del resultado y conclusión práctica

El banco de pruebas mide solo el reconocimiento a partir de candidatos conocidos, no la reconstrucción de un texto desconocido. Los 8 esquemas son geométricos, por lo que existe una transformación inversa. El banco no puede atacar el cifrado homomórfico, PIR, la computación multipartita ni ORAM, así que la conclusión «nada funciona» es incorrecta. La muestra es pequeña: dos colecciones, dos modelos, todo en inglés y un único volcado de datos sin observación de consultas. El experimento con vec2text sobre texto completo no resultó convincente: 45,9% en token-F1 y 0% de coincidencias exactas, incluso con embeddings limpios.

En la práctica, esto implica lo siguiente. La protección de los embeddings debe evaluarse por el reconocimiento en un corpus parecido al propio, y no solo por la reconstrucción del texto. Una transformación secreta sin otras medidas es inútil si el atacante puede llegar a tener un par de centenares de pares conocidos. Si hace falta protección, habrá que pagar con calidad de búsqueda, por ejemplo con PQ de compresión fuerte. Los datos que no se pueden entregar es más sencillo no entregarlos: mantenga el modelo y la base en casa.

Una observación adicional: bge-small-en-v1.5 (nDCG@10 = 72,0 en SciFact) pierde la mitad de la calidad con un 100% de ruido relativo, mientras que el más débil all-MiniLM-L6-v2 (64,5) aguanta el 150%. Los cálculos se ejecutan en un procesador convencional, la vectorización de la colección tarda unos 5 minutos con dos núcleos y el código está publicado en GitHub, en el repositorio semantic-cryptography.