RAG i uprawnienia: firmowa wyszukiwarka nie może wiedzieć za dużo

Pracownik pyta asystenta o rabat zapisany w umowie z klientem. Nie ma dostępu do folderu z umowami, ale dostaje poprawną odpowiedź. System może wyglądać na bardzo pomocny. Właśnie ujawnił jednak informację, której pracownik nie powinien otrzymać. Niedostępny link do pliku na końcu wiadomości nie cofa tego, co już przeczytał.

Przy asystencie do firmowej wiedzy uprawnienia muszą obejmować drogę od pytania do źródła i odpowiedzi. Nie są dodatkiem do logowania. Konto potwierdza, kto korzysta z aplikacji; osobna decyzja określa, jakie materiały ta osoba może zobaczyć.

Zachowaj tożsamość osoby pytającej

Jeżeli wyszukiwarka korzysta z konta technicznego widzącego całą bibliotekę, aplikacja musi nadal ograniczać wynik do zakresu konkretnego użytkownika. W przeciwnym razie wszyscy pracownicy otrzymują pośrednio możliwości tego konta. Wspólny klucz bywa wygodny podczas demonstracji, lecz nie powinien zostać firmowym awansem na administratora wszystkiego.

Przed wdrożeniem zapisz role, grupy i wyjątki. Rozróżnij dostęp do całego dokumentu od dostępu do określonej aplikacji. Nie wymyślaj nowych zasad tylko po to, żeby indeksowanie było prostsze. Jeśli materiał źródłowy wymaga rozdzielenia na części o innym poziomie poufności, powinien zatwierdzić to jego właściciel.

Microsoft opisuje w dokumentacji Azure AI Search wzorzec filtrowania wyników na podstawie tożsamości i zakresu użytkownika. W konkretnym projekcie trzeba sprawdzić, jak źródło przekazuje te informacje i co następuje, gdy ich brakuje. Brak metadanych dostępu nie jest zgodą na pokazanie wszystkich dokumentów.

Nie ograniczaj przeglądu do samych folderów. Integracje API i webhooki mogą tworzyć kolejne kopie danych lub przesyłać zdarzenia o zmianie dostępu. Ustal, które połączenie jest odpowiedzialne za aktualizację uprawnień i jak system rozpozna, że powiadomienie nie dotarło. Inaczej poprawny filtr będzie pracował na nieaktualnym opisie rzeczywistości.

Fragment nie traci zasad dokumentu

RAG często pracuje na fragmentach materiałów. Każdy z nich powinien zachować powiązanie ze źródłem i jego ograniczeniami. Zdanie wyjęte z poufnej umowy nie staje się publiczne tylko dlatego, że przestało wyglądać jak cała umowa. Tę samą zasadę trzeba uwzględnić przy tytułach, cytowaniach i podpowiedziach wyszukiwania.

Projekt integracji firmowych systemów powinien określać także zmianę uprawnień bez zmiany treści. Odebranie pracownikowi grupy może wymagać odświeżenia indeksu, unieważnienia wyniku albo ponownej kontroli przy odczycie. Wybrany mechanizm trzeba potwierdzić testem, nie nazwą funkcji w panelu.

Jeżeli system zapisuje gotowe odpowiedzi dla szybszego ponownego użycia, sprawdź podział tych zapisów według zakresu dostępu. To samo pytanie zadane przez dwie osoby nie musi mieć tego samego zbioru dopuszczalnych źródeł. Szybkie udostępnienie odpowiedzi z cudzej rozmowy nadal jest udostępnieniem cudzej informacji.

Testuj zmianę roli w istniejącej rozmowie

Przygotuj kontrolowane dokumenty: ogólnofirmowy oraz dwa dostępne dla różnych zespołów. Zadaj podobne pytania jako różni użytkownicy. Następnie odbierz jednej osobie uprawnienie i powtórz próbę w nowej oraz otwartej wcześniej rozmowie. Zapisz oczekiwany wynik dla każdej sytuacji.

Sprawdź również pytanie o sam fakt istnienia dokumentu. Odmowa może niepotrzebnie ujawnić jego tytuł, autora lub temat. Projekt komunikatu powinien zapewniać użyteczną informację o braku podstawy odpowiedzi bez odsłaniania chronionych szczegółów. Dlatego testy asystenta AI potrzebują macierzy ról, a nie jednego konta administratora.

Osobnym zagadnieniem jest tekst w dokumencie, który próbuje nakłonić model do ominięcia zasad. Prompt injection w firmowych dokumentach nie powinno wpływać na filtr dostępu aplikacji. Model może przeczytać obcą instrukcję jako treść, ale nie może sam przyznać sobie nowych uprawnień.

Dostęp ma działać również przy awarii

Ustal zachowanie przy błędzie synchronizacji i niedostępnym źródle uprawnień. Zamiast awaryjnie otwierać cały zbiór, system może wstrzymać odpowiedź z chronionych materiałów i pokazać pracownikowi następny krok. To wymaga przygotowanego komunikatu i obsługi zgłoszenia, inaczej ludzie zaczną szukać obejścia.

Budując rozwiązanie AI dla organizacji, potrzebujemy więc właściciela zasad dostępu oraz osób reprezentujących zwykłych użytkowników. Odbiór przeprowadzony wyłącznie na koncie z pełnymi uprawnieniami potwierdza głównie, że administrator ma wygodnie. Dla reszty firmy to dopiero początek sprawdzania.

W dokumentach przekazania aplikacji do utrzymania zachowaj opis tych reguł oraz sposób ich sprawdzania. Nowy administrator powinien wiedzieć, jak dodać grupę, odebrać dostęp i wyjaśnić odmowę. Jeśli wiedza o filtrze zostaje tylko w pamięci autora integracji, każda zmiana zespołu staje się małym projektem archeologicznym.