İmzalı Ama Yönlendirilebilir: Çevrimdışı RAG Sistemlerinde Metin-Vektör Bütünlük Açığını Ölçmek ve Kapatmak

Metin-Vektör Bütünlük Açığı Nedir?#

Uç (edge) cihazlarda çalışan çevrimdışı Retrieval-Augmented Generation (RAG) sistemleri, hem ham metinleri hem de önceden hesaplanmış gömme (embedding) vektörlerini içeren imzalı bilgi paketleri aracılığıyla güncellenir. Ancak kriptografik bir imza yalnızca paketi kimin yayınladığını kanıtlar; paketteki vektörlerin gerçekten içindeki metni temsil ettiğini garanti etmez. Bu durum, yazılım güvenliği açısından kritik bir metin-vektör bütünlük açığı (text-vector integrity gap) doğurur.

Marj Yasası ve Tolerans Zafiyetleri#

Vektörleri yeniden hesaplayıp belirli bir kosinüs benzerliği toleransı dahilinde kabul eden bir doğrulayıcı (verifier), vektörleri kontrol eden bir saldırgana öngörülebilir oranda sorgu kaptırır. Ele geçirilme oranı, kabul edilen toleranstaki açısal erişim marjlarının dağılımına eşittir (marj yasası). Araştırma bulguları bu riskin boyutunu net şekilde ortaya koymaktadır:

• Beş farklı derlem (corpus) ve iki embedding modelinde erişim marjları oldukça küçüktür; sadece kayan nokta (floating-point) gürültüsü seviyesindeki idealize edilmiş bir tolerans bile sorguların %5,5'e kadarını (birebir kopya belgeler hariç tutulduğunda en fazla %1,2'sini) savunmasız bırakır.
• Küçük bir embedding modelinin CPU üzerindeki INT8-FP32 karşılaştırmasından (dürüst kosinüslerin ampirik %0,1 kantilinde) kalibre edilen bir eşik değeri, sorguların %98 ila %100'ünü saldırıya açık hale getirir.
• Yerel bir dil modeli çalıştıran Raspberry Pi 5 üzerinde gerçekleştirilen böyle bir saldırı, doğru yanıt oranını 0,75'ten 0,39'a düşürmektedir.
• Sıkıştırılmış vektör depolarının bütünlük denetimleri de başarısız olmaktadır: 57.638 belge üzerindeki bir FAISS çarpım nicemleme (product-quantisation) indeksinde, denetimden başarıyla geçen manipüle edilmiş vektörler, hedeflerin %25'inde saldırganın belgesini ilk sıraya yerleştirir.

Çözüm: Nicemleme Kodlarının Doğrulanması ve Pratik Çıkarımlar#

Ham vektörler yerine nicemleme (quantisation) kodlarını doğrulamak —belirsizliğin doğrulayıcı tarafından çözülmesi, kalibre edilmiş bir koruma bandı (guard band) ve kanonikleştirme (canonicalisation) ile birlikte— üç farklı platformdaki örneklerde yer alan tüm dürüst vektörleri kabul etmiş ve yayıncıya manipülasyon için hiçbir hareket alanı bırakmamıştır.

Geliştiriciler ve MLOps mühendisleri için makaleden çıkarılması gereken kritik dersler şunlardır:

• Donanım ve Yığın Boyutu Farklılıkları: Yaygın kayan nokta (FP) ve dinamik-INT8 çıkarım (inference) hatları, farklı yığın boyutları (batch sizes) veya donanım mimarileri arasında bit düzeyinde tekrarlanabilir (bit-reproducible) değildir.
• Etkisiz Savunmalar: Yanıttan kaçınma (abstention), bağlam budama (context pruning) ve anlamsal tarama (semantic screening) yöntemleri üzerinde yapılan önceden kayıtlı testler negatif sonuç vermiştir; bu yöntemler tek başına vektör manipülasyonunu engelleyemez.
• Pratik Uygulama: Çevrimdışı AI tedarik zincirinde sadece paket imzasına güvenmek yerine, kanonikleştirilmiş nicemleme kodu doğrulaması mimariye dahil edilmelidir. Araştırmacılar bu doğrulama mekanizması için kod ve veri setlerini açık kaynak olarak paylaşmıştır.

---

Bu konuyu derinlemesine öğrenmek isterseniz: SBOM ve Artifact İmzalama modülüne göz atın.