Un index RAG peut filtrer une suppression tout en la lisant encore

Filtrer le résultat ne suffit pas

Dans un index ANN de type graphe, une suppression logique peut empêcher un identifiant d'apparaître dans le top-k tout en laissant le moteur calculer une distance avec le vecteur supprimé pendant le parcours. Beyond Private Training: The New Landscape of AI Privacy appelle cette différence la sécurité de sortie contre la sécurité de parcours.

Résultats rapportés

TSD-Audit vérifie un invariant « vivant avant scoring », répare la connectivité avec des candidats vivants et émet un certificat par requête. Sur Faiss IndexHNSWFlat, à 70 % de suppression, le replay fidèle détecte un scoring de vecteurs supprimés dans les 100 requêtes auditées avec le filtrage natif. Dans l'expérience annoncée, le rappel@10 de la variante sûre progresse de 4,3 à 42,2 points par rapport au soft-delete sous suppression ciblée, selon la fraction supprimée ; sous suppression aléatoire, l'avantage disparaît.

Interprétation éditoriale

Pour un système soumis à un droit d'effacement, le journal de sortie ne suffit donc pas comme preuve. Il faut conserver un événement vérifiable sur les éléments effectivement parcourus et scorés, ainsi que la version de l'ensemble supprimé. Cela concerne la mémoire RAG, les caches et les index de recherche, pas seulement l'entraînement d'un modèle.

Limites

Les auteurs étudient une propriété de processus et non un canal directement exploitable par un client : la fuite de sortie reste nulle. Le certificat suppose un opérateur honnête mais défectueux ; un opérateur malveillant nécessiterait un mécanisme de confiance supplémentaire. Un rebuild complet peut aussi garder un meilleur rappel brut, au prix d'une reconstruction.

Sources

Résultats et périmètre : résumé ArXiv · PDF. Les implications de conformité sont une interprétation éditoriale.