Busca privada para RAG quase empata com a recuperação completa

Por que isso importa agora

A geração aumentada por recuperação (RAG) se tornou a espinha dorsal de muitos assistentes de IA. O problema é que, para responder, o sistema precisa ver a sua pergunta — e o provedor precisa ver quais documentos você recebe. Um novo pré-print do arXiv descreve um sistema de busca privada que esconde a consulta exata e a seleção final do usuário, mantendo a recuperação perto da busca completa em corpus.

Como o sistema funciona

O protocolo opera em duas passagens. Primeiro, um código de hash profundo aprendido (uma representação binária compacta) cria uma lista curta aleatória de candidatos. Em seguida, aritmética criptografada reordena esses candidatos, enquanto a transferência oblivious (um mecanismo criptográfico) esconde quais posições foram selecionadas como chaves de conteúdo.

Um teorema formal limita o acesso ao texto subjacente: um receptor malicioso que completa uma rodada aceita consegue recuperar no máximo k chaves de conteúdo, independentemente do orçamento K de candidatos — exceto com probabilidade desprezível.

A acurácia se manteve

Com uma lista curta de 500 candidatos, os dois codificadores testados retiveram de 98,84% a 100,21% da pontuação de ranking NDCG@10 em quatro dos cinco corpora avaliados. O protocolo adicionou apenas 0,73 segundos (cerca de 10%) a um pipeline RAG com Qwen3-32B sobre o corpus NQ de 2,68 milhões de passagens.

O preço da privacidade

Em comparações com outros sistemas de RAG privado, o protocolo foi reportado como 2,1 a 69,2 vezes mais rápido que o P2 RAG e 5,0 a 33,1 vezes mais rápido que o RemoteRAG. Os testes de ataque também indicaram reconstrução mais fraca após a proteção.

Mas o trabalho deixa claro: é um estudo de métodos com benchmarks acadêmicos, não um sistema de produção. A garantia de segurança depende de um provedor “honesto mas curioso”, entradas criptografadas conformes e endpoints não comprometidos. Canais laterais como timing e tamanho de mensagem seguem listados como fontes de vazamento fora do modelo formal.