RAG-Berechtigungen brauchen Echtzeitprüfungen

RAG-Berechtigungen veralten schneller als Vektoren. Ein neuer AWS-Architekturbeitrag zeigt deshalb einen zweistufigen Ansatz: Der Index filtert Kandidaten schnell anhand gespeicherter Zugriffsmetadaten, vor der Übergabe an das Sprachmodell prüft das System die Berechtigung jedoch nochmals direkt an der Datenquelle.

Ein Index ist kein Berechtigungssystem

Beim Ingest können ACLs, Gruppen und Eigentümer als Metadaten an Dokumenten oder Chunks gespeichert werden. Das beschleunigt die Suche, konserviert aber nur einen Zeitpunkt. Zwischen zwei Synchronisationen kann ein Mitarbeiter die Abteilung wechseln, ein Projektordner eingeschränkt oder ein Dokument gelöscht werden.

AWS beschreibt für Google Drive daher eine Vorfilterung im Vektorindex und eine anschließende Echtzeitprüfung der gefundenen Kandidaten über die Quell-API. Nur Dokumente, für die der anfragende Nutzer weiterhin Zugriff besitzt, dürfen in den Kontext des Modells gelangen.

Microsoft verfolgt bei den Microsoft 365 Copilot APIs dasselbe Grundprinzip: Die APIs arbeiten im Kontext der angemeldeten Identität und sollen nur Inhalte zurückgeben, auf die diese Identität zugreifen darf. Die vorhandenen Kontrollen der Datenquelle bleiben damit Teil des Antwortpfads.

Was die Architektur zusätzlich braucht

Eine aktuelle Prüfung löst das Problem nicht allein. Unternehmen müssen den Kontrollpfad ausdrücklich gestalten:

• Identität: Die Anfrage muss einer realen Person oder einer klar begrenzten Prozessidentität zugeordnet sein.
• Ausfallregel: Ist die Quellprüfung nicht erreichbar oder uneindeutig, darf das System nicht auf alte Rechte zurückfallen.
• Latenz: Kandidatenzahl, Batch-Prüfung und kurze Caches müssen so gewählt werden, dass Sicherheit nicht durch Zeitdruck umgangen wird.
• Widerruf: Geänderte Rechte und Löschungen müssen auch Index, Cache und gespeicherte Antworten erreichen.
• Evidenz: Nutzer, Quelle, geprüfte Ressource und Autorisierungsentscheidung gehören nachvollziehbar protokolliert.

OWASP empfiehlt entsprechend eine Zugriffskontrolle während des Retrievals, Berechtigungsmetadaten pro Chunk sowie Audit-Logging und konsequente Löschung abhängiger Vektoren.

Der DACH-Bezug liegt im Betriebsmodell

Für DACH-Unternehmen ist ein breit berechtigtes Servicekonto besonders riskant: Es kann die Schutzlogik der Quellsysteme umgehen und Inhalte für Nutzer sichtbar machen, die sie dort nie öffnen dürften. Gleichzeitig können Berechtigungs- und Abfrageprotokolle personenbezogene oder vertrauliche Daten enthalten; Zweck, Aufbewahrung und Zugriff darauf müssen definiert sein.

Behandeln Sie den Vektorindex deshalb als Suchbeschleuniger, nicht als letzte Autorität. Die entscheidende Kontrollfrage lautet: Würde die Datenquelle diesen Zugriff genau jetzt noch erlauben?