# A13: Обход прав доступа в системах RAG (RAG permission bypass)

> Ассистент с поиском по корпоративным документам (RAG) может выдать пользователю сведения из файла, на который у того нет прав. Причина в том, что поиск не учитывает списки доступа источников. Под ударом кадровые и финансовые данные, коммерческая тайна и сведения о конкретных клиентах.

- Канонический HTML: [/threats/a13-rag-permission-bypass](https://ai-first.tech/threats/a13-rag-permission-bypass)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

## Домен

Защита данных и RAG

## Как проявляется риск

Документы из разных систем загружаются в общий поисковый индекс. Права доступа, действовавшие в исходной системе, при этом не переносятся. Пользователь задаёт обычный общий вопрос, и векторный поиск подбирает наиболее близкие по смыслу фрагменты, включая конфиденциальные. Модель пересказывает их в ответе. Граница доверия нарушается на этапе извлечения: система отвечает от имени сервисной учётной записи, которой доступно всё.

## Влияние на бизнес

- **Данные.** Внутренние документы, сведения о зарплатах и финансовые данные раскрываются сотрудникам без допуска.
- **Право и комплаенс.** Раскрытие клиентской информации нарушает договорные обязательства о конфиденциальности.
- **Безопасность.** Разграничение доступа, выстроенное в исходных системах, перестаёт действовать.

## Где риск наиболее вероятен

- Корпоративный поиск по файловым хранилищам
- Ассистент кадровой службы
- Помощник по финансовой отчётности
- База знаний с клиентскими материалами

## Кому и что решать

- **ИТ-директор.** Требовать от архитектуры RAG проверки прав на уровне документа, а не только на входе в приложение.
- **Директор по кибербезопасности.** Обеспечить синхронизацию списков доступа с источниками и отказ в выдаче при отсутствии подтверждённого права.
- **Владелец бизнес-процесса.** Решить, какие хранилища допустимо подключать к ассистенту, и не включать закрытые разделы без проверки прав.

## Признаки для службы мониторинга

- Ответы ассистента содержат сведения из закрытых документов
- Права пользователя в источнике не совпадают с выданными ему фрагментами
- Авторизация на уровне источника отсутствует
- Разные группы пользователей обслуживаются общими векторными коллекциями
- Ответ не содержит ссылок на документы-источники

## Меры защиты

- **Поиск с учётом прав доступа** (техническая). Фильтровать результаты извлечения по правам конкретного пользователя до передачи модели.
- **Синхронизация списков доступа** (техническая). Регулярно переносить права из исходных систем в индекс, чтобы отзыв доступа действовал и в ассистенте.
- **Отказ при неподтверждённом праве** (техническая). Не выдавать фрагмент, если права на него проверить не удалось.
- **Раздельные индексы по группам** (организационная). Закрепить правило: данные разных категорий доступа хранятся в отдельных индексах.
- **Ссылки на источники в ответах** (мониторинг). Указывать документы, на которых основан ответ, и проверять их соответствие правам спрашивающего.

## Вопросы команде и поставщику

- Проверяет ли ассистент права пользователя на каждый найденный документ?
- Как быстро отзыв доступа в источнике отражается в индексе?
- Что делает система, если права определить не удалось?
- Какие закрытые хранилища уже подключены к поиску?

## Показатели контроля

- Доля источников с синхронизированными списками доступа
- Число выявленных выдач документов без права доступа
- Задержка между изменением прав в источнике и в индексе

## Первые 30 дней

- Перечислить источники, подключённые к RAG, и их категории доступа
- Провести проверочные запросы от имени пользователей с разными правами
- Отключить от общего индекса хранилища без переноса прав

## Классы решений

- Защита RAG
- Защита векторных баз данных
- Шлюз AI

## Сопоставления

- OWASP: LLM02, LLM08
- MITRE: ATLAS: Exfiltration
- NIST: NIST AI 100-2: Privacy

## Первоисточники

- [OWASP: LLM02:2025 Sensitive Information Disclosure](https://genai.owasp.org/llmrisk/llm022025-sensitive-information-disclosure/) — Риски раскрытия чувствительной информации через LLM.
- [OWASP: LLM08:2025 Vector and Embedding Weaknesses](https://genai.owasp.org/llmrisk/llm082025-vector-and-embedding-weaknesses/) — RAG, embeddings и векторные хранилища.

## Ограничение

Карточка описывает признаки и меры защиты. Она не является эксплуатационной инструкцией и не заменяет модель угроз конкретной организации.