# A14: Утечка данных между клиентами в общем векторном хранилище (Cross-tenant vector leakage)

> Если векторные представления нескольких клиентов или подразделений лежат в одном хранилище без строгой изоляции, данные одного могут попасть в ответы другому. OWASP выделяет этот риск в категории LLM08. Для поставщика AI-платформы это прямой удар по доверию клиентов.

- Канонический HTML: [/threats/a14-cross-tenant-vector-leakage](https://ai-first.tech/threats/a14-cross-tenant-vector-leakage)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

## Домен

Защита данных и RAG

## Как проявляется риск

Платформа обслуживает несколько клиентов и для экономии держит их векторные представления в общем пространстве. Разделение опирается на фильтр по признаку клиента в каждом поисковом запросе. Если фильтр необязателен или метаданные записаны непоследовательно, поиск возвращает ближайшие фрагменты независимо от владельца. Граница доверия нарушается внутри хранилища: логическое разделение не подкреплено принудительным. Клиент получает чужой материал, не предпринимая ничего необычного.

## Влияние на бизнес

- **Данные.** Сведения одного клиента или подразделения появляются в ответах другого.
- **Репутация.** Один подтверждённый случай ставит под сомнение надёжность всей платформы.
- **Право и комплаенс.** Нарушаются договорные гарантии изоляции клиентских данных.

## Где риск наиболее вероятен

- Многоклиентская AI-платформа поставщика услуг
- Общий ассистент для нескольких юридических лиц холдинга
- Единое векторное хранилище для разных подразделений
- Облачный сервис поиска по базе знаний

## Кому и что решать

- **ИТ-директор.** Выбрать модель изоляции клиентов в векторном хранилище и закрепить её в архитектурных требованиях.
- **Директор по кибербезопасности.** Добиться, чтобы фильтр по владельцу данных применялся принудительно, и регулярно проверять это тестами.
- **Владелец бизнес-процесса.** Включить в договоры с поставщиком AI-платформы требования к изоляции данных и право на проверку.

## Признаки для службы мониторинга

- В результатах поиска встречаются записи другого клиента
- Метаданные о владельце заполнены непоследовательно
- Запросы к хранилищу выполняются без обязательного фильтра
- Несколько клиентов используют общее пространство имён
- Тесты изоляции не проводятся или не дают воспроизводимого результата

## Меры защиты

- **Изоляция клиентов в хранилище** (техническая). Разделять данные клиентов на уровне пространств имён или отдельных хранилищ.
- **Обязательные фильтры по владельцу** (техническая). Отклонять любой поисковый запрос без признака клиента и применять политики на уровне записей.
- **Шифрование данных клиентов** (техническая). Шифровать векторные представления, чтобы ошибка изоляции не раскрывала содержимое напрямую.
- **Регулярные тесты изоляции** (организационная). Включить в регламент выпуска проверку того, что поиск не возвращает чужие записи.
- **Неизменяемый журнал обращений** (мониторинг). Фиксировать, кто и какие записи получил, в журнале, защищённом от правки.

## Вопросы команде и поставщику

- Как технически разделены данные разных клиентов в векторном хранилище?
- Можно ли выполнить поиск без фильтра по владельцу?
- Когда последний раз проверялась изоляция и с каким результатом?
- Как поставщик уведомит о случае смешения данных?

## Показатели контроля

- Доля поисковых запросов с принудительным фильтром по владельцу
- Число записей без признака владельца
- Число выявленных тестами случаев выдачи чужих данных

## Первые 30 дней

- Проверить, обязателен ли фильтр по клиенту в каждом запросе
- Найти и исправить записи с неполными метаданными
- Провести тест изоляции между двумя клиентами

## Классы решений

- Защита векторных баз данных
- Защита RAG

## Сопоставления

- OWASP: LLM02, LLM08
- MITRE: ATLAS: Exfiltration
- NIST: NIST AI 100-2: Privacy

## Первоисточники

- [OWASP: LLM08:2025 Vector and Embedding Weaknesses](https://genai.owasp.org/llmrisk/llm082025-vector-and-embedding-weaknesses/) — RAG, embeddings и векторные хранилища.

## Ограничение

Карточка описывает признаки и меры защиты. Она не является эксплуатационной инструкцией и не заменяет модель угроз конкретной организации.