# A15: Восстановление исходных данных из векторных представлений (Embedding inversion / reconstruction risk)

> Векторные представления документов (embeddings) сохраняют информацию об исходном тексте. При слабой защите хранилища по ним можно вывести свойства или фрагменты первичных данных. Утечка происходит косвенно, без доступа к самим документам.

- Канонический HTML: [/threats/a15-embedding-inversion-reconstruction-risk](https://ai-first.tech/threats/a15-embedding-inversion-reconstruction-risk)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

## Домен

Защита данных и RAG

## Как проявляется риск

Компания индексирует документы и считает векторы обезличенным техническим материалом. Хранилище векторов или интерфейс поиска ближайших соседей защищены слабее, чем исходные файлы. Получивший к ним доступ злоумышленник анализирует векторы и ответы поиска и делает выводы о содержании документов. Граница доверия нарушается из-за неверной классификации: производные данные получили более низкий уровень защиты, чем их источник.

## Влияние на бизнес

- **Данные.** Чувствительные сведения раскрываются, хотя сами документы остаются под защитой.
- **Право и комплаенс.** Векторы, построенные по персональным данным, требуют той же защиты, что и оригиналы.
- **Безопасность.** Инцидент трудно обнаружить: обращений к защищаемым файлам не происходит.

## Где риск наиболее вероятен

- Векторное хранилище с индексом чувствительных документов
- Общедоступный интерфейс поиска по сходству
- Передача векторов подрядчику или во внешний сервис
- Резервные копии и выгрузки индекса

## Кому и что решать

- **ИТ-директор.** Отнести векторные представления к тому же классу данных, что и исходные документы, и отразить это в архитектуре.
- **Директор по кибербезопасности.** Обеспечить шифрование векторов, ограничение выгрузок и контроль доступа к поисковому интерфейсу.
- **Владелец бизнес-процесса.** Решать, какие чувствительные документы действительно нужно индексировать, и не включать лишнее.

## Признаки для службы мониторинга

- Векторы можно выгрузить без ограничений
- Интерфейс поиска по сходству доступен публично
- Чувствительные документы индексируются с высокой детализацией векторов
- Контроль доступа к векторному хранилищу слабее, чем к источникам
- Наблюдаются необычные серии однотипных поисковых запросов

## Меры защиты

- **Шифрование векторных представлений** (техническая). Шифровать векторы при хранении и передаче, чтобы их копия была бесполезна без ключа.
- **Ограничение выгрузок** (техническая). Запретить массовый экспорт векторов и выдавать его только по отдельному согласованию.
- **Контроль доступа к поиску** (техническая). Закрыть интерфейс поиска по сходству аутентификацией и разграничением прав.
- **Минимизация чувствительного индекса** (организационная). Утвердить правило: в индекс попадают только документы, без которых сценарий не работает.
- **Анализ необычных запросов** (мониторинг). Отслеживать нетипичные по объёму и структуре серии обращений к хранилищу.

## Вопросы команде и поставщику

- К какому классу данных отнесены векторные представления?
- Кто может выгрузить векторы и контролируется ли это?
- Доступен ли поисковый интерфейс извне?
- Какие чувствительные документы включены в индекс и зачем?

## Показатели контроля

- Доля векторных хранилищ с включённым шифрованием
- Число операций массовой выгрузки векторов
- Доля чувствительных документов в индексе

## Первые 30 дней

- Проверить доступность поискового интерфейса и хранилища извне
- Ограничить права на экспорт векторов
- Пересмотреть состав индексируемых чувствительных документов

## Классы решений

- Защита векторных баз данных
- Защита данных для AI

## Сопоставления

- OWASP: LLM02, LLM08
- MITRE: ATLAS: Exfiltration
- NIST: NIST AI 100-2: Privacy

## Первоисточники

- [OWASP: LLM08:2025 Vector and Embedding Weaknesses](https://genai.owasp.org/llmrisk/llm082025-vector-and-embedding-weaknesses/) — RAG, embeddings и векторные хранилища.
- [NIST: AI 100-2e2025: Adversarial Machine Learning](https://csrc.nist.gov/pubs/ai/100/2/e2025/final) — Таксономия атак и mitigations для adversarial ML.

## Ограничение

Карточка описывает признаки и меры защиты. Она не является эксплуатационной инструкцией и не заменяет модель угроз конкретной организации.