c3.3 Aplique controle de acesso à recuperação com filtragem por metadados

A camada de recuperação é um limite de controle de acesso

Em uma aplicação de RAG, o modelo responde usando o que o recuperador extrai do knowledge base. Se a recuperação retornar um documento que o usuário não deveria ver, o modelo o resumirá alegremente na resposta — um vazamento de dados sem rastro óbvio. Portanto, a recuperação não é apenas um problema de relevância; é um limite de autorização. A filtragem por metadados é como você o impõe: anexe atributos (departamento, classificação, tenant, datas de vigência) a cada vetor e depois filtre cada consulta pelos direitos do usuário solicitante.

Anexe metadados na ingestão

Cada documento de origem carrega um arquivo lateral de metadados (por exemplo, document.pdf.metadata.json) com os atributos pelos quais você vai filtrar:

{
  "metadataAttributes": {
    "department": "finance",
    "classification": "confidential",
    "tenant_id": "acme-123"
  }
}

Estes se tornam campos filtráveis em cada vetor derivado desse documento.

Filtre cada consulta pelos direitos do chamador

Em Retrieve / RetrieveAndGenerate, passe uma retrievalConfiguration cujo filtro seja construído a partir dos atributos do usuário autenticado, nunca de entradas fornecidas pelo usuário. Combine condições com andAll para que todas devam valer:

{
  "retrievalConfiguration": {
    "vectorSearchConfiguration": {
      "filter": {
        "andAll": [
          { "equals": { "key": "tenant_id",     "value": "acme-123" } },
          { "equals": { "key": "department",     "value": "finance" } },
          { "notEquals": { "key": "classification", "value": "restricted" } }
        ]
      }
    }
  }
}

O Bedrock suporta operadores como equals, notEquals, in, greaterThanOrEquals e os combinadores booleanos andAll / orAll.

Construa o filtro no lado do servidor a partir de uma identidade confiável

A segurança deste controle depende inteiramente de de onde vêm os valores do filtro. Resolva tenant_id, department e o nível de acesso a partir da identidade verificada do chamador (as claims do JWT / a sessão), no seu backend — nunca deixe o cliente enviar o filtro. Se um usuário pudesse definir seu próprio tenant_id, o limite desaparece.

Nota de nomenclatura: mantenha as chaves de metadados consistentes em todos os documentos; um erro de digitação (dept vs department) exclui ou vaza documentos silenciosamente. Valide o esquema de metadados na ingestão.