Der Praktikant fragt nach der Ferienregelung und erhält daneben einen Auszug aus der Lohnliste. Das Modell hat nicht halluziniert. Es hat exakt gefunden, was im gemeinsamen Index lag. Genau deshalb beginnt sichere RAG nicht beim Prompt, sondern bei den Rechten.
Die Prüfung muss vor der Suche greifen
- Nutzer und Rolle eindeutig bestimmen.
- Nur erlaubte Dokumentbereiche durchsuchen.
- Antwort ausschliesslich aus diesen Treffern bilden.
- Quelle anzeigen, ohne gesperrte Titel zu verraten.
Ein Filter nach der fertigen Antwort ist zu spät. Schon Dateiname, Trefferzahl oder ein zitierter Satz kann vertraulich sein. Metadaten wie Mandant, Team, Standort und Vertraulichkeitsklasse gehören deshalb an jedes Dokumentfragment.
Drei Tests, die mehr sagen als eine Demo
- Zwei Nutzer stellen dieselbe Frage und erhalten verschiedene zulässige Quellen.
- Nach Entzug eines Rechts verschwindet das Dokument sofort aus neuen Antworten.
- Ein Dokument mit manipulativem Text kann keine zusätzlichen Bereiche öffnen.
Die indirekte Prompt Injection ist ein Inhaltsrisiko. Eigene technische Identitäten klären, in wessen Namen der Zugriff erfolgt. Beides muss zusammenpassen.
Für kleine Teams genügt oft eine klare Trennung: öffentlich, intern und besonders vertraulich. Sie ist besser als zwanzig theoretische Rollen, die niemand pflegt.
Quellen
FAQ
Was bedeutet permission-aware RAG?
Die Suche berücksichtigt die aktuellen Rechte des Nutzers, bevor Dokumente an das Modell gelangen.
Reicht ein Systemprompt?
Nein. Zugriffsregeln müssen technisch in Suche und Datenquelle durchgesetzt werden.
Was passiert nach einer Rollenänderung?
Neue Abfragen müssen sofort mit den neuen Rechten laufen; alte Caches sind zu invalidieren.
Braucht jedes Dokument Metadaten?
Ja, mindestens Eigentümer, Sichtbarkeitsbereich und eine belastbare Zuordnung zur Zugriffspolitik.