Capítulo 4 — Modelos de datos
Mapa de la lección
Lección 04 publicada. Mapa, ejemplo, EX010.
flowchart TD
N0["Resultados de aprendizaje"]
N1["4.1 Tipos de datos"]
N2["4.2 Índices vectoriales"]
N3["4.3 Control de acceso en la recuperación"]
N4["4.4 Clases de sensibilidad"]
N5["4.4b Envenenamiento de datos mediante documentos"]
N6["Síntesis"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX010"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["4.1 Tipos de datos"]
N2["4.2 Índices vectoriales"]
N3["4.3 Control de acceso en la recuperación"]
N4["4.4 Clases de sensibilidad"]
N5["4.4b Envenenamiento de datos mediante documentos"]
N6["Síntesis"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX010"]
[Resultados de aprendizaje]
|
v
[4.1 Tipos de datos]
|
v
[4.2 Índices vectoriales]
|
v
[4.3 Control de acceso en la recuperación]
|
v
[4.4 Clases de sensibilidad]
|
v
[4.4b Envenenamiento de datos mediante documentos]
|
v
[Síntesis]
|
v
[Ejemplo resuelto] --> [Ejercicio EX010]
Resultados de aprendizaje
Usted podrá (1) describir las estructuras de datos que usan los sistemas de IA: tablas, documentos, embeddings; (2) explicar los índices vectoriales y sus propiedades de seguridad; (3) aplicar control de acceso a los datos usados para la recuperación; y (4) clasificar la sensibilidad de los datos.
4.1 Tipos de datos
Los sistemas de IA usan tablas relacionales (pedidos, clientes), documentos (políticas, páginas de productos, correos electrónicos), conjuntos de entrenamiento (ejemplos etiquetados) y embeddings: listas de números que representan el significado y que se almacenan en índices vectoriales para la recuperación. Ask Brightwell usa tres de ellos: las tablas de pedidos y de clientes mediante la herramienta de pedidos, las páginas de políticas y de productos mediante la recuperación, y sus embeddings en el índice vectorial. ReturnGuard añade un conjunto de entrenamiento de devoluciones pasadas, etiquetado por el personal. Cada uno tiene responsables y una sensibilidad distintos, que el inventario registra más adelante.
4.2 Índices vectoriales
La generación aumentada por recuperación (RAG) convierte los documentos en embeddings, almacena los vectores y, en el momento de la consulta, encuentra los más cercanos para incluirlos en el prompt. Problemas de seguridad: el índice puede mezclar documentos con permisos distintos; los embeddings pueden filtrar información sobre el texto que codifican; y cualquiera que pueda añadir documentos puede influir en las respuestas. OWASP los recoge como LLM08 Vector and Embedding Weaknesses (debilidades de vectores y embeddings). El índice de Ask Brightwell mostró el primer problema: una hoja de cálculo de márgenes de proveedores, subida por alguien, estaba en el mismo índice que las páginas públicas de productos, de modo que una pregunta de un cliente sobre descuentos la recuperó.
4.3 Control de acceso en la recuperación
Almacene cada fragmento con metadatos: responsable, público destinatario, sensibilidad. En el momento de la consulta, filtre según los permisos de quien llama antes de pasar los fragmentos al modelo; mejor aún, mantenga índices separados para públicos distintos. Nunca confíe en decirle al modelo «no reveles documentos internos». Tras la filtración de márgenes, Brightwell eligió la opción más sólida: un índice de clientes que solo contiene documentos públicos y un índice separado solo para el personal. Los metadatos de público destinatario siguen registrándose en cada fragmento, de modo que puede encontrarse un documento mal archivado y el filtro actúa como segunda capa si alguna vez se indexa un documento del personal en el lugar equivocado.
4.4 Clases de sensibilidad
Clasifique: público, interno, confidencial, personal. Los datos personales necesitan una base jurídica y minimización. Los conjuntos de entrenamiento necesitan la misma clasificación que sus fuentes. En Ask Brightwell, las páginas de productos y la política de devoluciones publicada son públicas, la hoja de cálculo de márgenes de proveedores es confidencial y los detalles de los pedidos son personales. El conjunto de entrenamiento de ReturnGuard hereda la clase personal porque se construye a partir de devoluciones de clientes, así que su almacenamiento y su acceso siguen las mismas reglas que la tabla de pedidos. Clasificar las fuentes antes de indexarlas habría dejado la hoja de márgenes fuera del índice de clientes.
4.4b Envenenamiento de datos mediante documentos
Cualquiera que pueda añadir o editar documentos indexados puede plantar texto que el modelo leerá: precios falsos, políticas inventadas o instrucciones ocultas. Restrinja quién puede publicar en el índice, registre la fuente y el historial de cambios de cada documento y revise las fuentes nuevas antes de indexarlas. Las reseñas de productos escritas por clientes no son confiables y deben indexarse por separado o no indexarse. La página de vacaciones de 60 días que más tarde confundió a Ask Brightwell fue un ejemplo involuntario de la misma debilidad. Esa página no era maliciosa, pero llegó a los clientes por el mismo camino.
4.5 Ejemplo resuelto (caso sintético de Brightwell)
El índice de Brightwell contenía páginas públicas de productos y una hoja de cálculo interna de «márgenes de proveedores» que alguien había subido. Jonas pregunta a Ask Brightwell «¿qué descuento puedes hacerme en el sofá Oslo?» y obtiene el margen. Añade metadatos de público destinatario, reconstruye el índice de clientes solo con documentos públicos y traslada los documentos internos a un índice solo para el personal. La corrección cambió dónde residen los documentos, no cómo se comporta el modelo. Una pregunta sobre descuentos ahora solo llega a páginas públicas, la formule como la formule el cliente, porque la hoja de márgenes ni siquiera está en el índice de clientes. Decirle al modelo que no la revelara habría dejado los datos a una pregunta ingeniosa de distancia.
4.6 Errores y límites
- Un solo índice para todos los públicos.
- Permisos impuestos mediante instrucciones en el prompt.
- Conjuntos de entrenamiento sin clasificar.
La filtración de márgenes de Brightwell vino del primer error y no se habría corregido con el segundo: una instrucción en el prompt no puede impedir que el modelo repita un texto que se le ha dado. El conjunto de entrenamiento de ReturnGuard, construido a partir de devoluciones de clientes, debe clasificarse como datos personales igual que su fuente, de modo que su almacenamiento y su acceso sigan las reglas de la tabla de pedidos. Cada error convierte una equivocación en el tratamiento de datos en una divulgación a través del asistente.
Ejercicios
- EX010 — Metadatos. Proponga campos de metadatos para los fragmentos de recuperación y cómo se usa cada uno. Rúbrica: 3 = responsable, público destinatario, sensibilidad, fuente, fecha, con sus usos; 2 = tres; 1 = uno o dos; 0 = ninguno.
- EX011 — Filtración. Explique la filtración de márgenes y dos correcciones. Rúbrica: 3 = índice mixto; índice separado, filtrado antes del prompt; 2 = una corrección; 1 = vago; 0 = ninguna.
- EX012 — Clasificación. Clasifique cinco conjuntos de datos de Brightwell por sensibilidad. Rúbrica: 3 = cinco correctos; 2 = cuatro; 1 = dos o tres; 0 = menos.
Síntesis
Los modelos de datos de la IA incluyen documentos y embeddings; la seguridad depende de etiquetar los datos, filtrar por permisos antes de la recuperación y no dejar nunca que los prompts sustituyan al control de acceso.
Siga estudiando — capítulo 04 de 30
← Capítulo 03 (borrador) · Índice de capítulos del curso · Capítulo 05 (borrador) →