Em RAG multiempresa, recuperar o trecho errado é uma falha de segurança antes de ser um erro de relevância. Filtrar depois que os resultados chegaram ao modelo já expôs conteúdo. Empresa, grupo, pessoa, documento e versão precisam limitar candidatos antes da busca vetorial ou híbrida.
O mesmo vale para validade. Um procedimento antigo pode ser semanticamente mais próximo que o atual. Sem estado e histórico, o sistema responde com uma política vencida e ainda apresenta tom de certeza.
Em uma frase
Cada trecho recuperado deve provar a qual empresa pertence, quem pode lê-lo, de qual versão veio e se ainda está válido.
Similaridade sem fronteira não é autorização
Vetores aproximam significados, não aplicam política empresarial por si. Se coleções compartilham índice sem filtros fortes, uma pergunta pode recuperar material de outra unidade ou cliente. Remover o nome da resposta não desfaz a exposição ao modelo nem garante ausência de inferência.
Conflitos também são inevitáveis: política corporativa e instrução local, procedimento vigente e anexo antigo, português e tradução. A ingestão precisa representar relação e precedência, não apenas data do arquivo.
RAG real precisa enfrentar acesso e conteúdo hostil
O relatório NIST IR 8579 descreve um chatbot interno com RAG e discute prompt injection, alucinação, exposição de dados e acesso não autorizado, com controles como implantação local, acesso e filtros. É um relato técnico pontual, não uma norma de implementação.
A OWASP trata dados externos, documentos e memória como possíveis vetores de instrução maliciosa. Isso exige considerar texto recuperado como evidência não confiável até ser validado, nunca como autoridade para mudar regras ou chamar ferramentas.
Exemplo composto: versões corporativa e local
Uma rede fictícia possui política corporativa vigente e instrução local complementar. A pergunta de uma filial filtra tenant, unidade e grupos antes de ranquear. A resposta cita ambas, explica qual prevalece e sinaliza conflito quando datas ou escopos não permitem decisão.
Um PDF antigo permanece arquivado para auditoria, mas marcado como não vigente e fora da recuperação padrão. Um texto escondido pedindo envio de dados é tratado como conteúdo e não consegue escolher ferramenta. O cenário é didático.
Metadados que precisam sobreviver ao chunking
Propague tenant, documento, versão, estado, validade, proprietário, ACL, classificação, idioma, localizador e hash para cada trecho. Faça a consulta com filtros obrigatórios derivados da sessão. Depois valide o conjunto recuperado novamente antes de gerar.
Na atualização, crie nova versão, processe, avalie e somente então marque vigente. Mantenha anterior para evidência, sem misturar na busca normal. Para conflito, defina precedência ou peça esclarecimento; não permita que proximidade vetorial escolha política.
Testes de isolamento e validade
- Usuários de empresas e grupos diferentes fazem a mesma pergunta.
- Documento vigente, expirado, futuro e arquivado disputam relevância.
- Trechos sem metadado obrigatório são rejeitados na ingestão e na busca.
- Instruções maliciosas em PDF não ganham acesso a ferramentas ou segredos.
- Citações apontam para versão e local exatos vistos pelo usuário autorizado.
Como a Uiless ajuda
A Uiless processa documentos com hashes, versões e localizadores e aplica tenant e ACL antes da busca. PDF, planilha e apresentação preservam referências específicas para que a resposta possa ser verificada por quem possui acesso.
Fontes recuperadas não recebem autoridade operacional. Se uma intenção pede ação, o agente ainda precisa usar ferramenta cadastrada, permissão e aprovação. Isso separa conhecimento útil de execução controlada.
Entenda a base em RAG empresarial com cuidados e acompanhe a qualidade em como avaliar RAG.
