Quase todo mundo trata o índice de RAG como banco de dados. Ele é entrada não confiável com prioridade alta — o pipeline inteiro foi construído justamente para enfiar aquele texto no contexto do modelo.
A fronteira está na ingestão
O controle de acesso costuma estar na consulta: quem pode perguntar. Mas o risco está em quem pode escrever no corpus. Wiki interna, pasta compartilhada, transcrição de reunião, base de chamados — se qualquer pessoa da empresa (ou um formulário público) alimenta o índice, qualquer pessoa consegue plantar instrução que o agente vai ler com confiança máxima.
Quem controla um parágrafo do corpus controla um pedaço do prompt de todo mundo.
A recuperação também é escolha do atacante
O documento envenenado não precisa ser recuperado por acaso: ele pode ser escrito para ganhar a busca. Repetir os termos da pergunta esperada, cobrir sinônimos, encher de contexto plausível. É otimização para mecanismo de busca, virada contra o seu recuperador.
O que aplicar
- Marcar cada trecho recuperado com origem e nível de confiança, e entregar isso ao modelo junto com o texto.
- Separar corpus curado de corpus aberto, com política distinta para cada um.
- Regra fixa: conteúdo recuperado é referência, nunca instrução. Nenhuma ação disparada direto por trecho de documento.
- Revisão de escrita para fontes de baixa confiança antes de indexar, não depois do incidente.
O detalhe do reindex
Documento aprovado hoje pode ser editado amanhã. Se o reindex é automático e a aprovação foi manual, você validou uma versão e serve outra. Ou a aprovação vale para um hash de conteúdo, ou ela não vale nada.
