Un contrat peut rester sur le serveur de l’entreprise tandis qu’une représentation numérique de son contenu est transmise à un service de recherche. Cette séparation limite les données directement partagées. Elle ne suffit toutefois pas à garantir que le contenu du contrat est devenu inaccessible.
Dans une architecture de génération augmentée par récupération, ou RAG, un moteur recherche les passages susceptibles d’aider un modèle de langage à répondre. La recherche vectorielle convertit les textes en listes de nombres, les embeddings, afin de rapprocher les contenus selon leur sens. Ces représentations sont conçues pour conserver de l’information utile à la recherche. Leur apparence illisible ne renseigne pas sur ce qu’un autre système peut en extraire.
La démonstration la plus connue remonte à 2023. Avec Vec2Text, présenté à EMNLP, John Morris et ses coauteurs reconstruisent des textes à partir de leurs vecteurs. Leur méthode propose un premier texte, calcule sa représentation numérique, puis le corrige progressivement pour se rapprocher du vecteur ciblé.
Cette attaque suppose notamment de disposer du vecteur, d’un modèle de reconstruction entraîné et d’un accès au système ayant produit l’embedding. Elle démontre une possibilité de récupération sous certaines conditions ; elle ne permet pas de déduire que tout document vectorisé serait intégralement récupérable.
Une réplication publiée en 2024 apporte un éclairage particulièrement utile. Shengyao Zhuang et ses coauteurs repèrent deux défauts dans le protocole initial : une erreur dans l’implémentation de l’encodeur GTR-base et la présence d’exemples communs aux données d’entraînement et d’évaluation. Après correction, leur système retrouve encore exactement 90,1 % des courts passages du jeu de validation filtré, limités à 32 jetons, les unités de texte traitées par le modèle.
Le résultat reste élevé, mais son périmètre compte. Il concerne un encodeur, un corpus et des fragments très courts. Un taux obtenu dans ce cadre ne peut pas être appliqué à une base de contrats ou à des rapports de plusieurs pages. Il établit néanmoins qu’une représentation vectorielle peut conserver assez d’information pour retrouver le texte exact.
Les travaux plus récents cherchent à réduire les conditions nécessaires à ces attaques. Dans Zero2Text, prépublié en février 2026, les chercheurs proposent une reconstruction sans entraîner préalablement un décodeur spécialisé ni disposer de couples texte-vecteur issus d’une fuite. Leur méthode utilise un modèle de langage et des interrogations successives du service d’embedding. Elle dépend donc toujours d’accès précis et reste évaluée dans un cadre expérimental.
Pour les entreprises, un premier examen peut cependant révéler un risque beaucoup plus direct. Une base dite vectorielle ne contient pas nécessairement que des nombres. La documentation d’Azure AI Search décrit des index associant vecteurs, extraits textuels, titres et métadonnées. Dans un RAG, les passages retrouvés sont ensuite fournis au modèle pour préparer sa réponse. L’endroit où se trouve le fichier original ne décrit donc qu’une partie de la circulation de son contenu.
Les autorisations doivent suivre cette circulation. Prenons un assistant interne relié à des procédures générales et à des dossiers RH. Si le moteur recherche dans les deux ensembles sans vérifier les droits de l’utilisateur, une réponse peut révéler une information réservée aux ressources humaines. Dans ce scénario, aucune reconstruction sophistiquée n’est nécessaire : le système dispose déjà du texte et le transmet au mauvais destinataire.
L’OWASP classe ces défauts de contrôle d’accès parmi les risques des systèmes utilisant des vecteurs et des embeddings. L’organisation recommande de cloisonner les données et de limiter la recherche aux contenus autorisés pour chaque utilisateur ou groupe. Les permissions doivent être appliquées par le système de recherche ; une consigne demandant au chatbot de rester discret ne constitue pas un contrôle d’accès.
Des protections propres aux vecteurs sont également étudiées. Une étude de reproductibilité de 2025 montre que réduire leur précision numérique ou leur ajouter du bruit peut compliquer certaines reconstructions. Ces transformations impliquent des compromis avec la qualité de recherche. Elles ne suppriment pas toutes les informations sensibles et doivent être évaluées face à des attaques capables de s’y adapter.
La qualification d’anonymisation exige, elle aussi, davantage qu’un changement de format. La CNIL rappelle qu’il faut examiner les possibilités d’isoler une personne, de relier les données à d’autres sources ou d’en déduire des informations individuelles. La vectorisation, prise seule, ne démontre pas que ces possibilités ont disparu.
Avant la mise en service d’un assistant documentaire, un test concret consiste à interroger le même corpus avec deux comptes aux droits différents, puis à retirer une autorisation et à recommencer. Les résultats doivent suivre les permissions effectives. Il faut également vérifier ce qui subsiste dans l’index lorsqu’un document est supprimé ou remplacé.
Un projet RAG crée des représentations et parfois des copies supplémentaires de l’information. La confidentialité doit être vérifiée à chacun de ces endroits. Le fait qu’un contenu soit devenu une suite de nombres ne constitue pas une raison de le protéger moins.