Knowledge／RAG工学専門編

Enterprise RAGは検索機能ではなく、権限付き知識の派生物を継続的に生成・検索・検証・削除するライフサイクルとして扱う。検索品質、権限、鮮度、根拠提示、安全性は別々に測定する。RAGが回答へ根拠を与えても、取得漏れ、古いindex、権限同期遅延、poisoned knowledge、unsupported synthesisは残り得るため、retriever・generator・citation・lifecycleを分離して評価する。

SOURCE OF TRUTH → INGEST/PARSE → NORMALIZE → CHUNK → ENRICH{source/version/time/owner/trust/ACL/provenance} → INDEX{lexical/vector/graph} → AUTHZ FILTER → RETRIEVE → RERANK → CONTEXT ASSEMBLY → GENERATE → CLAIM↔EVIDENCE VERIFY/CITE → ANSWER or ABSTAIN → OBSERVE/REFRESH/DELETE。

このlifecycleはDICTIONARY PROPOSALであり、外部標準の固定architectureではない。

source-of-truthと検索用派生indexを分離する。vector store、lexical index、graphをcanonical ownership・authorization・retentionの正本として扱わない。権限はretrieve後にLLMへ隠させるのではなく、原則としてmodel contextへ入る前にidentity/ACLでenforceする。

source permission、index permission metadata、query identity、cacheを同一時点で同期済みと仮定しない。permission revoke/addのpropagation lagを測定対象にする。

GX02で示されたcatalog/index accessとrow/document visibilityの区別を維持する。catalog/indexへのアクセス能力、SELECT相当の能力、管理者向け調査アクセス等を、end-userが各row/documentを閲覧可能であることと同一視しない。

chunkingはtoken数だけでなく、document structure、semantic boundary、metadata/provenance、citation locatorを保存する変換として扱う。provider sampleのchunk_size、overlap、top_k、threshold等をnormativeなenterprise標準値へ昇格しない。

lexical / sparse / dense / hybrid / rerankは選択肢であり、普遍的winnerとは扱わない。exact identifier、legal clause、product code等とsemantic paraphraseでは有利なretrievalが異なり得るため、自組織corpusで比較する。

long-context化をretrieval engineeringの代替保証にしない。retrieval recallとcontext utilizationを別評価する。

更新、permission revoke、deleteを SOURCE → parsed artifact → chunk → embedding/index/graph → cache → generated citation/reference の各派生面へ伝播させる。期限後に旧版がretrieve/citeされないことをnegative readbackする。

freshness/deleteはindexing convenienceではなくsecurity/correctness lifecycleとして扱う。

citationはtraceabilityでありtruth guaranteeではない。citation existence、correct locator、claim entailment、source freshness、source authorizationを分離評価する。unsupported claimとwrong-source citationを別failure classにする。

retrieved contentはuntrusted evidenceでありsystem instructionではない。外部文書内の命令、hidden text、poisoned passagesをinstruction hierarchyより上位へ昇格させない。corpus write path自体をsecurity boundaryとして監査する。

Knowledge Graphは関係・依存・entity resolutionを明示できる一方、graph sync、ACL propagation、entity merge error、provenanceを新たなfailure surfaceにする。vector RAGを常に置換するとは確立しない。

• provider sample値をenterprise標準値へ昇格しない。
• benchmark/paperのscoreや順位を特定製品保証へ外挿しない。
• ACL feature存在はtenant/data source/API revision/identity configurationで利用可能であることの証明ではない。
• source permission変更とindex反映の間にwindowがある実装ではrevocation直後のleak riskを別途扱う。
• retrieval qualityが高くてもgeneratorはunsupported synthesisを作り得る。retriever missもgenerator品質だけでは回復できない。
• citation生成機能があっても引用元がclaimを支持するとは限らない。
• write/crawl可能なknowledge baseではpoisoning/indirect prompt injectionを想定する。
• graph/hybrid/rerankはlatency・cost・operabilityを増やし得る。

provider / service / plan / region / index backend / embedding model / ranker / connector / source type / identity provider / ACL mode / API revision / preview-vs-GA / data residency / VPC-network boundary / cache mode / retention-delete semanticsを分離する。PRODUCT_VOLATILEなACL/API behaviorは公開時に再確認する。

UNEXECUTED。synthetic corpusのみを使用する。

corpusにはversioned documents、duplicate/contradictory passages、exact identifiers、paraphrases、tables、stale versions、poisoned fixtureを含める。principalはpublic / tenant-A / tenant-B / role-Xの非実在identityとする。

create → update → permission revoke → permission add → delete → reindex/cache invalidationを実行し、Recall@k、nDCG@k、MRR、authorized-candidate subset、answer correctness、claim-support precision/recall、citation exactness、wrong-source rate、no-evidence abstentionを分離計測する。

security fixtureではunauthorized retrieval/citation countとcross-tenant leakageを0とする。poisoned/indirect-injection successは別記録する。ingest/update/revoke/delete propagation delayのp50/p95/maxを記録し、deadline後のold-version retrieval/citationをnegative readbackする。

chunker / embedding model / ranker / index schema変更時はFROZEN corpusとCURRENT corpusをbridge-runし、改善とdataset driftを分離する。

authorization-before-context、tenant isolation、knowledge-write authorization、prompt-injection/poisoning fixture、revocation/delete negative tests。

source classificationとembedding/index投入可否を分離し、削除要求を派生index/cacheまで追跡する。embeddingを理由に非機密とは扱わない。 AUDIT: query ID、principal class、source/version、retrieved chunk IDs、ACL decision、rank/rerank score、model-visible context、citation locator、index version、response IDを可能な範囲で相関可能にする。

ingestion/re-embedding/reindex、hybrid search、reranking、extra context tokens、graph maintenanceを別費目化する。

index lag、connector failure、partial reindex、ACL sync lag、stale cache、duplicate chunks、orphan embeddings、delete tombstone残留を監視対象にする。

• provider/plan/region/connector別のcurrent delete propagation SLA、cache invalidation、index residual behavior。
• 特定tenantでpermission revokeが全retrieval pathへ反映される実測p95/max。
• provider-managed RAGでraw chunk / embedding / cache / generated artifactのretention・hard-delete境界。
• graph-RAG採用時のACL propagation・provenance・entity merge failureの共通eval。
• citation entailmentを低costかつ高精度で継続監査するproduction scorer構成。
• implementation acceptance。

UNKNOWNを推測で閉じない。