多模态索引可还原原始图像：向量数据库的隐私盲区

视觉文档检索系统把每一页扫描件切分成上千个补丁向量，存进第三方向量数据库。长期以来，工程师们默认这些稠密多向量索引是"低风险产物"——毕竟只有原始像素才被视作敏感数据。但一项最新研究打破了这个假设：仅凭索引本身，攻击者就能重建出相当接近原图的页面，甚至精准识别其来源文档。

被低估的索引：从"无害嵌入"到隐私负债

ViDoRe 等视觉文档检索管线通常会将逐补丁的 embedding 整体导出，托管在第三方向量数据库中。工程团队的普遍逻辑是：向量是高维浮点数，脱离原始模型和页面几何信息后无法还原成可读内容，因此不构成泄露风险。

这项研究直接证伪了这一点。作者构建了一套反演流程，把多向量索引重新映射回像素空间，重建出的页面在 ViDoRe v3 基准上能够恢复约 47% 的原始文字，并且在 98.4% 的查询中将其来源文档排在第一位。换句话说，攻击者不需要接触原图，只需要拿到索引，就能同时完成内容还原与来源识别。

这对任何将多向量索引外包给外部存储的商业检索服务来说，意味着索引本身就是一项需要按机密资产对待的数据。

ViDoRe 是由 Illuin Tech 提出的视觉文档检索基准，全称 Visual Document Retrieval，专门评估模型在扫描件、幻灯片、海报等图片型文档上的检索能力。它采用 ColBERT 风格的延迟交互（late interaction）机制：一页文档被视觉编码器切成若干补丁，每个补丁生成一个稠密向量，查询同样编码为多向量，通过 MaxSim 之类的逐向量最大相似度求和来打分。正因如此，一页文档在索引中会留下成千上万个补丁向量。ViDoRe 提供 v1、v2、v3 等多个版本，覆盖不同语言和文档类型，常被用作多模态检索器的公开评测标准。理解这一管线是本文的核心前提：当索引以"逐补丁多向量"形态存在时，向量本身携带了远超单个整页嵌入的空间与语义信息。

向量反演（embedding inversion） 指从稠密向量重建原始输入的攻击技术。早期工作针对图像分类模型，通过训练一个解码器或直接优化像素，使重建图像的向量与目标向量在嵌入空间中对齐。对文本嵌入，也有类似方法逐 token 恢复原文。这类攻击之所以可行，是因为编码器是确定性映射：只要攻击者持有相同或足够相似的编码器，就可以把"找原图"转化为一个可优化的逆问题。补丁级多向量索引尤其脆弱——每个向量对应局部区域，攻击者可逐个反演再按几何布局拼合，从而绕过整页嵌入那种全局信息压缩带来的模糊化。这正是本文声称能恢复约 47% 文字的机理所在。

防御手段：简单有效，但存在幻觉

研究者测试了两类常见防御：token 池化（pooling）与向量顺序打乱（shuffling）。两者都能把文字召回率压到 约 8%，表面上看泄露已被大幅抑制。

但打乱顺序的保护是脆弱的。论文指出，一个专门恢复顺序的模型可以把"来源页排第一"的比例从 3.8% 提升到 93.5%——几乎回到未防御时的水平。也就是说，顺序混淆只提供了一种安全幻觉，只要攻击者愿意投入一个中等规模的学习模型，就能把打乱的结构重新拼回来。

相比之下，池化版本虽然仍可被反演，但文字召回率维持在低位，实际泄露风险明显更低。这提示防御设计应优先考虑破坏补丁级别的语义粒度，而非仅仅隐藏排列方式。

token 池化（pooling） 在此语境下指把一页内的多个补丁向量聚合成数量更少、粒度更粗的向量，例如均值池化、最大池化，或按固定窗口归并。目的是降低索引中向量的空间分辨率，使单个向量不再对应一小块像素区域，从而削弱反演时的局部信息。向量顺序打乱（shuffling） 则是保持向量内容不变，仅随机化它们在索引中的排列次序，试图让攻击者无法还原补丁的空间布局。前者破坏语义粒度，后者只隐藏结构关系。本文的实验结果正体现了这一本质差异：池化让召回率稳定在低位，而打乱只是提高了攻击者的重建成本，一旦辅以顺序恢复模型便几近失效。

威胁模型的边界与未解问题

论文的威胁模型有两个前提：攻击者掌握完全相同的视觉语言编码器，并了解页面的几何布局。实验也集中在两种检索器上，并不覆盖整个多模态生态。这意味着真实世界中可能存在额外的攻击路径，也可能存在论文未触及的缓解措施。

更关键的是，论文明确指出：仅靠混淆向量顺序的防御，可以被适度规模的学习模型逆转。 隐私保护不能建立在"廉价技巧"之上。如果部署方把安全寄托于打乱或轻量混淆，一旦攻击者升级手段，防线会迅速失效。

对工程实践的直接影响

这项工作的结论对检索系统架构有几点直接启示：

• 索引即敏感数据：外包给第三方向量数据库的多向量索引，必须像对待原文一样加密存储，尤其在静态（at-rest）状态下。
• 评测需加入反演测试：在模型与管线评估中，应将"抗反演能力"作为一项正式指标，而不是只测召回率与延迟。
• 防御策略要区分层次：池化与打乱的效果差异说明，破坏补丁级语义比隐藏顺序更有价值；两者结合仍需谨慎评估。

随着多模态 RAG 与视觉文档检索在企业场景中快速铺开，索引泄露可能成为一条被忽视的数据外泄通道。在把 embedding 交给外部服务之前，团队需要重新回答一个基本问题：这些向量，究竟能不能被还原？