RAG sécurisé sur Coveo : guide pratique d'implémentation

À quoi ressemble vraiment le RAG sécurisé sur Coveo

Le RAG sécurisé sur Coveo repose sur une affirmation que vous devrez défendre en revue de sécurité : l'assistant ne présente jamais un document que la personne qui pose la question ne peut pas déjà ouvrir. Tout le reste — découpage, prompts, choix du modèle — découle de cette seule garantie.

Sur le plan architectural, trois couches effectuent le travail. Premièrement, les connecteurs extraient le contenu et ses permissions provenant de chaque système source. Deuxièmement, l'index stocke ces autorisations en même temps que le contenu. Enfin, la couche de recherche filtre selon l'identité de l'appelant avant qu'un seul passage n'atteigne un modèle de langage.

Coveo appelle cette couche intermédiaire liaison précoce. La plateforme importe les autorisations des éléments au moment de l'exploration, elle supprime donc les éléments auxquels un utilisateur ne peut pas accéder. avant la requête s'exécute plutôt que de filtrer après. Cet ordre importe bien plus que n'importe quel ingénierie de prompt que vous ferez plus tard.

Étape 1 : cartographier le modèle de permissions de chaque source

Avant toute configuration, inventoriez ce que vous comptez réellement indexer. Dans une entreprise type, les politiques vivent dans SharePoint, les procédures dans Confluence, les billets dans ServiceNow et les contrats sur un partage réseau. Chacun applique les accès à sa manière.

Pour chaque source, notez trois éléments : qui accorde l'accès, à quelle granularité et à quelle vitesse les modifications se propagent. Les autorisations au niveau du site ne se comportent en rien comme les ACL par enregistrement. Par conséquent, un “ index unifié ” qui aplatit les deux en un seul modèle entraînera soit un partage excessif, soit un service insuffisant.

Cette étape paraît administrative, alors les équipes l'expédient. En pratique, elle concentre l'essentiel du risque du projet — et la négliger reste la première cause d'enlisement des projets pilotes pendant des mois.

Étape 2 : indexer les permissions comme identités de sécurité Coveo

Coveo modélise l'accès via identités de sécurité — identités, groupes et groupes virtuels accordés — gérés par des fournisseurs d'identités de sécurité et conservés dans un cache d'identités de sécurité. Chaque élément indexé transporte les ensembles de permissions que son système source a signalés au moment de l'exploration.

Deux modes de défaillance reviennent constamment. D'abord, l'expansion des groupes se périme : un départ ou un changement de rôle met des jours à atteindre l'index. Ensuite, les groupes imbriqués ou dynamiques se résolvent partiellement, ce qui élargit discrètement les accès sans que personne ne s'en aperçoive.

Par conséquent, considérez l'actualisation des identités comme une tâche de production surveillée, et non comme une tâche de configuration ponctuelle. Demandez à votre partenaire le véritable intervalle d'actualisation. Ensuite, testez-le : modifiez l'appartenance à un groupe d'un compte actif et vérifiez le temps que met l'index à se synchroniser.

Étape 3 : ancrer la réponse avec Coveo Passage Retrieval

La récupération est la couche où le RAG sécurisé sur Coveo prend tout son sens. Coveo Passage Retrieval (CPR) découpe le contenu indexé en passages, puis exécute une recherche en deux étapes. Premièrement, le moteur de recherche trouve les éléments les plus pertinents à l'aide d'une recherche par mots-clés et par vecteurs. Deuxièmement, CPR extrait les passages les plus pertinents de ces éléments.

Parce que la première étape s'exécute sur un jeu de résultats déjà filtré par autorisations, chaque passage qui parvient à votre prompt hérite des droits d'accès de l'appelant. En d'autres termes, la limite de sécurité réside dans la récupération — et non dans le modèle, ni dans le prompt.

Deux exigences pratiques prennent les équipes de court. CPR requiert à la fois un modèle CPR et un modèle Semantic Encoder rattachés au query pipeline. Il s'agit également d'une extension payante : prévoyez-la au budget plutôt que de la découvrir en cours de réalisation.

RGA ou l'API Passage Retrieval : laquelle choisir

Vous disposez de deux façons de générer la réponse, et ce choix relève de l'architecture, non de l'esthétique.

Réponse générative par pertinence (RGA) est l'option gérée. Coveo contrôle la recherche, construit le prompt et appelle un LLM tiers. Selon Documentation de la sécurité des données RGA de Coveo, ce modèle est sans état, n'est pas entraîné sur vos données d'entreprise et n'en conserve aucune. Coveo déclare également ne pas conserver votre contenu d'entreprise après l'indexation.

API de recherche de passages est l'option de configuration personnalisée. Vous envoyez une requête POST au point de terminaison Passage Retrieval et recevez des passages, chacun avec un score de pertinence et des métadonnées de document. À partir de là, vous maîtrisez le prompt, le modèle et l'hébergement.

Choisissez RGA lorsque le délai de mise en valeur prime et qu'un modèle de fondation partagé vous convient. Choisissez l'API lorsque vous avez besoin de votre propre modèle, d'une région d'hébergement précise ou d'un agent qui fait plus que répondre à des questions.

L'écueil bilingue du RAG sécurisé sur Coveo

Voici le détail qui remodèle les déploiements canadiens et européens. La documentation de Coveo indique que la récupération de passages prend en charge le contenu en anglais par défaut, avec un support multilingue disponible en version bêta.

Pour une organisation bilingue, cette seule ligne change le plan. Vos politiques, vos procédures et vos conventions collectives en français ne sont pas du contenu secondaire — ce sont souvent les documents que les employés cherchent le plus et trouvent le moins.

Testez donc les deux langues à l'intérieur du projet pilote, jamais après. Mesurez le rappel en français séparément du rappel en anglais, et présentez-les séparément à votre comité directeur. Sinon, vous livrerez un assistant qui répond avec assurance dans une langue et reste muet dans l'autre.

Neuf questions que posera votre revue de sécurité

Préparez vos réponses avant la revue, pas pendant. Chacune de ces questions a fait couler un projet qu'on nous a ensuite demandé de sauver.

1. Que voit exactement une personne contractuelle lorsqu'elle interroge l'assistant ?
2. Quel modèle de permissions chaque connecteur importe-t-il, et à quelle granularité ?
3. Combien de temps après un départ l'index cesse-t-il de renvoyer l'accès de cette personne ?
4. Les groupes imbriqués et dynamiques se déploient-ils complètement, et comment le prouvez-vous ?
5. La réponse générée cite-t-elle uniquement des documents que l'appelant peut ouvrir ?
6. Où le contenu est-il traité, et quelle région héberge le modèle ?
7. Que conserve le fournisseur du LLM, et pendant combien de temps ?
8. Comment testez-vous l'exactitude des permissions — manuellement ou par une suite automatisée ?
9. Qu'advient-il de la réponse lorsqu'un système source est temporairement inaccessible ?

Remarquez que deux questions seulement sur neuf touchent réellement à l'IA. Les autres sont des questions de contrôle d'accès déguisées en IA.

Comment Sengo livre le RAG sécurisé sur Coveo

Sengo construit le RAG sécurisé sur Coveo en partant du modèle de permissions. Nous commençons par l'inventaire des sources, nous démontrons le comportement de liaison anticipée avec de vrais comptes, et seulement ensuite nous branchons la génération. Résultat : la revue de sécurité devient une démonstration plutôt qu'une négociation.

Notre équipe compte un ancien développeur backend de Coveo : les identités de sécurité, les pipelines d'indexation et l'ajustement de la pertinence sont donc un terrain connu, et non une documentation lue la semaine dernière. Nous sommes également partenaire d'implémentation officiel de Coveo, ce qui signifie que nous conseillons et livrons.

Nous travaillons nativement en anglais et en français, depuis le Québec. Pour les entreprises bilingues, cela élimine précisément l'écueil décrit plus haut. Notre feuille de route en livraison d'entreprise comprend iA Groupe financier, le Cirque du Soleil, le FTQ, la CCQ et LCI Éducation.

Si vous voulez d'abord le point de vue neutre vis-à-vis des fournisseurs, lisez notre analyse de recherche d'entreprise sensible aux permissions, ou explorer Les capacités Coveo de Sengo. Quand vous serez prêt à définir le périmètre de la construction, nous cartographierons vos sources et vous donnerons une réponse honnête sur l'effort nécessaire.