该论文研究 RAG(检索增强生成)中稠密检索的隐私与完整性问题。稠密检索通过比较查询与大规模语料库文档的稠密向量表示来召回最相关文档，是 RAG 的核心组件。在医疗、法律等隐私敏感场景中，检索通常外包给第三方服务：服务器既能看到用户明文查询(造成机密性泄露，查询本身往往包含敏感信息)，又单方面决定返回哪些证据(造成完整性风险，恶意服务商可返回被篡改、删减或植入的文档，从而操纵下游 LLM 输出)。作者将问题形式化为“面向恶意服务器的私有稠密检索”，要求同时满足查询隐私与检索完整性两项保证，并给出一套两轮交互的密码学协议。其核心思路是把“私有且可验证的检索”归约为“已承诺矩阵与加密向量的乘法”：服务端先对语料嵌入矩阵做承诺以便事后校验返回结果的完整性，客户端以加密形式提交查询向量，使服务端在不知明文查询的前提下完成相似度计算；为控制密码学开销，引入低位量化，把高维浮点向量压缩为低比特表示，使密码学运算成本可落地，并用截断(clipped)量化器抑制离群值带来的精度损失。作者在 6 种嵌入模型、4 种语言模型、最大 268 万条语料的规模上系统评估了密码学成本、检索质量与下游 RAG 准确率的权衡。结果显示，采用截断量化器时三比特量化基本保持检索质量与下游准确率；面向临床参考文献规模的语料，一次私有查询约需 1 至 3 分钟服务器时间。作者据此认为，在可接受分钟级延迟的前提下，针对中等规模、隐私敏感的语料库，私有稠密检索已具备实用性。

本文提出 Spruce，一种可扩展的私有外包检索方案，针对检索增强生成（RAG）中大规模文档集合的密集检索场景。随着组织将向量索引外包给不可信云，专有语料库与用户查询面临泄露风险。密码学保护面临挑战：每次查询需搜索语料库规模的状态，导致计算、关联随机性和通信量随语料规模线性增长。在百万文档规模下，朴素安全实现每次查询需数分钟并产生约 90GB 通信，最先进的优化系统仍需 10-22 秒。Spruce 的核心思路是协同设计文档表示与密码学协议：学习紧凑的二元编码，保留用于全精度重排序的候选集，从而将语料库级别的嵌入评分替换为基于汉明距离的高效计算，并运行在两方多方计算（MPC）协议下。该方法采用语料库校准的固定半径协议，避免多轮候选选择同时保持检索质量。Spruce 还提供私有聚类剪枝，以轻微质量损失换取显著计算量减少；并引入单核所有者运行的 dealer 节点，消除云 OT 预处理瓶颈。在包含 383K 至 5.42M 文档的四个语料库上，Spruce 保持了原始搜索质量，中位候选集大小仅 382 至 1,952。在 10 Gbps 服务器间带宽下，全量扫描耗时 0.21-2.97 秒，比最接近的现有工作快 4.8-6.7 倍；私有剪枝耗时 0.06-1.09 秒，加速 13.1-22.9 倍，并保留全浮点 NDCG 的 93.9%-97.3%。在最大语料库上，剪枝与 dealer 结合使 1 Gbps 链路下的持续吞吐量提升 31.5 倍。本文适合对隐私保护检索、RAG 安全、MPC 与表示学习交叉领域感兴趣的研究人员与安全工程师阅读。

本文提出了一种实用的私有密集检索方案，用于托管式检索增强生成（RAG）和语义搜索场景。研究背景是：用户希望查询提供方持有的有价值的语料库，但存在两个相互矛盾的需求：一方面需要隐藏用户的查询和最终选择的结果，另一方面又只能向用户展示其被授权访问的文档。现有的密码学方法要么需要对整个语料库进行全量加密处理，导致每次查询成本高昂；要么通过扫描少量聚类牺牲检索质量来换取效率。本文的核心创新是将学习式深度哈希用作隐私过滤器：通过一个随机化的二进制代码将提供方指向一个较短的候选列表，然后使用加密重排序和遗忘密钥传输来保护精确查询和最终选择。这种方法避免了全语料库密码学搜索的开销，同时不牺牲检索质量：仅需200-500个候选文档，就能在五个零样本语料库（规模从2.5万到540万篇文档）上紧密匹配全语料库检索的性能。在包含268万段落的NQ语料库上，通过10Gbps链路，该协议仅为128-token的Qwen3-32B RAG流水线增加了0.73秒的额外开销，即约10%的延迟增幅。作者发布的相关代码满足方向性度量差分隐私（DP），并显著降低了嵌入反演和属性推断泄露。实验证明，经过精心学习的候选列表可以使私有密集检索既准确又实用。该研究适合关注隐私保护、检索增强生成、信息检索和安全领域的学者与工程师阅读。