Autorização antes do prompt

Se conteúdo privado chega ao prompt, a autorização chegou tarde.

Em RAG, o erro comum não é o modelo falar o que não devia. É o pipeline recuperar o que não devia — e o prompt só herdar o problema.

Três classes de conteúdo, três destinos:

• public entra no escopo permitido da consulta. Aberto não é irrestrito.
• admin só é recuperado com claim válido. Claim ausente, expirado ou ilegível vale como negado.
• local_only nunca alcança o modelo. A consulta o exclui antes de recuperar os trechos, não depois da resposta.

Redigir depois é admitir que já vazou.

O que transforma isso de intenção em controle são os testes negativos: consultar conteúdo local_only e provar que a recuperação volta vazia; pedir um documento admin sem claim e provar que nada é citado. Um gate sem teste que o veja negar é um comentário no código.

E quando o contexto falha — rótulo faltando, claim ilegível, classe desconhecida — a decisão correta é fechar. Fail-closed não é pessimismo, é a única postura que não terceiriza a autorização para a sorte.

Exemplos e vault demonstrativos.

Em que camada você aplica autorização hoje: na recuperação ou na resposta?