KEPo: Knowledge Evolution Poison on Graph-based Retrieval-Augmented Generation

إليك ملخص تقني مفصل لورقة البحث بعنوان: "KEPo: تسميم تطور المعرفة في استرجاع المعرفة المعزز القائم على الرسوم البيانية (Graph-based RAG)."

1. بيان المشكلة

يعمل نظام استرجاع المعرفة المعزز القائم على الرسوم البيانية (GraphRAG) على تحسين النماذج اللغوية الكبيرة (LLMs) من خلال بناء رسم بياني للمعرفة (KG) من قواعد بيانات خارجية لتحسين الاستنتاج والدقة. ومع ذلك، فإن هذا الاعتماد على البيانات الخارجية يستحدث ثغرات أمنية جديدة.

• التهديد: يمكن للمهاجمين حقن نصوص مسمومة في قواعد البيانات العامة (مثل Wikipedia أو arXiv) للتلاعب بنظام GraphRAG لإنتاج استجابات ضارة أو غير صحيحة لأسئلة محددة.
• الفجوة: الهجمات التسميمية الحالية المصممة لأنظمة RAG التقليدية (التي تعتمد على الاسترجاع المتجهي للنصوص غير المهيكلة) هي غير فعالة ضد GraphRAG.
  • تفشل تقنيات استبدال الوحدة الدلالية (Semantic Unit Replacement) وحقن الأوامر (Prompt Injection) لأن عملية استخراج الرسم البياني للمعرفة في GraphRAG تقوم بتصفية الأوامر التي تفتقر إلى هياكل (كيان-علاقة)، كما أن النماذج اللغوية الكبيرة تستطيع بسهولة تمييز الارتباك الدلالي بسبب حجم بارامتراتها الهائل.
  • تفشل هجمات RAG التقليدية لأن النصوص المحقونة غالبًا ما تفتقر إلى هياكل الثلاثيات (triples) الكاملة، مما يؤدي إلى إنتاج رسوم بيانية فرعية معزولة ومنخفضة التصنيف داخل الرسم البياني للمعرفة، ولا تتكامل جيدًا مع المجتمعات (communities) الموجودة.
• التحدي الجوهري: كيف يمكن صياغة معرفة مسمومة تتكامل بسلاسة مع طوبولوجيا الرسم البياني للمعرفة الحالية، وتخفض درجة الحيرة (perplexity)، وتُسترجع كـسياق عالي الصلة بواسطة نظام GraphRAG.

2. المنهجية: تسميم تطور المعرفة (KEPo)

يقترح المؤلفون KEPo، وهو استراتيجية هجوم مبتكرة تتجاوز حصانة GraphRAG عبر صياغة مسار تطور معرفي زمني. بدلاً من حقن حقيقة ثابتة ومتضاربة، يقوم KEPo بإنشاء سرد يبدو فيه المعرفة المسمومة كنتيجة طبيعية ومتطورة للحقائق الموجودة.

أ. صياغة تطور المعرفة (هدف واحد - Single-Target)

يبني الهجوم مجموعة نصوص تحاكي التطور الطبيعي للمعرفة عبر الزمن:

1. تحديد المرتكز (Anchor Identification): يحدد النظام الحقيقة الأصلية ($f_t$) والطابع الزمني ($t$) المرتبط بالاستعلام المستهدف.
2. تعريف الهدف (Target Definition): يتم تحديد حقيقة مسمومة ($f^*_{t+\Delta t_1}$) تحتوي على الإجابة المرغوبة للمهاجم باعتبارها الحالة "المستقبلية".
3. تزييف المسار (Path Fabrication):
   • المسار الأمامي (Forward Path): يقوم نموذج لغوي كبير (المصنّع/Fabricator) بإنشاء سرد ($L$) يشرح كيف تطورت الحقيقة الأصلية إلى الحقيقة المسمومة بمرور الوقت.
   • المسار الخلفي (Backward Path): يستنتج النظام حقيقة "حالة المصدر" ($f^*_{t-\Delta t_2}$) ومسارًا سابقًا لإنشاء سياق تاريخي موثوق.
4. بناء المجموعة النصية (Corpus Construction): تجمع المجموعة النصية للهجوم النهائية بين حقيقة المصدر، والمسار الخلفي، والحقيقة الأصلية، والمسار الأمامي، والحقيقة المسمومة.
5. الأساس النظري: من خلال دمج الحقيقة المسمومة كخاتمة منطقية لتطور متماسك، تنخفض الحيرة الشرطية (Conditional Perplexity - C-PPL) للنص المحقون بالنسبة للرسم البياني للمعرفة الحالي بشكل كبير. يضمن ذلك عدم التعامل مع النص المحقون كقيمة شاذة، بل كاستمرار عالي الاحتمالية للمعرفة الموجودة، مما يؤدي إلى تصنيفات استرجاع عالية.

ب. الهجوم المنسق متعدد الأهداف عبر الرسوم البيانية الفرعية (Multi-Target Cross-Subgraph Coordinated Attack)

لتوسيع نطاق الهجوم، يربط KEPo بين عدة مجتمعات فرعية مسمومة:

1. تحليل التشابه: يحسب التشابه الدلالي بين الإجابات المستهدفة لاستعلامات مختلفة.
2. اختيار العقد (Node Selection): يحدد "العقد الحرجة" (ذات درجة مركزية عالية) داخل كل رسم بياني فرعي مسموم.
3. الربط المتقاطع (Cross-Linking): يقوم "المصنّع" بإنشاء حقائق علاقات وهمية تربط هذه العقد الحرجة عبر الرسوم البيانية الفرعية المختلفة.
4. الأثر: يخلق هذا "مجتمعًا فائق التسمم" مترابطًا وكبيرًا. ويعمل التعزيز المتبادل بين هذه الرسوم البيانية الفرية المرتبطة على زيادة الوزن الإجمالي وتصنيف الاسترجاع للمعرفة المسمومة، مما يضاعف معدل نجاح الهجوم (ASR).

3. المساهمات الرئيسية

1. ناقل هجوم جديد: تقديم KEPo، وهو أول منهج مصمم خصيصًا لاستغلال قدرات الاستنتاج الزمني والهيكلي في GraphRAG عبر صياغة مسارات تطور المعرفة.
2. رؤية نظرية: إثبات أن تقليل الحيرة الشرطية للنص المحقون من خلال صياغة السرد الزمني هو المفتاح لتجاوز آليات التصفية في GraphRAG.
3. استراتيجية متعددة الأهداف: آلية هجوم منسقة تربط الرسوم البيانية الفرعية المسمومة المتباعدة لتوسيع نطاق الهجوم وتعزيز السمية.
4. تقييم شامل: تجارب واسعة النطاق تظهر أن الدفاعات الحالية (مثل كشف الأوامر أو تجاهل التعليمات) غير فعالة ضد KEPo.

4. النتائج التجريبية

قيم المؤلفون KEPo على GraphRAG-Bench (Graph-Story و Graph-Medical) وعلى MuSiQue عبر عدة أطر عمل (GraphRAG، LightRAG، HippoRAG 2) وقارنوه بالنماذج المرجعية (PoisonedRAG، CorruptRAG، GRAG-Poison).

• معدل نجاح الهجوم (ASR): حقق KEPo أداءً رائدًا (SOTA).
  • في GraphRAG (البحث المحلي)، حقق KEPo-Multi معدل نجاح قدره 73.1% (مقابل 54.1% لأفضل نموذج مرجعي تالٍ، CorruptRAG).
  • في LightRAG (البحث المحلي)، وصل KEPo-Multi إلى معدل نجاح 67.0%.
  • حتى في RAG البسيط (Naive RAG)، حافظ KEPo على أداء متفوق أو مماثل، مما يثبت قوته عبر بنيات استرجاع مختلفة.
• النجاح في الهجوم الشرطي (CASR): تفوق KEPo بشكل كبير على النماذج المرجعية في CASR، مما يشير إلى أنه ينجح في التلاعب بالنموذج حتى عندما يمتلك النموذج معرفة داخلية صحيحة في البداية.
• دراسات الاستئصال (Ablation Studies): أدى حذف المسار الخلفي (المصدر) أو المسار الأمامي (التطور) إلى انخفاض كبير في ASR، مما يؤكد ضرورة السرد التطوري الكامل.
• تجاوز الدفاعات: فشلت الدفاعات القياسية مثل "إعادة صياغة الاستعلام" و"كشف الأوامر" في اكتشاف KEPo، حيث ظلت معدلات الاحتفاظ بالرموز المسمومة فوق 98% وانخفض ASR بأقل من 1%.
• التوسع (Scaling): زادت فعالية الهجوم مع طول النص حتى حوالي 120 كلمة ومع عدد المجموعات النصية المرتبطة حتى 5، بعد ذلك بدأ العائد يتناقص بسبب التخفيف الدلالي.

5. الأهمية

• كشف الثغرة الأمنية: تكشف الورقة أن GraphRAG، الذي غالبًا ما يُروج له على أنه أكثر حصانة من RAG البسيط بسبب استنتاجه المهيكل، معرض بشدة لـ التسميم القائم على السرد والزمن. الافتراض بأن "الرسوم البيانية المهيكلة تصفي الضجيج" هو افتراض خاطئ إذا كان الضجيج مهيكلاً كـتطور منطقي.
• تداعيات على أمن RAG: ينقل هذا العمل نموذج هجمات التسميم من "الاضطراب الدلالي" إلى "التلاعب بالسرد". لم يعد بإمكان المدافعين الاعتماد فقط على اكتشاف النصوص غير المتماسكة أو حقن الأوامر؛ بل يجب عليهم التحقق من الاتساق الزمني والمنطق التطوري للمعرفة المسترجعة.
• الحاجة الملحة للدفاع: يسلط فشل آليات الدفاع الحالية الضوء على فجوة حرجة في تأمين أنظمة GraphRAG، مما يستدعي استراتيجيات جديدة قادرة على اكتشاف تطور المعرفة المزيف والتنسيق عبر الرسوم البيانية الفرعية.