Graphs Don't Stay Secret: Practical Subgraph Reconstruction Attacks on Defended Graph RAG

Resumen Técnico: Los grafos no se mantienen en secreto: Ataques prácticos de reconstrucción de subgrafos contra Graph RAG defendido

Planteamiento del problema
La Generación Aumentada por Recuperación basada en Grafos (Graph RAG) mejora el razonamiento de los Modelos de Lenguaje Extensos (LLM) mediante la recuperación de subgrafos estructurados de bases de conocimiento (KB), en lugar de fragmentos de texto no estructurados. Si bien esto mejora el razonamiento global y compositivo, introduce una amenaza crítica y poco estudiada: los adversarios pueden reconstruir estos subgrafos estructurados para exfiltrar activos de conocimiento patentados (por ejemplo, ontologías organizacionales, esquemas) y datos privados sensibles (por ejemplo, roles de empleados, diagnósticos de pacientes).

Los ataques de extracción de datos existentes contra los sistemas RAG fallan en gran medida en los despliegues de Graph RAG defendidos. Los métodos anteriores dependen de técnicas de prompting de "repetir y listar" o de jailbreak que solicitan explícitamente la divulgación del contexto. En Graph RAG, estos enfoques activan las negativas de seguridad o inducen al LLM a parafrasear o resumir el contenido recuperado. Este parafraseo corrompe las triples de entidad-relación precisas necesarias para la reconstrucción del grafo, lo que provoca que los ataques anteriores fallen al recuperar los tipos de relación y mantener la fidelidad a nivel de instancia. El artículo identifica tres modos de fallo específicos en entornos defendidos: (1) la intención de exfiltración explícita activa las negativas; (2) el parafraseo inducido por la seguridad rompe la precisión del tipo de relación; y (3) las plantillas de consulta fijas se saturan rápidamente, produciendo rendimientos decrecientes.

Metodología: GRASP
Para abordar estos desafíos, los autores proponen GRASP (Graph RAG Reconstruction Attack for Subgraph Profiling), un ataque de caja cerrada y de múltiples turnos diseñado para reconstruir un subgrafo de un salto (one-hop) dirigido de un sistema Graph RAG defendido. GRASP opera sin acceso al recuperador interno, al modelo de incrustación (embedding) o al esquema de la KB, basándose únicamente en la API estándar.

GRASP se construye sobre tres principios de diseño fundamentales derivados del análisis de fallos de ataques previos:

1. Reencuadre de la tarea (Evasión de intención): En lugar de pedir explícitamente "volcar" o "listar" el grafo, GRASP reencuadra la extracción como una tarea legítima y restringida de procesamiento de relaciones. El ataque solicita al LLM que actúe como un asistente especializado en la extracción de relaciones de tablas de contexto recuperadas, evitando así los filtros de seguridad que bloquean la exfiltración de datos manifiesta.
2. Extracción basada en instancias (Fidelidad): Para contrarrestar el parafraseo inducido por la seguridad y las alucinaciones, GRASP impone un formato de salida estricto que requiere cuádruples de relación: (ID, ENTIDAD_ORIGEN, TIPO_RELACIÓN, ENTIDAD_DESTINO). Crucialmente, introduce un ID por cada instancia de relación. Este ID actúa como un delimitador, obligando al modelo a rastrear cada relación extraída hasta un registro específico en el contexto recuperado. Este mecanismo reduce significativamente la mezcla de entidades y relaciones (alucinaciones) y preserva la forma léxica exacta de los tipos de relación.
3. Descubrimiento adaptativo (Diversidad): Para superar la saturación de la recuperación y los presupuestos de consulta, GRASP emplea un Programador de Prompts con Conciencia de Descubrimiento (Discovery-Aware Prompt Scheduler). Este programador gestiona un conjunto de plantillas de diversidad orientadas a objetivos:
   • Deriva de marco de contexto (Context-frame drift): Desplaza el enfoque de la recuperación utilizando anclajes de dominio específico para descubrir nuevas relaciones.
   • Expansión de tipo (Type expand): Explota tipos de relación conocidos para encontrar instancias omitidas.
   • Exploración de tipo (Type explore): Apunta a tipos de relación no vistos para ampliar la cobertura estructural.
   • Extracción residual (Residual extract): Realiza un barrido conservador para las relaciones restantes de alta confianza.
     El programador selecciona plantillas de forma adaptativa basándose en el impulso de los nuevos descubrimientos (usando Medias Móviles Exponenciales) y una estimación de novedad de Good-Turing para detenerse cuando las ganancias marginales son insignificantes.

Contribuciones clave

• Análisis de fallos: El artículo proporciona un análisis sistemático de por qué los ataques de extracción de RAG previos fallan contra Graph RAG, identificando que la intención explícita activa las negativas y que el parafraseo destruye la fidelidad de la relación.
• Ataque GRASP: Introducción de un nuevo ataque que logra una reconstrucción de subgrafos de alta fidelidad en entornos defendidos mediante el reencuadre de la tarea, la imposición de la fundamentación de instancias y la programación adaptativa.
• Validación empírica: Demostración de que GRASP logra hasta un 82.9% de F1 (RType) en la reconstrucción de relaciones tipificadas a través de dos conjuntos de datos del mundo real (correos electrónicos de Enron, diálogos de HealthCareMagic) y cuatro LLMs alineados con la seguridad (GPT-4o-mini, GPT-5-mini, Claude Haiku 4.5, Qwen3), mientras que los baselines anteriores a menudo fallan en recuperar los tipos de relación por completo.
• Evaluación de defensas: Una evaluación sistemática de las defensas existentes (basadas en prompts, de tiempo de decodificación, de monitoreo en tiempo de ejecución) y la propuesta de dos defensas ligeras de construcción de contexto: Alineación de ID (ID Alignment, colapsar los IDs de instancia para inducir la mezcla) y Señuelo (Decoy, inyectar columnas de extremo engañosas).

Resultos

• Rendimiento del ataque: GRASP supera significativamente a los baselines. Mientras que los baselines como "repetir contexto" o los prompts de jailbreak logran un F1 cercano a cero para relaciones tipificadas (RType) bajo prompts seguros, GRASP mantiene una alta precisión y exhaustividad (recall). Por ejemplo, en el conjunto de datos Enron con GPT-4o-mini, GRASP logró un 65.6% de F1 (RType), comparado con <1% para la mayoría de los baselines.
• Robustez: El ataque se transfiere eficazmente a través de diferentes marcos de Graph RAG (GraphRAG, LightRAG, nano-GraphRAG) y sigue siendo efectivo incluso con presupuestos de consulta estrictos (tan bajos como 3 consultas) y entidades objetivo desconocidas (mediante un enfoque de descubrimiento de dos etapas).
• Eficacia de la defensa:
  • Defensas de base: Los prompts seguros estándar, las defensas de resumen e incluso el filtrado de intención en tiempo de ejecución (ej. Bedrock Guardrails) reducen pero no eliminan la amenaza. Por ejemplo, Bedrock bloqueó el 61.3% de las consultas pero dejó una capacidad de reconstrucción de 47.1% F1.
  • Defensas propuestas: Las defensas ID Alignment y Decoy de los autores son altamente efectivas. Al combinarse con un prompt seguro, reducen el F1 de GRASP a niveles de mediados de los diez (ej. 14.8% para Qwen3) preservando la utilidad de QA benigna (medida por Rouge-L F1). Sin embargo, el artículo señala que el riesgo de extracción residual persiste incluso bajo defensas por capas.

Significancia y Reivindicaciones
El artículo afirma que la reconstrucción dirigida de subgrafos es un riesgo de confidencialidad concreto en los sistemas Graph RAG, incluso cuando están protegidos por prompts de seguridad estándar. Argumenta que la "filtración estructurada" de Graph RAG es distinta de la filtración de texto, ya que expone ontologías específicas de la organización y activos relacionales que son altamente valiosos para el robo de propiedad intelectual e inferencia de privacidad.

Los autores afirman modestamente que, si bien sus defensas propuestas (ID Alignment y Decoy) reducen sustancialmente la fidelidad de la reconstrucción, no eliminan la amenaza por completo. El artículo concluye que el bloqueo basado en la intención y el monitoreo en tiempo de ejecución actuales son insuficientes para prevenir la extracción de Graph RAG, lo que requiere salvaguardas específicas para la amenaza que interrumpan la integridad estructural del contexto recuperado. El trabajo sirve como un llamado a la acción para el desarrollo de estrategias de mitigación más fuertes, específicas para Graph RAG, más allá del simple prompt engineering.