Resumen Técnico: Integridad de la Selección para la Memoria de Grafo de LLM

1. Planteamiento del Problema

El artículo aborda una vulnerabilidad de seguridad crítica en los sistemas de Memoria a Largo Plazo (LTM) para agentes de Modelos de Lenguaje Extensos (LLM) que utilizan estructuras de memoria basadas en grafos (por ejemplo, HippoRAG, Graphiti). Mientras que las defensas existentes se centran en verificar la proveniencia de los registros recuperados (contenido), no tienen en cuenta la proveniencia del proceso de selección en sí mismo.

El Punto Ciego

En los sistemas de memoria de grafos, la recuperación no es una simple búsqueda, sino un cómputo estructural global (por ejemplo, PageRank Personalizado) realizado sobre un grafo escribible.

• El Vector de Ataque: Un principal no confiable (por ejemplo, un agente par comprometido o un resultado de herramienta envenenado) puede escribir datos estructurales (aristas, fusiones de entidades, relaciones) sin escribir ningún pasaje de texto recuperable.
• El Mecanismo: Estas escrituras estructurales "sin fuente" alteran la topología del grafo, redirigiendo así el algoritmo de selección para priorizar diferentes hechos autenticados.
• El Fallo de las Defesas Existentes: El Control de Flujo de Información (IFC) fiel y las defensas de proveniencia inspeccionan el contexto recuperado y su justificación. Dado que los hechos seleccionados permanecen autenticados y las escrituras estructurales maliciosas nunca aparecen en la justificación, estas defensas toman la decisión idéntica por bytes a la de no tener ninguna defensa. El agente actúa sobre información errónea pero autenticada, lo que conduce a errores irreversibles (por ejemplo, transferencias de libros contables mal dirigidas).

2. Metodología y Marco Teórico

El Criterio de Acumulabilidad

Los autores proponen un criterio falsable para determinar qué selectores de memoria de grafos son vulnerables a este "canal de selección".

• Definición: Un selector admite el canal si su término estructural puede reasignar una parte suficiente de la membresía del top-$k$ para invertir el conjunto seleccionado.
• Distinción Clave: La vulnerabilidad no se determina por la dependencia de la estructura, sino por la reasignabilidad.
  • Vulnerable: Selectores como el PageRank Personalizado (PPR) donde una masa de caminata aleatoria conservada puede ser redirigida mediante la inyección de aristas para desplazar un objetivo (especialmente objetivos de bajo piso y de múltiples saltos).
  • Inmune: Selectores donde la membresía de los candidatos está fijada por el contenido (por ejemplo, recuperación vectorial) o donde las señales estructurales son reordenamientos acotados (por ejemplo, la distancia de nodo de Graphiti). Estos no pueden introducir elementos fuera del grupo o desplazar objetivos de alto margen.

El Teorema de la Imposibilidad

El artículo demuestra un teorema de divergencia P-vs-S:

• P (Proveniencia): Verifica si el contenido visible está autenticado.
• S (Integridad de la Selección): Verifica si eliminar la estructura no autenticada cambia el resultado.
• Resultado: Para consultas donde la justificación está totalmente autenticada pero la selección fue perturbada por una estructura no autenticada (el conjunto de divergencia $D$), $P$ y $S$ divergen. Una defensa que cierre este canal debe inspeccionar y reproducir la selección en un subgrafo autenticado, convirtiéndose efectivamente en una defensa de integridad de selección. Las defensas post-selección (reordenamiento de los elementos recuperados) son demostrablemente insuficientes.

3. La Defensa: AUTHSELECT

Los autores introducen AUTHSELECT, la primera defensa con principios para la integridad de la selección de memoria de grafos.

• Mecanismo:
  1. Identificar las escrituras estructurales no autenticadas (basándose en la proveniencia de la escritura/canal de origen).
  2. Formar un subgrafo autenticado ($G_{auth}$) eliminando estas escrituras.
  3. Reproducir el selector nativo en $G_{auth}$ para generar un resultado candidato ($a_{G_{auth}}$).
  4. Comparar el resultado nativo ($a_G$) con el resultado reproducido.
  5. Si difieren, el sistema rechaza $a_G$ y utiliza $a_{G_{auth}}$ (o escala según los requisitos de autoridad).
• Propiedades: Es sólido (eliminar la estructura no autenticada no puede introducir influencia del atacante) y no trivial (cierra el canal con cero bloqueos excesivos sobre datos limpios).

4. Resultados Experimentales

La evaluación abarca tres sistemas de memoria de grafos (HippoRAG2, Graphiti, Mem0) y cuatro conjuntos de datos (HotpotQA, MuSiQue, 2Wiki, LoCoMo), incluyendo la memoria de agentes de múltiples sesiones reales.

Hallazgos Clave

1. Confirmación de Vulnerabilidad:

   • En HippoRAG2 (PPR), el canal está abierto. Una sola escritura estructural sin fuente causó 28 transferencias de libros contables mal dirigidas e irreversibles en 499 acciones en vivo.
   • El IFC fiel y las defensas de proveniencia existentes permitieron el 100% de estas acciones dañinas (tomando la misma decisión que sin defensa).
   • El canal es más efectivo contra objetivos de bajo piso y múltiples saltos donde el piso de teletransporte es bajo.

2. Eficacia de la Defensa:

   • AUTHSELECT redujo el daño a 0.000 en todos los conjuntos de datos y escenarios de ataque.
   • Logró esto con cero bloqueos excesivos (sin falsos positivos en datos limpios) y una latencia de sobrecarga de solo 2–3%.

3. Necesidad de la Integridad Pre-Selección:

   • Las defensas post-selección publicadas (por ejemplo, A-MemGuard, puntuación de confianza bayesiana, verificación de consenso) fueron ciegas al canal, desempeñándose idénticamente a "sin defensa" en el conjunto de divergencia.
   • Solo la re-derivación pre-selección (AUTHSELECT) cerró el canal, confirmando el corolario de irreducibilidad.

4. Poder Predictivo del Criterio:

   • El criterio predijo correctamente que el selector de distancia de nodo de Graphiti es inmune (a pesar de su alta dependencia estructural) porque no puede reasignar la membresía del top-k.
   • Por el contrario, PPR fue identificado correctamente como vulnerable.

5. Significado y Reivindicaciones

El artículo se posiciona no como el primer trabajo de seguridad de memoria de grafos, sino como el primero en identificar y resolver el problema de la integridad de la selección, distinto de la envenenación de contenido.

• Contribución Central: Demuestra que en la memoria de grafos, la selección es una propiedad global que puede ser manipulada sin inyectar contenido visible.
• Cambio Teórico: Desplaza el enfoque de seguridad de "verificar la proveniencia de los hechos recuperados" a "verificar la integridad del proceso de selección".
• Impacto Práctico: Los autores muestran que, sin integridad de selección, los agentes pueden ser silenciosamente dirigidos a realizar acciones en el mundo real (por ejemplo, transferencias financieras) basadas en una topología de grafo envenenada, incluso cuando toda la evidencia citada parece perfectamente autenticada.
• Modestia: Los autores declaran explícitamente que no pretenden resolver todos los problemas de seguridad de la memoria de grafos (por ejemplo, no abordan a los principales totalmente confiables que escriben contenido auténtico que luego se agrupa). Su afirmación es condicional: cuando una memoria de grafos expone la estructura como una superficie escribible y selecciona mediante una función acumulable, la integridad debe proteger el paso de selección.

En resumen, el artículo argumenta que la proveniencia fiel es insuficiente para la memoria de grafos. La única forma de cerrar el canal de selección es imponer la integridad de la selección mediante la recomputación de la selección en un subgrafo autenticado, una tarea realizada por el mecanismo propuesto AUTHSELECT.