Résumé Technique : Intégrité de la Sélection pour la Mémoire de Graphe des LLM

1. Énoncé du Problème

Le papier aborde une vulnérabilité de sécurité critique dans les systèmes de Mémoire à Long Terme (LTM) pour les agents de Grands Modèles de Langage (LLM) qui utilisent des structures de mémoire basées sur des graphes (ex: HippoRAG, Graphiti). Alors que les défenses existantes se concentrent sur la vérification de la provenance des enregistrements récupérés (le contenu), elles ne parviennent pas à rendre compte de la provenance du processus de sélection lui-même.

L'Angle Mort

Dans les systèmes de mémoire de graphes, la récupération n'est pas une simple recherche, mais un calcul structurel global (ex: PageRank Personnalisé) effectué sur un graphe modifiable.

• Le Vecteur d'Attaque : Un acteur non approuvé (ex: un agent pair compromis ou un résultat d'outil empoisonné) peut écrire des données structurelles (arêtes, fusions d'entités, relations) sans écrire de passages textuels récupérables.
• Le Mécanisme : Ces écritures structurelles « sans source » altèrent la topologie du graphe, détournant ainsi l'algorithme de sélection pour donner la priorité à différentes informations authentifiées.
• L'Échec des Défenses Existantes : Le Contrôle de Flux d'Information (IFC) fidèle et les défenses de provenance inspectent le contexte récupéré et sa justification. Puisque les faits sélectionnés restent authentifiés et que les écritures structurelles malveillantes n'apparaissent jamais dans la justification, ces défenses prennent la décision identique au niveau binaire à celle de n'avoir aucune défense. L'agent agit sur des informations erronées mais authentifiées, menant à des erreurs irréversibles (ex: transferts de fonds mal dirigés).

2. Méthodologie et Cadre Théorique

Le Critère d'Accumulabilité

Les auteurs proposent un critère falsifiable pour déterminer quels sélecteurs de mémoire de graphe sont vulnérables à ce « canal de sélection ».

• Définition : Un sélecteur admet le canal si son terme structurel peut réallouer une part suffisante de l'appartenance au top-$k$ pour inverser l'ensemble sélectionné.
• Distinction Clé : La vulnérabilité n'est pas déterminée par la dépendance à la structure, mais par la réallocabilité.
  • Vulnérable : Les sélecteurs comme le PageRank Personnalisé (PPR) où une masse de marche aléatoire conservée peut être réorientée par des arêtes injectées pour déplacer une cible (particulièrement pour les cibles à faible plancher et à plusieurs sauts).
  • Immunisé : Les sélecteurs où l'appartenance des candidats est fixée par le contenu (ex: recherche vectorielle) ou là où les signaux structurels sont des reclassifications bornées (ex: la distance de nœud de Graphiti). Ceux-ci ne peuvent pas introduire d'éléments hors du pool ou déplacer des cibles à haute marge.

Le Théorème d'Impossibilité

Le papier prouve un théorème de divergence P-vs-S :

• P (Provenance) : Vérifie si le contenu visible est authentifié.
• S (Intégrité de la Sélection) : Vérifie si la suppression d'une structure non authentifiée change le résultat.
• Résultat : Pour les requêtes où la justification est entièrement authentifiée mais où la sélection a été perturbée par une structure non authentifiée (l'ensemble de divergence $D$), $P$ et $S$ divergent. Une défense qui ferme ce canal doit inspecter et rejouer la sélection sur un sous-graphe authentifié, devenant ainsi une défense d'intégrité de sélection. Les défenses post-sélection (reclassement des éléments récupérés) sont prouvées insuffisantes.

3. La Défense : AUTHSELECT

Les auteurs introduisent AUTHSELECT, la première défense fondée sur des principes pour l'intégrité de la sélection de la mémoire de graphe.

• Mécanisme :
  1. Identifier les écritures structurelles non authentifiées (basées sur la provenance de l'écriture/canal de la source).
  2. Former un sous-graphe authentifié ($G_{auth}$) en supprimant ces écritures.
  3. Rejouer le sélecteur natif sur $G_{auth}$ pour générer un résultat candidat ($a_{G_{auth}}$).
  4. Comparer le résultat natif ($a_G$) avec le résultat rejoué.
  5. Si ils diffèrent, le système rejette $a_G$ et utilise $a_{G_{auth}}$ (ou escalade selon les exigences d'autorité).
• Propriétés : Il est sain (supprimer une structure non authentifiée ne peut pas introduire d'influence de l'attaquant) et non trivial (il ferme le canal avec un sur-blocage nul sur les données propres).

4. Résultats Expérimentaux

L'évaluation couvre trois systèmes de mémoire de graphe (HippoRAG2, Graphiti, Mem0) et quatre jeux de données (HotpotQA, MuSiQue, 2Wiki, LoCoMo), incluant de la mémoire d'agent multi-session réelle.

Principales Conclusions

1. Confirmation de la Vulnérabilité :

   • Sur HippoRAG2 (PPR), le canal est ouvert. Une seule écriture structurelle sans source a causé 28 transferts de fonds mal dirigés irréversibles sur 499 actions réelles.
   • L'IFC fidèle et les défenses de provenance existantes ont permis 100 % de ces actions néfastes (prenant la même décision qu'en l'absence de défense).
   • Le canal est plus efficace contre les cibles à faible plancher et à plusieurs sauts où le plancher de téléportation est bas.

2. Efficacité de la Défense :

   • AUTHSELECT a réduit le préjudice à 0.000 sur tous les jeux de données et scénarios d'attaque.
   • Il a atteint cela avec zéro sur-blocage (pas de faux positifs sur les données propres) et un surcoût de latence de seulement 2–3 %.

3. Nécessité de l'Intégrité Pré-Sélection :

   • Les défenses post-sélection publiées (ex: A-MemGuard, score de confiance bayésien, vérification de consensus) étaient aveugles au canal, se comportant de manière identique à « aucune défense » sur l'ensemble de divergence.
   • Seule la redérivation pré-sélection (AUTHSELECT) a fermé le canal, confirmant le corollaire d'irréductibilité.

4. Pouvoir Prédictif du Critère :

   • Le critère a correctement prédit que le sélecteur de distance de nœud de Graphiti est immunisé (malgré une forte dépendance structurelle) car il ne peut pas réallouer l'appartenance au top-k.
   • Inversement, PPR a été correctement identifié comme vulnérable.

5. Signification et Revendications

Le papier se positionne non pas comme le premier travail sur la sécurité des mémoires de graphes, mais comme le premier à identifier et résoudre le problème de l'intégrité de la sélection, distinct de l'empoisonnement de contenu.

• Contribution Centrale : Il démontre que dans la mémoire de graphe, la sélection est une propriété globale qui peut être manipulée sans injecter de contenu visible.
• Changement Théorique : Il déplace le focus de la sécurité de « la vérification de la provenance des faits récupérés » vers « la vérification de l'intégrité du processus de sélection ».
• Impact Pratique : Les auteurs montrent que sans intégrité de sélection, les agents peuvent être silencieusement détournés pour prendre des actions réelles (ex: transferts financiers) basées sur une topologie de graphe empoisonnée, même lorsque toutes les preuves citées semblent parfaitement authentifiées.
• Modestie : Les auteurs déclarent explicitement qu'ils ne prétendent pas résoudre tous les problèmes de sécurité des mémoires de graphes (ex: ils ne traitent pas les acteurs pleinement de confiance écrivant du contenu authentifié qui s'agrège plus tard). Leur revendication est conditionnelle : quand une mémoire de graphe expose la structure comme une surface d'écriture et sélectionne via une fonction accumulable, l'intégrité doit protéger l'étape de sélection.

En résumé, le papier soutient que la provenance fidèle est insuffisante pour la mémoire de graphe. La seule façon de fermer le canal de sélection est d'imposer une intégrité de sélection en recomputant la sélection sur un sous-graphe authentifié, une tâche accomplie par le mécanisme AUTHSELECT proposé.