Graphs Don't Stay Secret: Practical Subgraph Reconstruction Attacks on Defended Graph RAG

Sintesi Tecnica: I grafi non restano segreti: Attacchi di ricostruzione di sottografi pratici su Graph RAG difeso

Problematica
La Generazione Aumentata da Recupero basata su Grafi (Graph RAG) potenzia il ragionamento dei Large Language Model (LLM) recuperando sottografi strutturati da basi di conoscenza (KB) anziché frammenti di testo non strutturato. Sebbene ciò migliori il ragionamento globale e compositivo, introduce una minaccia critica e poco studiata: gli avversari possono ricostruire questi sottografi strutturati per esfiltrare asset di conoscenza proprietari (ad esempio, ontologie organizzative, schemi) e dati privati sensibili (ad esempio, ruoli dei dipendenti, diagnosi dei pazienti).

Gli attacchi esistenti di estrazione dati contro i sistemi RAG falliscono ampiamente nelle implementazioni di Graph RAG difese. I metodi precedenti si affidano a tecniche di prompting "repeat and list" o di jailbreak che richiedono esplicitamente la divulgazione del contesto. In Graph RAG, questi approcci attivano rifiuti di sicurezza o inducono l'LLM a parafrasare o riassumere il contenuto recuperato. Tale parafrasi corrompe la precisione dei tripli entità-relazione necessari per la ricostruzione del grafo, causando il fallimento dei precedenti attacchi nel recuperare i tipi di relazione e nel mantenere la fedeltà a livello di istanza. Il documento identifica tre modalità specifiche di fallimento in contesti difesi: (1) l'intento esplicito di esfiltrazione attiva i rifiuti; (2) la parafrasi indotta dalla sicurezza rompe l'accuratezza del tipo di relazione; (3) i template di query fissi si saturano rapidamente, producendo rendimenti decrescenti.

Metodologia: GRASP
Per affrontare queste sfide, gli autori propongono GRASP (Graph RAG Reconstruction Attack for Subgraph Profiling), un attacco multi-turno a scatola chiusa, progettato per ricostruire un sottografo a un salto (one-hop) mirato da un sistema Graph RAG difeso. GRASP opera senza accesso al retriever interno, al modello di embedding o allo schema della KB, affidandosi esclusivamente alle API standard.

GRASP si basa su tre principi di progettazione fondamentali derivati dall'analisi dei fallimenti degli attacchi precedenti:

1. Rifasamento del Task (Evasione dell'Intento): Invece di chiedere esplicitamente di "scaricare" o "elencare" il grafo, GRASP ricontestualizza l'estrazione come un compito legittimo e vincolato di elaborazione delle relazioni. L'attacco istruisce l'LLM ad agire come un assistente specializzato nell'estrazione di relazioni da tabelle di contesto recuperate, eludendo così i filtri di sicurezza che bloccano l'esplicita esfiltrazione di dati.
2. Estrazione Fondata sull'Istanza (Fedeltà): Per contrastare la parafrasi indotta dalla sicurezza e le allucinazioni, GRASP impone un formato di output rigoroso che richiede quadrupli di relazione: (ID, SRC_ENTITY, REL_TYPE, DST_ENTITY). Fondamentalmente, introduce un ID per ogni istanza di relazione. Questo ID funge da delimitatore, costringendo il modello a rintracciare ogni relazione estratta a un record specifico nel contesto recuperato. Questo meccanismo riduce significativamente la miscelazione di entità e relazioni (allucinazioni) e preserva la forma lessicale esatta dei tipi di relazione.
3. Scoperta Adattiva (Diversità): Per superare la saturazione del recupero e i budget di query, GRASP impiega uno Scheduler di Scoperta Consapevole (Discovery-Aware Prompt Scheduler). Lo scheduler gestisce un insieme di template orientati agli obiettivi per la diversità:
   • Context-frame drift: Sposta il focus del recupero utilizzando ancoraggi specifici del dominio per scoprire nuove relazioni.
   • Type expand: Sfrutta i tipi di relazione noti per trovare istanze mancanti.
   • Type explore: Mira a tipi di relazione non ancora visti per espandere la copertura strutturale.
   • Residual extract: Effettua una scansione conservativa per le relazioni rimanenti ad alta confidenza.
     Lo scheduler seleziona adattivamente i template in base al momentum delle nuove scoperte (utilizzando la Media Mobile Esponenziale) e una stima di novità Good-Turing per interrompere l'operazione quando i guadagni marginali sono trascurabili.

Contributi Chiave

• Analisi del Fallimento: Il documento fornisce un'analisi sistematica del perché i precedenti attacchi di estrazione RAG falliscano contro Graph RAG, identificando che l'intento esplicito innesca i rifiuti e la parafrasi distrugge la fedeltà delle relazioni.
• Attacco GRASP: Introduzione di un nuovo attacco che ottiene una ricostruzione ad alta fedeltà di sottografi in contesti difesi tramite il rifasamento del task, l'imposizione del grounding delle istanze e l'uso di uno scheduling adattivo.
• Validazione Empirica: Dimostrazione che GRASP raggiunge fino all'82,9% di F1 (RType) nella ricostruzione di relazioni tipizzate su due dataset reali (email di Enron, dialoghi di HealthCareMagic) e quattro LLM allineati alla sicurezza (GPT-4o-mini, GPT-5-mini, Claude Haiku 4.5, Qwen3), mentre i baseline precedenti spesso falliscono completamente nel recuperare i tipi di relazione.
• Valutazione delle Difese: Una valutazione sistematica delle difese esistenti (basate su prompt, decoding-time, monitoraggio runtime) e la proposta di due difese leggere per la costruzione del contesto: ID Alignment (collasso degli ID delle istanze per indurre la miscelazione) e Decoy (iniezione di colonne terminali fuorvianti).

Risultati

• Performance dell'Attacco: GRASP supera significativamente i baseline. Mentre i baseline come "repeat context" o i prompt di jailbreak ottengono un F1 vicino allo zero per le relazioni tipizzate (RType) sotto prompt sicuri, GRASP mantiene un'alta precisione e recall. Ad esempio, sul dataset Enron con GPT-4o-mini, GRASP ha ottenuto il 65,6% di F1 (RType), rispetto a meno dell'1% per la maggior parte dei baseline.
• Robustezza: L'attacco si trasferisce efficacemente tra diversi framework Graph RAG (GraphRAG, LightRAG, nano-GraphRAG) e rimane efficace anche con budget di query ristretti (fino a 3 query) ed entità target sconosciute (tramite un approccio di scoperta in due fasi).
• Efficacia delle Difese:
  • Difese Baseline: Prompt sicuri standard, difese di riassunto e persino lo screening dell'intento runtime (es. Bedrock Guardrails) riducono ma non eliminano la minaccia. Ad esempio, Bedrock ha bloccato il 61,3% delle query ma ha lasciato una capacità di ricostruzione F1 del 47,1%.
  • Difese Proposte: Le difese ID Alignment e Decoy degli autori sono altamente efficaci. Combinati con un prompt sicuro, riducono l'F1 di GRASP a valori mediamente bassi (es. 14,8% per Qwen3) pur preservando l'utilità benigna delle QA (misurata tramite Rouge-L F1). Tuttavia, il documento nota che il rischio di estrazione residua persiste anche sotto difese stratificate.

Significatività e Rivendicazioni
Il documento sostiene che la ricostruzione mirata di sottografi è un rischio concreto di riservatezza nei sistemi Graph RAG, anche quando protetti da standard di sicurezza dei prompt. Argomenta che la "perdita strutturata" di Graph RAG è distinta dalla perdita di testo, poiché espone ontologie specifiche dell'organizzazione e asset relazionali che sono altamente preziosi per il furto di proprietà intellettuale e l'inferenza sulla privacy.

Gli autori affermano con modestia che, sebbene le loro difese proposte (ID Alignment e Decoy) riducano sostanzialmente la fedeltà della ricostruzione, non eliminano interamente la minaccia. Il documento conclude che l'attuale blocco basato sull'intento e il monitoraggio runtime sono insufficienti per prevenire l'estrazione da Graph RAG, rendendo necessari presidi specifici per la minaccia che interrompano l'integrità strutturale del contesto recuperato stesso. Il lavoro funge da invito all'azione per lo sviluppo di strategie di mitigazione più forti, specifiche per Graph RAG, che vadano oltre il semplice prompt engineering.