技術要約：LLMグラフメモリにおける選択の完全性（Selection Integrity）

1. 問題提起

本論文は、グラフベースのメモリ構造（例：HippoRAG、Graphiti）を利用する大規模言語モデル（LLM）エージェントの長期記憶（LTM）システムにおける、極めて重要なセキュリティ上の脆弱性を指摘している。既存の防御策は、取得されたレコードのプロベナンス（由来・根拠）（内容）の検証に焦点を当てているが、選択プロセス自体のプロベナンスについては考慮できていない。

ブラインドスポット（盲点）

グラフメモリシステムにおいて、検索（retrieval）は単なるルックアップではなく、書き込み可能なグラフ上で行われるグローバルな構造計算（例：パーソナライズド・ページランク）である。

• 攻撃ベクトル： 信頼できないプリンシパル（例：乗っ取られたピアエージェントや、毒を盛られたツールの実行結果）は、取得可能なテキストのパッセージを一切書き込むことなく、構造的データ（エッジ、エンティティの統合、関係性）を書き込むことができる。
• メカニズム： これらの「ソースのない（no-source）」構造的書き込みは、グラフのトポロジー（接続形態）を変化させ、それによって選択アルゴリズムを操作し、認証済みの事実とは異なるものを優先するように経路を逸らす。
• 既存の防御策の失敗： 忠実な情報フロー制御（IFC）やプロベナンス防御は、取得されたコンテキストとその正当性を検査する。しかし、選択された事実は依然として認証されており、悪意のある構造的書き込みは正当性の根拠（justification）の中に決して現れないため、これらの防御策は、防御がない場合と全く同じ決定を下してしまう。エージェントは、誤っているが認証されている情報に基づいて行動することになり、取り返しのつかないエラー（例：誤った方向への台帳送金）を招く。

2. メソドロジーと理論的枠組み

累積可能性基準（The Accumulability Criterion）

著者らは、どのグラフメモリセレクターがこの「選択チャネル」に対して脆弱であるかを判断するための、反証可能な基準を提案している。

• 定義： セレクターが、その構造的項（structural term）によってトップ-$k$のメンバーシップの十分なシェアを**再配分（reallocate）**し、選択された集合を反転させることができる場合、そのセレクターはそのチャネルを許容すると定義される。
• 重要な区別： 脆弱性は、構造への「依存度」によって決まるのではなく、「再配分可能性（reallocatability）」によって決まる。
  • 脆弱な例： **パーソナライズド・ページランク（PPR）**のようなセレクター。保存されたランダムウォークの質量が、注入されたエッジによって転送（reroute）され、ターゲットを排除できる（特に、下限値が低く、マルチホップが必要なターゲットに対して）。
  • 免疫がある例： 候補となるメンバーシップがコンテンツによって固定されているセレクター（例：ベクトル検索）や、構造的信号が単なるランク付けの調整に留まるセレクター（例：Graphitiのノード距離）。これらは、プール外のアイテムを導入したり、高マージンのターゲットを排除したりすることはできない。

不可能定理（The Impossibility Theorem）

論文では、**P対Sの分岐定理（P-vs-S divergence theorem）**を証明している。

• P (Provenance/プロベナンス)： 可視化されたコンテンツが認証されているかを確認する。
• S (Selection Integrity/選択の完全性)： 未認証の構造を取り除いた場合に結果が変化するかを確認する。
• 結果： 正当性が完全に認証されているにもかかわらず、選択が未認証の構造によって撹乱されたクエリ（「分岐集合（divergence set）」$D$）において、$P$と$S$は乖離する。このチャネルを閉じるための防御策は、認証されたサブグラフ上で選択を再実行（リプレイ）して検証しなければならず、実質的に「選択の完全性」の防御策となる。選択後の防御（取得したアイテムの再ランク付けなど）は、証明上不十分である。

3. 防御策：AUTHSELECT

著者らは、グラフメモリの選択の完全性に対する初の原理的な防御策として、AUTHSELECTを導入している。

• メカニズム：
  1. 未認証の構造的書き込みを特定する（書き込みのプロベナンス／ソースチャネルに基づく）。
  2. これらの書き込みを除去することで、認証済みサブグラフ（$G_{auth}$）を形成する。
  3. ネイティブのセレクターを$G_{auth}$上で**再実行（replay）**し、候補となる結果（$a_{G_{auth}}$）を生成する。
  4. ネイティブの結果（$a_G$）と、再実行された結果を比較する。
  5. 両者が異なる場合、システムは$a_G$を拒否し、$a_{G_{auth}}$を使用する（または権限要件に基づいてエスカレーションを行う）。
• 特性： これは健全（sound）であり（未認証の構造を除去することで、攻撃者の影響を導入することはない）、かつ非自明（クリーンなデータに対して過剰なブロックを行わない）である。

4. 実験結果

評価は、3つのグラフメモリシステム（HippoRAG2、Graphiti、Mem0）と、4つのデータセット（HotpotQA、MuSiQue、2Wiki、LoCoMo）にわたって行われ、実際のマルチセッション・エージェントメモリも含まれている。

主な知見

1. 脆弱性の確認：

   • HippoRAG2 (PPR) において、チャネルは開いている。単一のソースのない構造的書き込みにより、499件のライブアクション中に28件の不可逆的な誤送金が発生した。
   • 忠実なIFCおよび既存のプロベナンス防御は、これら有害なアクションの**100%**を許容した（防御がない場合と同じ決定を下した）。
   • このチャネルは、テレポートフロア（teleport floor）が低い、低床型（low-floor）のマルチホップ・ターゲットに対して最も効果的である。

2. 防御の有効性：

   • AUTHSELECTは、すべてのデータセットおよび攻撃シナリオにおいて、被害を0.000に減少させた。
   • これは、ゼロのオーバーブロッキング（クリーンなデータに対する偽陽性なし）と、わずか**2〜3%**のレイテンシオーバーヘッドで達成された。

3. 選択前（Pre-Selection）の完全性の必要性：

   • 公表されている選択後（post-selection）の防御策（例：A-MemGuard、ベイズ信頼スコアリング、コンセンサスチェック）は、このチャネルに対して盲目であり、分岐集合に対しては「防御なし」の場合と同一の挙動を示した。
   • 選択前の再導出（AUTHSELECT）のみがチャネルを閉じることに成功し、不可約性の仮説（irreducibility corollary）を裏付けた。

4. 基準の予測能力：

   • 提案された基準は、Graphitiのノード距離セレクターが（高い構造的依存性があるにもかかわらず）免疫を持つことを正しく予測した（これはトップ-$k$のメンバーシップを再配分できないためである）。
   • 逆に、PPRが脆弱であることを正しく特定した。

5. 意義と主張

本論文は、自身をグラフメモリ・セキュリティに関する最初の研究ではなく、コンテンツ・ポイズニングとは異なる**「選択の完全性（selection integrity）」**の問題を特定し、解決した最初の研究として位置づけている。

• 核心的な貢献： グラフベースのメモリにおいて、選択はグローバルな特性であり、可視的なコンテンツを注入することなく操作可能であることを示した。
• 理論的転換： セキュリティの焦点を図的な「取得された事実のプロベナンスの検証」から、「選択プロセスの完全性の検証」へとシフトさせた。
• 実務的影響： 選択の完全性がなければ、たとえ引用された証拠が完全に認証されて見えるとしても、グラフのトポロジーに毒を盛られることで、エージェントが現実世界の行動（例：金融送金）を静かに誤誘導される可能性があることを示している。
• 謙虚な姿勢： 著者らは、グラフメモリのすべてのセキュリティ問題（例：信頼できるプリンシパルが後にクラスタリングされるような認証済みコンテンツを書き込むケース）を解決すると主張しているのではない。彼らの主張は条件付きである。グラフメモリが構造を書き込み可能なサーフェスとして公開し、かつ蓄積可能な関数によって選択を行う場合、その完全性は選択ステップを保護しなければならない。

要約すると、本論文は**「忠実なプロベナンスだけでは不十分である」**と論じている。この選択チャネルを閉じる唯一の方法は、認証されたサブグラフ上で選択を再計算することであり、それはAUTHSELECTというメカニズムによって実行される。