Graphs Don't Stay Secret: Practical Subgraph Reconstruction Attacks on Defended Graph RAG

기술 요약: 그래프는 비밀을 유지하지 못한다: 방어된 Graph RAG에 대한 실질적인 서브그래프 재구성 공격

문제 정의
그래프 기반 검색 증강 생성(Graph RAG)은 비정형 텍스트 청크 대신 지식 베이스(KB)로부터 구조화된 서브그래프를 검색함으로써 대규모 언어 모델(LLM)의 추론 능력을 향상시킨다. 이는 전역적 및 구성적 추론을 개선하지만, 동시에 치명적이고도 연구가 미진한 위협을 도입한다. 즉, 공격자가 이러한 구조화된 서브그래프를 재구성하여 조직의 온톨로지나 스키마와 같은 독점적 지식 자산(예: 조직 온톨로지, 스키마) 및 민감한 개인 데이터(예: 직원 역할, 환자 진단)를 탈취할 수 있다는 점이다.

기존의 RAG 대상 데이터 추출 공격은 방어된 Graph RAG 배포 환경에서 대부분 실패한다. 기존 방식들은 명시적으로 컨텍스트 공개를 요청하는 "반복 및 목록화(repeat and list)" 프롬프팅이나 탈옥(jailbreak) 기법에 의존한다. Graph RAG에서 이러한 접근 방식은 안전 가드레일의 거절을 유발하거나, LLM이 검색된 내용을 의역하거나 요약하도록 유도한다. 이러한 의역은 그래프 재구성에 필요한 정밀한 엔티티-관계 트리플(entity-relation triples)을 손상시키며, 이로 인해 기존 공격들은 관계 유형을 복구하거나 인스턴스 수준의 충실도(fidelity)를 유지하는 데 실패한다. 본 논문은 방어된 환경에서의 세 가지 구체적인 실패 모드를 식별한다: (1) 명시적인 데이터 탈취 의도가 거절을 유발함; (2) 안전을 위한 의도적 의역이 관계 유형의 정확성을 파괴함; (3) 고정된 쿼리 템플릿이 빠르게 포화되어 수익률이 감소함.

방법론: GRASP
이러한 과제를 해결하기 위해, 저자들은 방어된 Graph R기 RAG 시스템으로부터 타겟팅된 1-홉(one-hop) 서브그래프를 재구성하기 위해 설계된 폐쇄형(closed-box), 다회차(multi-turn) 공격인 GRASP(Graph RAG Reconstruction Attack for Subgraph Profiling)를 제안한다. GRASP는 내부 리트리버, 임베딩 모델 또는 KB 스키마에 대한 접근 권한 없이 오직 표준 API에만 의존하여 작동한다.

GRASP는 기존 공격의 실패 분석에서 도출된 세 가지 핵심 설계 원칙을 기반으로 구축되었다:

1. 작업 재구성 (의도 회피 - Task Reframing): 그래프를 "덤프"하거나 "목록화"하라고 명시적으로 요청하는 대신, GRASP는 이를 정당하고 제약된 관계 처리 작업으로 재구성한다. 이 공격은 LLM이 검색된 컨텍스트 테이블로부터 관계를 추출하는 전문 어시스턴트 역할을 수행하도록 유도함으로써, 노골적인 데이터 탈취를 차단하는 안전 필터를 우회한다.
2. 인스턴스 기반 추출 (충실도 - Instance-Grounded Extraction): 안전을 위한 의도적 의역과 환각(hallucination)에 대응하기 위해, GRASP는 관계 사중조 (ID, SRC_ENTITY, REL_TYPE, DST_ENTITY)를 요구하는 엄격한 출력 형식을 강제한다. 결정적으로, GRASP는 각 관계 인스턴스에 대해 개별 ID를 도입한다. 이 ID는 구분자 역할을 하여, 모델이 추출된 각 관계를 검색된 컨텍스트의 특정 레코드에 추적하도록 강제한다. 이 메커니즘은 엔티티와 관계의 혼합(환각)을 크게 줄이고, 관계 유형의 정확한 어휘 형태를 보존한다.
3. 적응형 발견 (다양성 - Adaptive Discovery): 검색 포화 및 쿼리 예산을 극복하기 위해, GRASP는 **발견 인지형 프롬프트 스케줄러(Discovery-Aware Prompt Scheduler)**를 채택한다. 이 스케줄러는 다음과 같은 목표 지향적 다양성 템플릿 세트를 관리한다:
   • 컨텍스트 프레임 드리프트(Context-frame drift): 도메인 특화 앵커를 사용하여 검색 초점을 전환함으로써 새로운 관계를 발견한다.
   • 타입 확장(Type expand): 알려진 관계 유형을 활용하여 놓친 인스턴스를 찾는다.
   • 타입 탐색(Type explore): 보이지 않던 관계 유형을 타겟팅하여 구조적 커버리지를 확장한다.
   • 잔여 추출(Residual extract): 남은 고신뢰도 관계를 위해 보수적인 스윕(sweep)을 수행한다.
     스케줄러는 새로운 발견의 모멘텀(지수 이동 평균 사용)과 Good-Turing 신규성 추정치를 기반으로 템플릿을 적응적으로 선택하며, 한계 이익이 미미해지면 중단한다.

주요 기여

• 실패 분석: 본 논문은 왜 기존의 RAG 추출 공격이 Graph RAG에 대해 실패하는지에 대한 체계적인 분석을 제공하며, 명시적 의도가 거절을 유발하고 의역이 관계 충실도를 파괴한다는 점을 식별한다.
• GRASP 공격: 작업 재구성, 인스턴스 그라운딩 강제, 적응형 스케줄링을 통해 방어된 환경에서 높은 충실도의 서브그래프 재구성을 달ian하는 새로운 공격법을 소개한다.
• 실증적 검증: GRASP가 두 개의 실제 데이터셋(Enron 이메일, HealthCareMagic 대화)과 네 개의 안전 정렬 LLM(GPT-4o-mini, GPT-5-mini, Claude Haiku 4.5, Qwen3)에 걸쳐 타입된 관계(RType)를 재구성하는 데 최대 82.9% F1을 달성함을 입증한다. 반면, 기존 베이스라인들은 관계 유형을 전혀 복구하지 못하는 경우가 많았다.
• 방어 평가: 기존의 방어 기제(프롬프트 기반, 디코딩 시점, 런타임 모니터링)에 대한 체계적인 평가와 함께, 두 가지 경량 컨텍스트 구성 방어법인 ID 정렬(ID Alignment)(인스턴스 ID를 붕괴시켜 혼합을 유도) 및 디코이(Decoy)(오도하는 엔드포인트 컬럼 주입)를 제안한다.

결과

• 공격 성능: GRASP는 베이스라인을 크게 압도한다. "컨텍스트 반복"이나 탈옥 프롬프트와 같은 베이스라인은 안전한 프롬프트 하에서 타입된 관계(RType)에 대한 F1 점수가 거의 0에 수렴하는 반면, GRASP는 높은 정밀도와 재현율을 유지한다. 예를 들어, GPT-4o-mini를 사용한 Enron 데이터셋에서 대부분의 베이스라인이 1% 미만의 F1을 기록할 때, GRASP는 65.6% F1(RType)을 달성했다.
• 강건성: 공격은 다양한 Graph RAG 프레임워크(GraphRAG, LightRAG, nano-GraphRAG) 간에 효과적으로 전이되며, 엄격한 쿼리 예산(최저 3개 쿼리) 및 미지의 타겟 엔티티(2단계 발견 접근법 활용) 상황에서도 효과적으로 작동한다.
• 방어 효능:
  • 베이스라인 방어: 표준 안전 프롬프트, 요약 방어, 그리고 런타임 의도 스크리닝(예: Bedrock Guardrails)은 위협을 감소시키지만 완전히 제거하지는 못한다. 예를 들어, Bedrock은 61.3%의 쿼리를 차단했지만 47.1%의 F1 재구성 능력을 남겨두었다.
  • 제안된 방어: 저자들이 제안한 ID 정렬 및 디코이 방어는 매우 효과적이다. 안전한 프롬프트와 결래될 경우, 이들은 GRASP의 F1을 10대 중반(예: Qwen3의 경우 14.8%)으로 낮추면서도 양호한 QA 유용성(Rouge-L F1로 측정)을 유지한다. 그러나 본 논문은 레이어드 방어 하에서도 잔여 추출 위험이 지속된다는 점을 언급한다.

의의 및 주장
본 논문은 타겟팅된 서브그래프 재구성이 표준 안전 프롬프트로 보호되는 Graph RAG 시스템에서도 구체적인 기밀성 위험이 된다고 주장한다. 저자들은 Graph RAG의 "구조적 유출(structured leakage)"이 단순한 텍스트 유출과는 다르다고 주장하는데, 이는 조직 고유의 온톨로지와 관계적 자산을 노출하여 지적 재산 탈취 및 프라이버시 추론에 매우 가치 있는 정보를 제공하기 때문이다.

저자들은 제안된 방어책(ID 정렬 및 디코이)이 재구성 충실도를 상당히 감소시키기는 하지만, 위협을 완전히 제거하지는 못한다고 겸허히 주장한다. 본 논문은 현재의 의도 기반 차단 및 런타임 모니터링이 Graph RAG 추출을 방지하기에는 불충분하며, 검색된 컨텍스트 자체의 구조적 무결성을 저해하는 위협 특화형 보호 전략이 필요하다는 결론을 내린다. 이 연구는 단순한 프롬프트 엔지니어링을 넘어 더 강력한, Graph RAG 특화형 완화 전략 개발을 촉구하는 호출(call to action) 역할을 한다.