Graphs Don't Stay Secret: Practical Subgraph Reconstruction Attacks on Defended Graph RAG

Resumo Técnico: Grafos Não Permanecem Secretos: Ataques Práticos de Reconstrução de Subgrafos em Graph RAG Defendido

Declaração do Problema
A Geração Aumentada de Recuperação baseada em Grafos (Graph RAG) aprimora o raciocínio de Grandes Modelos de Linguagem (LLMs) ao recuperar subgrafos estruturados de bases de conhecimento (KBs) em vez de fragmentos de texto não estruturados. Embora isso melhore o raciocínio global e composicional, introduz uma ameaça crítica e pouco estudada: adversários podem reconstruir esses subgrafos estruturados para exfiltrar ativos de conhecimento proprietários (ex: ontologias organizacionais, esquemas) e dados privados sensíveis (ex: cargos de funcionários, diagnósticos de pacientes).

Ataques existentes de extração de dados contra sistemas RAG falham em implantações de Graph RAG defendidas. Métodos anteriores dependem de técnicas de prompting de "repetir e listar" ou jailbreak que solicitam explicitamente a divulgação do contexto. No Graph RAG, essas abordagens acionam recusas de segurança ou induzem o LLM a parafrasear/resumir o conteúdo recuperado. Essa paráfrase corrompe as triplas precisas de entidade-relação necessárias para a reconstrução do grafo, fazendo com que ataques anteriores falhem em recuperar tipos de relação e manter a fidelidade ao nível da instância. O artigo identifica três modos de falha específicos em configurações defendidas: (1) a intenção explícita de exfiltração aciona recusas; (2) a paráfrase induzida pela segurança quebra a precisão do tipo de relação; e (3) modelos de consulta (query templates) fixos saturam rapidamente, gerando retornos decrescentes.

Metodologia: GRASP
Para enfrentar esses desafios, os autores propõem o GRASP (Graph RAG Reconstruction Attack for Subgraph Profiling), um ataque de caixa fechada e múltiplos turnos projetado para reconstruir um subgrafo de um salto (one-hop) alvo de um sistema Graph RAG defendido. O GRASP opera sem acesso ao recuperador interno, ao modelo de embedding ou ao esquema da KB, baseando-se apenas na API padrão.

O GRASP é construído sobre três princípios de design fundamentais derivados da análise de falhas de ataques anteriores:

1. Reenquadramento de Tarefa (Evasão de Intenção): Em vez de pedir explicitamente para "descarregar" ou "listar" o grafo, o GRASP reenquadra a extração como uma tarefa legítima e restrita de processamento de relações. O ataque instrui o LLM a agir como um assistente especializado na extração de relações de tabelas de contexto recuperadas, contornando assim filtros de segurança que bloqueiam exfiltrações de dados óbvias.
2. Extração Baseada em Instância (Fidelidade): Para combater a paráfrase induzida pela segurança e as alucinações, o GRASP impõe um formato de saída estrito exigindo quadruplas de relação: (ID, ENTIDADE_ORIGEM, TIPO_RELAÇÃO, ENTIDADE_DESTINO). Crucialmente, ele introduz um ID por registro para cada instância de relação. Este ID atua como um delimitador, forçando o modelo a rastrear cada relação extraída de volta a um registro específico no contexto recuperado. Esse mecanismo reduz significativamente a mistura de entidades e relações (alucinações) e preserva a forma lexical exata dos tipos de relação.
3. Descoberta Adaptativa (Diversidade): Para superar a saturação de recuperação e os orçamentos de consulta, o GRASP emprega um Agendador de Prompts Consciente de Descoberta (Discovery-Aware Prompt Scheduler). Este agendador gerencia um conjunto de modelos de diversidade orientados por objetivos:
   • Desvio de quadro de contexto (Context-frame drift): Desloca o foco da recuperação usando âncoras de domínio específico para descobrir novas relações.
   • Expansão de tipo (Type expand): Explora tipos de relação conhecidos para encontrar instâncias perdidas.
   • Exploração de tipo (Type explore): Visa tipos de relação não vistos para expandir a cobertura estrutural.
   • Extração residual (Residual extract): Realiza uma varredura conservadora para relações restantes de alta confiança.
     O agendador seleciona modelos adaptativamente com base no ímpeto de novas descobertas (usando Médias Móveis Exponenciais) e uma estimativa de novidade de Good-Turing para interromper quando os ganhos marginais forem insignificantes.

Principais Contribuições

• Análise de Falha: O artigo fornece uma análise sistemática de por que ataques de extração de RAG anteriores falham contra Graph RAG, identificando que a intenção explícita aciona recusas e a paráfrase destrói a fidelidade da relação.
• Ataque GRASP: Introdução de um novo ataque que alcança alta fidelidade na reconstrução de subgrafos tipados em configurações defendidas ao reenquadrar a tarefa, impor o embasamento de instância e usar agendamento adaptativo.
• Validação Empírica: Demonstração de que o GRASP alcança até 82,9% de F1 (RType) na reconstrução de relações tipadas em dois conjuntos de dados do mundo real (e-mails da Enron, diálogos da HealthCareMagic) e quatro LLMs alinhados com segurança (GPT-4o-mini, GPT-5-mini, Claude Haiku 4.5, Qwen3), enquanto os baselines anteriores frequentemente falham em recuperar tipos de relação inteiramente.
• Avaliação de Defesa: Uma avaliação sistemática das defesas existentes (baseadas em prompt, tempo de decodificação, monitoramento em tempo de execução) e a proposta de duas defesas leves de construção de contexto: Alinhamento de ID (colapsar IDs de instância para induzir mistura) e Decoy (injetar colunas de destino enganosas).

Resultados

• Desempenho do Ataque: O GRASP supera significativamente os baselines. Enquanto os baselines como "repetir contexto" ou prompts de jailbreak alcançam quase zero de F1 para relações tipadas (RType) sob prompts seguros, o GRASP mantém alta precisão e revocação. Por exemplo, no conjunto de dados Enron com GPT-4o-mini, o GRASP alcançou 65,6% de F1 (RType), comparado a <1% para a maioria dos baselines.
• Robustez: O ataque transfere-se efetivamente entre diferentes frameworks de Graph RAG (GraphRAG, LightRAG, nano-GraphRag) e permanece eficaz mesmo com orçamentos de consulta estritos (tão baixos quanto 3 consultas) e entidades alvo desconhecidas (via uma abordagem de descoberta em duas etapas).
• Eficácia da Defesa:
  • Defesas de Baseline: Prompts seguros padrão, defesas de sumarização e até monitoramento de intenção em tempo de execução (ex: Bedrock Guardrails) reduzem, mas não eliminam, a ameaça. Por exemplo, o Bedrock bloqueou 61,3% das consultas, mas deixou 47,1% de capacidade de reconstrução F1.
  • Defesas Propostas: As defesas Alinhamento de ID e Decoy dos autores são altamente eficazes. Quando combinadas com um prompt seguro, elas reduzem o F1 do GRASP para a faixa dos quinze (ex: 14,8% para Qwen3), preservando a utilidade de QA benigno (medida por Rouge-L F1). No entanto, o artigo observa que o risco de extração residual persiste mesmo sob defesas em camadas.

Significância e Alegações
O artigo alega que a reconstrução de subgrafos direcionada é um risco concreto de confidencialidade em sistemas Graph RAG, mesmo quando protegidos por prompts de segurança padrão. Argumenta-se que o "vazamento estruturado" do Graph RAG é distinto do vazamento de texto, pois expõe ontologias organizacionais e ativos relacionais que são altamente valiosos para roubo de propriedade intelectual e inferência de privacidade.

Os autores alegam modestamente que, embora suas defesas propostas (Alinhamento de ID e Decoy) reduzam substancialmente a fidelidade da reconstrução, elas não eliminam a ameaça inteiramente. O artigo conclui que o bloqueio baseado em intenção e o monitoramento em tempo de execução atuais são insuficientes para prevenir a extração de Graph RAG, necessitando de salvaguardas específicas para a estrutura que interrompam a integridade estrutural do contexto recuperado. O trabalho serve como um chamado à ação para o desenvolvimento de estratégias de mitigação mais fortes, específicas para Graph RAG, além da simples engenharia de prompt.