Resumo Técnico: Integridade de Seleção para Memória de Grafo de LLM

1. Declaração do Problema

O artigo aborda uma vulnerabilidade de segurança crítica em sistemas de Memória de Longo Prazo (LTM) para agentes de Grandes Modelos de Linguagem (LLM) que utilizam estruturas de memória baseadas em grafos (ex: HippoRAG, Graphiti). Enquanto as defesas existentes focam na verificação da proveniência dos registros recuperados (conteúdo), elas falham em considerar a proveniência do próprio processo de seleção.

O Ponto Cego

Em sistemas de memória de grafo, a recuperação não é uma simples busca, mas uma computação estrutural global (ex: Personalized PageRank) realizada sobre um grafo editável.

• O Vetor de Ataque: Um principal não confiável (ex: um agente par comprometido ou um resultado de ferramenta envenenado) pode escrever dados estruturais (arestas, fusões de entidades, relações) sem escrever nenhum trecho de texto recuperável.
• O Mecanismo: Essas escritas estruturais "sem fonte" alteram a topologia do grafo, redirecionando assim o algoritmo de seleção para priorizar fatos autenticados diferentes.
• A Falha das Defesas Existentes: O Controle de Fluxo de Informação (IFC) fiel e as defesas de proveniência inspecionam o contexto recuperado e a justificativa. Como os fatos selecionados permanecem autenticados e as escritas estruturais maliciosas nunca aparecem na justificativa, essas defesas tomam a decisão byte a byte idêntica à de não ter defesa alguma. O agente age com base em informações incorretas, porém autenticadas, levando a erros irreversíveis (ex: transferências de ledger mal direcionadas).

2. Metodologia e Estrutura Teórica

O Critério de Acumulabilidade

Os autores propõem um critério falsificável para determinar quais seletores de memória de grafo são vulneráveis a este "canal de seleção".

• Definição: Um seletor admite o canal se seu termo estrutural puder realocar uma parcela suficiente da participação do top-$k$ para inverter o conjunto selecionado.
• Distinção Chave: A vulnerabilidade não é determinada pela dependência de estrutura, mas pela realocabilidade.
  • Vulnerável: Seletores como o Personalized PageRank (PPR), onde uma massa de caminhada aleatória conservada pode ser redirecionada por arestas injetadas para deslocar um alvo (especialmente alvos de baixo piso e múltiplos saltos).
  • Imune: Seletores onde a participação de candidatos é fixa pelo conteúdo (ex: recuperação vetorial) ou onde os sinais estruturais são reclassificações limitadas (ex: distância de nó do Graphiti). Estes não podem introduzir itens fora do pool ou deslocar alvos de alta margem.

O Teorema da Impossibilidade

O artigo prova um teorema de divergência P-vs-S:

• P (Proveniência): Verifica se o conteúdo visível é autenticado.
• S (Integridade de Seleção): Verifica se remover a estrutura não autenticada altera o resultado.
• Resultado: Para consultas onde a justificativa é totalmente autenticada, mas a seleção foi perturbada por estrutura não autenticada (o "conjunto de divergência" $D$), $P$ e $S$ divergem. Uma defesa que fecha este canal deve inspecionar e reproduzir a seleção em um subgrafo autenticado, tornando-se efetivamente uma defesa de integridade de seleção. Defesas pós-seleção (reclassificação de itens recuperados) são comprovadamente insuficientes.

3. A Defesa: AUTHSELECT

Os autores introduzem o AUTHSELECT, a primeira defesa principista para a integridade de seleção de memória de grafo.

• Mecanismo:
  1. Identificar escritas estruturais não autenticadas (com base na proveniência da escrita/canal de origem).
  2. Formar um subgrafo autenticado ($G_{auth}$) removendo essas escritas.
  3. Reproduzir (Replay) o seletor nativo em $G_{auth}$ para gerar um resultado candidato ($a_{G_{auth}}$).
  4. Comparar o resultado nativo ($a_G$) com o resultado reproduzido.
  5. Se eles diferirem, o sistema rejeita $a_G$ e utiliza $a_{G_{auth}}$ (ou escala conforme os requisitos de autoridade).
• Propriedades: É sólido (remover estrutura não autenticada não pode introduzir influência do atacante) e não trivial (ele fecha o canal com zero bloqueio excessivo sobre dados limpos).

4. Resultados Experimentais

A avaliação abrange três sistemas de memória de grafo (HippoRAG2, Graphiti, Mem0) e quatro conjuntos de dados (HotpotQA, MuSiQue, 2Wiki, LoCoMo), incluindo memória de agente de múltiplas sessões reais.

Principais Descobertas

1. Confirmação de Vulnerabilidade:

   • No HippoRAG2 (PPR), o canal está aberto. Uma única escrita estrutural sem fonte causou 28 transferências de ledger mal direcionadas e irreversíveis ao longo de 499 ações ao vivo.
   • O IFC fiel e as defesas de proveniência existentes permitiram 100% dessas ações prejudiciais (tomando a mesma decisão que nenhuma defesa).
   • O canal é mais eficaz contra alvos de baixo piso e múltiplos saltos, onde o piso de teletransporte é baixo.

2. Eficácia da Defesa:

   • O AUTHSELECT reduziu o dano para 0.000 em todos os conjuntos de dados e cenários de ataque.
   • Alcançou isso com zero bloqueio excessivo (sem falsos positivos em dados limpos) e um overhead de latência de apenas 2–3%.

3. Necessidade de Integridade Pré-Seleção:

   • Defesas pós-seleção publicadas (ex: A-MemGuard, pontuação de confiança Bayesiana, verificação de consenso) foram cegas ao canal, performando identicamente a "nenhuma defesa" no conjunto de divergência.
   • Apenas a re-derivação pré-seleção (AUTHSELECT) fechou o canal, confirmando o corolário de irreduzibilidade.

4. Poder Preditivo do Critério:

   • O critério previu corretamente que o seletor de distância de nó do Graphiti é imune (apesar da alta dependência estrutural) porque não consegue realocar a participação do top-k.
   • Por outro lado, o PPR foi corretamente identificado como vulnerável.

5. Significância e Alegações

O artigo posiciona-se não como o primeiro trabalho de segurança de memória de grafo, mas como o primeiro a identificar e resolver o problema da integridade de seleção, distinto do envenenamento de conteúdo.

• Contribuição Central: Demonstra que, em memória de grafo, a seleção é uma propriedade global que pode ser manipulada sem injetar conteúdo visível.
• Mudança Teórica: Desloca o foco de segurança de "verificar a proveniência dos fatos recuperados" para "verificar a integridade do processo de seleção".
• Impacto Prático: Mostra que, sem integridade de seleção, agentes podem ser silenciosamente direcionados a tomar ações do mundo real (ex: transferências financeiras) com base em uma topologia de grafo envenenada, mesmo quando toda a evidência citada parece perfeitamente autenticada.
• Modéstia: Os autores declaram explicitamente que não pretendem resolver todos os problemas de segurança de memória de grafo (ex: eles não abordam o caso de principais totalmente confiáveis escrevendo conteúdo autenticado que posteriormente se agrupa). Sua alegação é condicional: quando uma memória de grafo expõe a estrutura como uma superfície editável e seleciona via uma função acumulável, a integridade deve proteger a etapa de seleção.

Em resumo, o artigo argumenta que a proveniência fiel é insuficiente para a memória de grafo. A única maneira de fechar o canal de seleção é impor a integridade de seleção ao recomputar a seleção em um subgrafo autenticado, uma tarefa realizada pelo mecanismo AUTHSELECT proposto.