Hop-Decayed Influence: Neue Schwachstellen der strukturellen Hilfsindizierung in GraphRAG-Pipelines mit LLM

Jisung Park, John Le, Heath Cooper
Institute of Cybersecurity and Cryptology (iC²), University of Wollongong
IFIP SEC 2026

---

jspacific0307/HDI-graphragpipeline https://huggingface.co/datasets/jspacific0307/HDI-graphragpipeline

Überblick

GraphRAG-Pipelines konstruieren Hilfsstrukturen während der Offline-Indizierung — semantische Zusammenfassungen, hierarchische Kanten und vorberechnete Scores — die von bestehenden Angriffen vollständig übersehen werden.

Diese Arbeit formalisiert Auxiliary Schema-Level Entity als eine neuartige Angriffsfläche und schlägt vor:

• 3S-Framework: Semantik-, Struktur- und Scoring-Angriffe
• Hop-Decayed Influence (HDI): Ein Gray-Box-Zielauswahlalgorithmus unter Verwendung BFS-basierter Einflussausbreitung mit exponentiellem Zerfall

Zentrale Ergebnisse

Metrik	Wert
Angriffserfolgsrate (ASR)	88%+ über alle Konfigurationen hinweg
Modifikationsverhältnis	so niedrig wie 0,016% aller Strukturen
Schema Leverage Ratio (SLR)	bis zu 6,00 (betroffene Abfragen pro Modifikation)
Umgehung des Perplexitätsfilters	99,5%+
Umgehung der Paraphrasen-Verteidigung	99,1%+

---

Angriffs-Pipeline

Query → Entity Extraction → KG Mapping → HDI Target Selection → 3S Attack

1. Query-Entity-Extraktion — Seed-Entities aus Zielabfragen extrahieren
2. KG-Mapping — Seeds auf Graphknoten abbilden
3. HDI-Zielauswahl — BFS-basierte Einflussausbreitung mit Zerfallsfaktor λ
4. 3S-Angriff — Semantik- / Struktur- / Score-Angriff auf ausgewählte Ziele anwenden

---

3S-Framework

Angriff	Ziel	Methode
Semantik (S)	Textuelle Zusammenfassungen	Injektion von adversarialem Text mit niedriger Perplexität
Struktur (T)	Hierarchische Kanten	Hinzufügen irreführender Kanten zu semantisch entfernten Knoten
Score (C)	Vorberechnete Scores	Herabstufung hochrangiger Knoten, Hochstufung irrelevanter Knoten

---

Hop-Decayed Influence (HDI)

Der Einfluss breitet sich von Seed-Entities mit exponentiellem Zerfall nach Hop-Distanz aus:

$$\text{Influence}(v) = \sum_{q \in Q} \sum_{s \in \text{Seeds}(q)} \lambda^{d(s,v)}$$

• λ ∈ (0, 1): Zerfallsfaktor (Standard: 0,5)
• hmax: maximale Hop-Distanz (Standard: 4)
• Top-k-Knoten werden als Angriffsziele ausgewählt

---

Experimenteller Aufbau

Baselines

• Microsoft GraphRAG (hierarchische Community-Erkennung)
• HippoRAG2 (Personalised PageRank)

Datensätze

• HotpotQA (1.000 Stichproben)
• 2WikiMultiHopQA (1.000 Stichproben)

Modelle

• text-embedding-3-small (OpenAI)
• GPT-4o-mini (OpenAI)

---

Zusammenfassung der Ergebnisse

System	Datensatz	Beste Konfiguration	ASR (%)	Mod.-Verhältnis (%)	SLR
MS GraphRAG	HotpotQA	HDI-T	91,69	4,74	4,57
MS GraphRAG	2WikiMHQA	HDI-T	88,17	4,82	3,41
HippoRAG2	HotpotQA	HDI-T	88,24	0,075	5,80
HippoRAG2	2WikiMHQA	HDI-C	94,44	0,016	6,00

---

Installation

git clone https://github.com/Jisung-Pacific/HDI-GraphRAG-Attack
cd HDI-GraphRAG-Attack
pip install -r requirements.txt

---

Zitation

@inproceedings{park2026hdi,
  title     = {Hop-Decayed Influence: New Vulnerabilities of Structural Auxiliary Indexing in GraphRAG Pipelines with LLM},
  author    = {Park, Jisung and Le, John and Cooper, Heath},
  booktitle = {IFIP International Information Security and Privacy Conference (SEC)},
  year      = {2026}
}

---

Ethische Betrachtung

Alle Experimente wurden auf öffentlichen Benchmark-Datensätzen und Open-Source-Implementierungen in isolierten Umgebungen durchgeführt. Es wurden keine Angriffe auf Produktionssysteme durchgeführt. Die Ergebnisse wurden vor der Veröffentlichung mit den betroffenen Projektbetreuern geteilt.