Influencia de Decaimiento por Saltos: Nuevas Vulnerabilidades de la Indexación Auxiliar Estructural en Pipelines de GraphRAG con LLM

Jisung Park, John Le, Heath Cooper
Institute of Cybersecurity and Cryptology (iC²), University of Wollongong
IFIP SEC 2026

---

jspacific0307/HDI-graphragpipeline https://huggingface.co/datasets/jspacific0307/HDI-graphragpipeline

Descripción general

Los pipelines de GraphRAG construyen estructuras auxiliares durante la indexación offline — resúmenes semánticos, aristas jerárquicas y puntuaciones precalculadas — que los ataques existentes pasan por alto por completo.

Este artículo formaliza la Entidad a Nivel de Esquema Auxiliar como una nueva superficie de ataque y propone:

• Framework 3S: ataques de Semántica, Estructura y Puntuación
• Influencia de Decaimiento por Saltos (HDI): un algoritmo de selección de objetivos de caja gris que utiliza propagación de influencia basada en BFS con decaimiento exponencial

Resultados clave

Métrica	Valor
Tasa de Éxito del Ataque (ASR)	88%+ en todas las configuraciones
Ratio de Modificación	tan bajo como 0.016% del total de estructuras
Ratio de Aprovechamiento del Esquema (SLR)	hasta 6.00 (consultas afectadas por modificación)
Evasión del Filtro de Perplejidad	99.5%+
Evasión de Defensa por Paráfrasis	99.1%+

---

Pipeline de ataque

Query → Entity Extraction → KG Mapping → HDI Target Selection → 3S Attack

1. Extracción de entidades de la consulta — extraer entidades semilla de las consultas objetivo
2. Mapeo al KG — mapear las semillas a nodos del grafo
3. Selección de objetivos HDI — propagación de influencia basada en BFS con factor de decaimiento λ
4. Ataque 3S — aplicar ataque Semántico / Estructural / de Puntuación sobre los objetivos seleccionados

---

Framework 3S

Ataque	Objetivo	Método
Semántico (S)	Resúmenes textuales	Inyectar texto adversarial con baja perplejidad
Estructural (T)	Aristas jerárquicas	Añadir aristas engañosas hacia nodos semánticamente distantes
Puntuación (C)	Puntuaciones precalculadas	Degradar nodos mejor clasificados, promover los irrelevantes

---

Influencia de Decaimiento por Saltos (HDI)

La influencia se propaga desde las entidades semilla con decaimiento exponencial según la distancia en saltos:

$$\text{Influence}(v) = \sum_{q \in Q} \sum_{s \in \text{Seeds}(q)} \lambda^{d(s,v)}$$

• λ ∈ (0, 1): factor de decaimiento (por defecto: 0.5)
• hmax: distancia máxima en saltos (por defecto: 4)
• Se seleccionan los Top-k nodos como objetivos del ataque

---

Configuración experimental

Líneas base

• Microsoft GraphRAG (detección jerárquica de comunidades)
• HippoRAG2 (Personalised PageRank)

Conjuntos de datos

• HotpotQA (1,000 muestras)
• 2WikiMultiHopQA (1,000 muestras)

Modelos

• text-embedding-3-small (OpenAI)
• GPT-4o-mini (OpenAI)

---

Resumen de resultados

Sistema	Conjunto de datos	Mejor configuración	ASR (%)	Ratio de Mod. (%)	SLR
MS GraphRAG	HotpotQA	HDI-T	91.69	4.74	4.57
MS GraphRAG	2WikiMHQA	HDI-T	88.17	4.82	3.41
HippoRAG2	HotpotQA	HDI-T	88.24	0.075	5.80
HippoRAG2	2WikiMHQA	HDI-C	94.44	0.016	6.00

---

Instalación

git clone https://github.com/Jisung-Pacific/HDI-GraphRAG-Attack
cd HDI-GraphRAG-Attack
pip install -r requirements.txt

---

Cita

@inproceedings{park2026hdi,
  title     = {Hop-Decayed Influence: New Vulnerabilities of Structural Auxiliary Indexing in GraphRAG Pipelines with LLM},
  author    = {Park, Jisung and Le, John and Cooper, Heath},
  booktitle = {IFIP International Information Security and Privacy Conference (SEC)},
  year      = {2026}
}

---

Consideración ética

Todos los experimentos se realizaron sobre conjuntos de datos de referencia públicos e implementaciones de código abierto en entornos aislados. Ningún ataque se dirigió a sistemas en producción. Los hallazgos se compartieron con los mantenedores de los proyectos afectados antes de su publicación.