Hop-Decayed Influence: Nuove Vulnerabilità dell'Indicizzazione Ausiliaria Strutturale nelle Pipeline GraphRAG con LLM

Jisung Park, John Le, Heath Cooper
Institute of Cybersecurity and Cryptology (iC²), University of Wollongong
IFIP SEC 2026

---

jspacific0307/HDI-graphragpipeline https://huggingface.co/datasets/jspacific0307/HDI-graphragpipeline

Panoramica

Le pipeline GraphRAG costruiscono strutture ausiliarie durante l'indicizzazione offline — riassunti semantici, archi gerarchici e punteggi precalcolati — che gli attacchi esistenti trascurano completamente.

Questo articolo formalizza l'Auxiliary Schema-Level Entity come una nuova superficie di attacco e propone:

• Framework 3S: attacchi Semantics, Structure, Scoring
• Hop-Decayed Influence (HDI): un algoritmo di selezione del target gray-box che utilizza la propagazione dell'influenza basata su BFS con decadimento esponenziale

Risultati Chiave

Metrica	Valore
Attack Success Rate (ASR)	88%+ in tutte le configurazioni
Modification Ratio	fino a 0.016% delle strutture totali
Schema Leverage Ratio (SLR)	fino a 6.00 (query influenzate per modifica)
Perplexity Filter Evasion	99.5%+
Paraphrase Defense Evasion	99.1%+

---

Pipeline di Attacco

Query → Entity Extraction → KG Mapping → HDI Target Selection → 3S Attack

1. Estrazione delle entità dalla query — estrai le entità seed dalle query target
2. Mappatura sul KG — mappa i seed sui nodi del grafo
3. Selezione del target HDI — propagazione dell'influenza basata su BFS con fattore di decadimento λ
4. Attacco 3S — applica l'attacco Semantic / Structure / Score sui target selezionati

---

Framework 3S

Attacco	Target	Metodo
Semantic (S)	Riassunti testuali	Inietta testo avversariale con bassa perplessità
Structure (T)	Archi gerarchici	Aggiungi archi fuorvianti verso nodi semanticamente distanti
Score (C)	Punteggi precalcolati	Declassa i nodi con ranking alto, promuovi quelli irrilevanti

---

Hop-Decayed Influence (HDI)

L'influenza si propaga dalle entità seed con decadimento esponenziale in base alla distanza in hop:

$$\text{Influence}(v) = \sum_{q \in Q} \sum_{s \in \text{Seeds}(q)} \lambda^{d(s,v)}$$

• λ ∈ (0, 1): fattore di decadimento (predefinito: 0.5)
• hmax: distanza massima in hop (predefinito: 4)
• I top-k nodi vengono selezionati come target dell'attacco

---

Setup Sperimentale

Baseline

• Microsoft GraphRAG (rilevamento gerarchico delle comunità)
• HippoRAG2 (Personalised PageRank)

Dataset

• HotpotQA (1.000 campioni)
• 2WikiMultiHopQA (1.000 campioni)

Modelli

• text-embedding-3-small (OpenAI)
• GPT-4o-mini (OpenAI)

---

Riepilogo dei Risultati

Sistema	Dataset	Configurazione Migliore	ASR (%)	Mod. Ratio (%)	SLR
MS GraphRAG	HotpotQA	HDI-T	91.69	4.74	4.57
MS GraphRAG	2WikiMHQA	HDI-T	88.17	4.82	3.41
HippoRAG2	HotpotQA	HDI-T	88.24	0.075	5.80
HippoRAG2	2WikiMHQA	HDI-C	94.44	0.016	6.00

---

Installazione

git clone https://github.com/Jisung-Pacific/HDI-GraphRAG-Attack
cd HDI-GraphRAG-Attack
pip install -r requirements.txt

---

Citazione

@inproceedings{park2026hdi,
  title     = {Hop-Decayed Influence: New Vulnerabilities of Structural Auxiliary Indexing in GraphRAG Pipelines with LLM},
  author    = {Park, Jisung and Le, John and Cooper, Heath},
  booktitle = {IFIP International Information Security and Privacy Conference (SEC)},
  year      = {2026}
}

---

Considerazioni Etiche

Tutti gli esperimenti sono stati condotti su dataset di benchmark pubblici e implementazioni open-source in ambienti isolati. Nessun attacco è stato indirizzato a sistemi in produzione. I risultati sono stati condivisi con i manutentori dei progetti interessati prima della pubblicazione.