Jisung Park, John Le, Heath Cooper
Institute of Cybersecurity and Cryptology (iC²), University of Wollongong
IFIP SEC 2026
jspacific0307/HDI-graphragpipeline https://huggingface.co/datasets/jspacific0307/HDI-graphragpipeline
GraphRAGパイプラインはオフラインインデックス構築中に補助構造——意味的要約、階層的エッジ、事前計算されたスコア——を構築するが、既存の攻撃はこれらを完全に見落としている。
本論文は補助スキーマレベルエンティティを新たな攻撃対象面として定式化し、以下を提案する:
| 指標 | 値 |
|---|---|
| 攻撃成功率 (ASR) | 全構成で 88%+ |
| 変更率 | 全構造の 0.016% という低さ |
| スキーマ活用率 (SLR) | 最大 6.00 (変更あたりの影響クエリ数) |
| パープレキシティフィルタ回避 | 99.5%+ |
| パラフレーズ防御回避 | 99.1%+ |
Query → Entity Extraction → KG Mapping → HDI Target Selection → 3S Attack
| 攻撃 | 対象 | 手法 |
|---|---|---|
| セマンティック (S) | テキスト要約 | 低パープレキシティの敵対的テキストを注入 |
| 構造 (T) | 階層的エッジ | 意味的に離れたノードに誤解を招くエッジを追加 |
| スコア (C) | 事前計算されたスコア | 高ランクノードを降格し、無関係なノードを昇格 |
影響はシードエンティティからホップ距離に応じた指数減衰を伴って伝播する:
$$\text{Influence}(v) = \sum_{q \in Q} \sum_{s \in \text{Seeds}(q)} \lambda^{d(s,v)}$$
ベースライン
データセット
モデル
text-embedding-3-small (OpenAI)GPT-4o-mini (OpenAI)| システム | データセット | 最良構成 | ASR (%) | 変更率 (%) | SLR |
|---|---|---|---|---|---|
| MS GraphRAG | HotpotQA | HDI-T | 91.69 | 4.74 | 4.57 |
| MS GraphRAG | 2WikiMHQA | HDI-T | 88.17 | 4.82 | 3.41 |
| HippoRAG2 | HotpotQA | HDI-T | 88.24 | 0.075 | 5.80 |
| HippoRAG2 | 2WikiMHQA | HDI-C | 94.44 | 0.016 | 6.00 |
git clone https://github.com/Jisung-Pacific/HDI-GraphRAG-Attack
cd HDI-GraphRAG-Attack
pip install -r requirements.txt
@inproceedings{park2026hdi,
title = {Hop-Decayed Influence: New Vulnerabilities of Structural Auxiliary Indexing in GraphRAG Pipelines with LLM},
author = {Park, Jisung and Le, John and Cooper, Heath},
booktitle = {IFIP International Information Security and Privacy Conference (SEC)},
year = {2026}
}
すべての実験は公開ベンチマークデータセットおよびオープンソース実装を用いて、隔離された環境で実施された。本番システムを標的とした攻撃は一切行われていない。知見は公表前に影響を受けるプロジェクトのメンテナに共有された。