跳数衰减影响：LLM GraphRAG 管道中结构辅助索引的新漏洞

Jisung Park, John Le, Heath Cooper
网络安全与密码学研究所 (iC²)，伍伦贡大学
IFIP SEC 2026

---

jspacific0307/HDI-graphragpipeline https://huggingface.co/datasets/jspacific0307/HDI-graphragpipeline

概述

GraphRAG 管道在离线索引期间构建辅助结构——语义摘要、层次边和预计算分数——而现有攻击完全忽视了这些结构。

本文形式化了辅助模式级实体作为一种新型攻击面，并提出：

• 3S 框架：语义、结构、评分攻击
• 跳数衰减影响 (HDI)：一种灰盒目标选择算法，使用基于 BFS 的影响传播与指数衰减

关键结果

指标	值
攻击成功率 (ASR)	所有配置下 88%+
修改比例	低至总结构的 0.016%
模式杠杆率 (SLR)	高达 6.00（每次修改影响的查询数）
困惑度过滤器规避	99.5%+
复述防御规避	99.1%+

---

攻击管道

Query → Entity Extraction → KG Mapping → HDI Target Selection → 3S Attack

1. 查询实体提取 — 从目标查询中提取种子实体
2. KG 映射 — 将种子映射到图节点
3. HDI 目标选择 — 基于 BFS 的影响传播，衰减因子为 λ
4. 3S 攻击 — 对选定目标应用语义 / 结构 / 评分攻击

---

3S 框架

攻击	目标	方法
语义 (S)	文本摘要	注入低困惑度的对抗性文本
结构 (T)	层次边	向语义上遥远的节点添加误导性边
评分 (C)	预计算分数	降低高排名节点的排名，提升不相关节点的排名

---

跳数衰减影响 (HDI)

影响从种子实体传播，随跳数距离呈指数衰减：

$$\text{Influence}(v) = \sum_{q \in Q} \sum_{s \in \text{Seeds}(q)} \lambda^{d(s,v)}$$

• λ ∈ (0, 1)：衰减因子（默认值：0.5）
• hmax：最大跳数距离（默认值：4）
• 选择 Top-k 节点作为攻击目标

---

实验设置

基线

• Microsoft GraphRAG（层次社区检测）
• HippoRAG2（个性化 PageRank）

数据集

• HotpotQA（1,000 个样本）
• 2WikiMultiHopQA（1,000 个样本）

模型

• text-embedding-3-small (OpenAI)
• GPT-4o-mini (OpenAI)

---

结果摘要

系统	数据集	最佳配置	ASR (%)	修改比例 (%)	SLR
MS GraphRAG	HotpotQA	HDI-T	91.69	4.74	4.57
MS GraphRAG	2WikiMHQA	HDI-T	88.17	4.82	3.41
HippoRAG2	HotpotQA	HDI-T	88.24	0.075	5.80
HippoRAG2	2WikiMHQA	HDI-C	94.44	0.016	6.00

---

安装

git clone https://github.com/Jisung-Pacific/HDI-GraphRAG-Attack
cd HDI-GraphRAG-Attack
pip install -r requirements.txt

---

引用

@inproceedings{park2026hdi,
  title     = {Hop-Decayed Influence: New Vulnerabilities of Structural Auxiliary Indexing in GraphRAG Pipelines with LLM},
  author    = {Park, Jisung and Le, John and Cooper, Heath},
  booktitle = {IFIP International Information Security and Privacy Conference (SEC)},
  year      = {2026}
}

---

伦理考量

所有实验均在隔离环境中的公共基准数据集和开源实现上进行。没有针对生产系统的攻击。研究结果在发表前已与受影响项目的维护者分享。