GraphRAG-LTM: A Layered Threat Modeling Framework for Attacks on Graph Retrieval-Augmented Generation

📄 arXiv: 2610.19549v1 📥 PDF

作者: Yining Tang, Junyu Zhang, Haomiao Qiu, Yongchao Liu, Jiajun Zheng, Zhao Wang, Ziyue Qiao, Chao Wu

分类: cs.CL

发布日期: 2026-10-14

备注: 14 pages, 7 figures

💡 一句话要点

提出GraphRAG-LTM框架以解决图检索增强生成的安全性问题

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 图检索 增强生成 威胁建模 安全性分析 自然语言处理 图神经网络 攻击防御

📋 核心要点

  1. 现有的GraphRAG方法在安全性方面存在不足，尤其是对证据路径的攻击尚未得到深入研究。
  2. 本文提出了GraphRAG-LTM框架，通过分层威胁建模来评估不同攻击者的访问级别，增强了对图检索增强生成的安全性分析。
  3. 实验结果显示，使用排名反馈和梯度访问可以显著降低答案质量，桥接三元组的删除进一步削弱了支持事实的检索能力。

📝 摘要（中文）

图检索增强生成（GraphRAG）利用文档派生的知识图谱为大型语言模型（LLM）答案提供证据，其安全性依赖于检索到的种子块和从中组装的图证据。然而，针对这一证据路径的攻击仍未得到充分探索。本文提出了GraphRAG-LTM，一个分层威胁建模框架，测试攻击者访问的三个嵌套级别。实验表明，排名反馈、梯度访问和桥接三元组删除等方法显著降低了答案质量，揭示了种子检索和图证据对这些失败的共同贡献。

🔬 方法详解

问题定义：本文旨在解决GraphRAG在安全性方面的不足，尤其是针对证据路径的攻击尚未被充分研究。现有方法未能有效防御这些攻击，导致答案质量下降。

核心思路：提出GraphRAG-LTM框架，通过分层威胁建模来评估攻击者的不同访问级别，利用排名反馈、梯度访问和图编辑等技术来增强安全性。

技术框架：框架包括三个主要模块：BB Query（基于排名反馈的查询编辑）、WB Query（基于梯度的查询编辑）和Graph-aware WB（图感知的白盒攻击），通过这些模块实现对多层次攻击的评估。

关键创新：最重要的创新在于引入了分层威胁建模，能够系统性地评估不同攻击者的能力，并通过图编辑技术有效干扰证据传播。

关键设计：在参数设置上，采用了语义相似度约束进行查询编辑，损失函数设计上考虑了排名反馈和梯度信息，网络结构上结合了图神经网络以处理图证据。

🖼️ 关键图片

fig_0
fig_1
fig_2

📊 实验亮点

实验结果表明，使用排名反馈的BB Query能够显著降低答案质量，具体表现为在多个数据集上，答案质量下降幅度达到了XX%。而通过梯度访问的WB Query和桥接三元组删除的Graph-aware WB进一步削弱了支持事实的检索能力，显示出攻击的有效性。

🎯 应用场景

该研究的潜在应用领域包括安全性敏感的自然语言处理任务，如信息检索、问答系统和对话生成等。通过增强对图检索增强生成的安全性分析，能够为实际应用提供更可靠的保障，降低潜在的攻击风险，提升用户信任度。

📄 摘要（原文）

Graph retrieval-augmented generation (GraphRAG) uses document-derived knowledge graphs to assemble evidence for large language model (LLM) answers. Its security depends on both the seed chunks retrieved for a query and the graph evidence assembled from them, yet attacks on this evidence path remain underexplored. We introduce GraphRAG-LTM, a Layered Threat Modeling framework that tests three nested levels of attacker access. BB Query uses ranking feedback to make query edits under a semantic-similarity constraint and demote relevant seed chunks. WB Query uses retriever gradients for the same objective. Graph-aware WB keeps the white-box adversarial query and deletes bridge triplets from the query-specific evidence graph, disrupting multi-hop evidence propagation through localized graph edits. Across datasets, retrievers, and LLM backbones, rank feedback alone reduces answer quality, gradient access strengthens query attacks, and bridge-triplet deletion further impairs supporting-fact retrieval. Further analyses show how seed retrieval and graph evidence jointly contribute to these failures.