Influência decrescente por salto: nova vulnerabilidade estrutural em índices auxiliares de pipelines GraphRAG
Pesquisadores identificam uma superfície de ataque até então ignorada em sistemas GraphRAG: as estruturas auxiliares criadas durante a indexação offline (resumos semânticos, arestas hierárquicas, escores pré-computados), que determinam a priorização da recuperação em tempo de consulta. O ataque proposto, Hop-Decayed Influence (HDI), identifica alvos de alto impacto via propagação de influência consciente da consulta e corrompe essas estruturas após a indexação, alcançando taxa de sucesso de 88-94% modificando apenas 0,016% das estruturas auxiliares em frameworks como Microsoft GraphRAG e HippoRAG2. As alterações evadem defesas baseadas em perplexidade e paráfrase com taxa de evasão acima de 99%, pois permanecem linguisticamente coerentes como artefatos gerados pelo próprio sistema.
O artigo chama atenção para um ponto cego estrutural em pipelines GraphRAG (Retrieval-Augmented Generation baseado em grafos): enquanto ataques anteriores a sistemas RAG focavam em manipular componentes de instância — nós, arestas ou triplas individuais do grafo de conhecimento —, os autores mostram que as estruturas auxiliares criadas durante a indexação offline, como resumos semânticos hierárquicos e escores pré-computados que guiam a priorização de recuperação, nunca haviam sido tratadas como superfície de ataque. Eles formalizam esse alvo como "Auxiliary Schema-Level Entity" e propõem o 3S Framework (Semantics, Structure, Scoring) para explorá-lo sistematicamente.
A técnica central, Hop-Decayed Influence (HDI), identifica quais estruturas auxiliares têm maior influência de propagação sobre múltiplas consultas — em vez de atacar um fato isolado, o atacante encontra os poucos pontos do índice hierárquico que, se corrompidos, afetam a recuperação de várias perguntas diferentes (um efeito de amplificação 1:N, de até 6 consultas por modificação). A corrupção ocorre depois da fase de indexação, o que é tecnicamente mais simples do que atacar durante a construção do grafo, tornando-se um vetor mais realista contra sistemas já em operação.
Os números são expressivos: taxa de sucesso entre 88% e 94% em dois benchmarks de perguntas multi-hop (HotpotQA e 2WikiMultiHopQA) e duas arquiteturas distintas, modificando uma fração mínima — 0,016% — das estruturas auxiliares totais. Mais preocupante é a taxa de evasão de defesas tradicionais baseadas em perplexidade e detecção de paráfrase, acima de 99%, porque as estruturas corrompidas continuam parecendo artefatos legítimos gerados pelo próprio sistema, e não texto injetado de forma grosseira.
Para quem constrói ou audita sistemas RAG baseados em grafos, o recado é direto: a confiança implícita dada a estruturas de metadados e índices auxiliares, sem validação em tempo de execução, é uma lacuna real de defesa. Pipelines que tratam resumos hierárquicos e escores de prioridade como dados internos confiáveis, sem assinatura ou revalidação periódica, estão expostos a um ataque de baixo custo e alta amplificação — a segurança de sistemas RAG precisa incluir a própria infraestrutura de indexação, não só o conteúdo recuperado.