GraphRAG 的关系也能加隐私预算：RelGuard 把关系恢复 F1 压低 26.98 至 44.35 个百分点
核心概要
GraphRAG 通过实体关系把跨文档信息连起来，但黑盒查询也能被用来重建知识图谱，泄露实体之间是否相连以及关系含义。RelGuard 在建立索引前先改写源文档：按实体类型生成候选关系，再用指数机制为每条关系抽取一个替换谓词或删除该关系，并给出关系级差分隐私保证。在 LightRAG、PathRAG 和 HippoRAG 2 三个系统、两个数据集和两种重建攻击上，它的关系恢复 F1 比最强基线低 26.98 至 44.35 个百分点，问答 F1 的额外损失在多数设置下为 0.59 至 4.78 个百分点。
深度剖析
RelGuard 把关系隐私拆成两件事来保护：实体对之间是否存在连接，以及连接的含义是什么；它在 GraphRAG 建立索引之前改写源文档，而不是在生成答案时限制措辞。 此前的 GraphRAG 防御通过改写生成指令或检索上下文来减少泄露，包括 Abstractive、ID Alignment、Decoy 和 Protective Prompt，这些方法不提供形式化隐私保证。 在 LightRAG、PathRAG、HippoRAG 2 三个系统与 2WikiMultiHopQA、HotpotQA 两个数据集组成的 12 个系统—数据集—攻击组合中，RelGuard 的关系恢复 F1 均为最低，比最强基线低 26.98 至 44.35 个百分点；连接恢复 F1 在 12 个组合中的 11 个最低。
改写分四步完成：先从文档抽取规范化的实体—关系—三元组，再按主语和宾语的实体类型生成候选谓词池，然后为每条关系抽取一个替换谓词或空值，最后按抽取结果重建文档。 关系级差分隐私（relation-DP）用谓词嵌入之间的语义距离来校准输出不可区分程度，并把删除关系作为一种带固定距离的输出，因此语义相近的替换比语义很远的替换受到更紧的约束。 扰动由指数机制完成，候选池由大模型按有序实体类型对生成，关系谓词用 nli-roberta-base-v2 编码；实验在单张 40 GB 显存的 NVIDIA A100 上运行，报告三次试验的均值。
启示与展望
评估覆盖 LightRAG、PathRAG 和 HippoRAG 2 三个文档型 GraphRAG 系统，数据集为 2WikiMultiHopQA 与 HotpotQA，攻击为 GRASP 和定向 GraphSteal，受害者生成器为 GPT-4o-mini，Gemini-2.5-Flash 的结果列在附录。威胁模型假定对手知道文档中出现的实体身份、但不知道它们之间的关系，并且只有黑盒访问权限；文档投毒和系统入侵不在考虑范围内。
隐私保证比较的是固定且对齐的实体对上的关系赋值，而不是原始边集不同的输入。隐私预算越小，连接与关系恢复越低，但问答 F1 也下降；在 HippoRAG 2 与 2WikiMultiHopQA 上，预算从 10 降到 0.1 时问答 F1 从 62.99 降到 52.75。候选池从 5 增到 20 会同时提高问答 F1 和关系恢复 F1，连接恢复在候选数为 15 时达到 86.34 后略降。