GraphRAG en cybersécurité : relations, sources et droits

Une question comme « quelle version corrige cet avis ? » cherche une information précise. « Quels composants concentrent les dépendances critiques de nos applications ? » demande plutôt de relier plusieurs sources. Un graphe peut aider à représenter ces relations, à condition de conserver leur origine et leur statut.

GraphRAG, proposé par Edge et ses coauteurs, construit des entités et relations à partir d’un corpus puis prépare des synthèses de communautés. Le travail étudie notamment des questions globales sur des ensembles documentaires. Ses résultats ne signifient pas que tout graphe est supérieur à toute recherche de passages.

Choisir la question avant la représentation

La documentation du projet distingue plusieurs modes, dont recherche locale et globale. Une question attachée à une entité peut exploiter ses voisins et les passages sources. Une synthèse globale mobilise davantage de rapports et de traitement.

Pour décider, séparez trois catégories dans votre jeu d’évaluation : recherche d’un fait, parcours de relations et synthèse d’ensemble. Un système peut gagner sur la troisième et perdre sur la première. Cette différence disparaît si vous ne conservez qu’un score moyen.

Exemple fictif : application, dépendance et avis

Considérons une application de démonstration Portail-A, une bibliothèque Lib-B et un avis Avis-C. Le graphe peut enregistrer les relations suivantes :

Portail-A -- utilise(version observée, date, source inventaire) --> Lib-B
Avis-C   -- concerne(plage de versions, source éditeur)       --> Lib-B

L’existence de ces deux liens ne suffit pas à conclure que le portail est exploitable. Il faut comparer la version observée, les conditions de l’avis et le contexte d’exécution. Une relation extraite automatiquement reste une proposition tant que les pièces ne permettent pas de la confirmer.

Associez donc à chaque relation un passage source, une date, un type et un statut de vérification. Deux sources contradictoires doivent pouvoir coexister sans être fusionnées silencieusement. Une information « inconnue » ne doit pas devenir une relation négative.

Un résumé est aussi un document dérivé

Une synthèse de communauté peut mélanger plusieurs documents. Si elle contient des éléments de deux clients, masquer les nœuds du second au moment de l’affichage ne retire pas ce qui a déjà été incorporé au résumé.

Nous proposons de traiter chaque résumé comme un dérivé soumis à des droits explicites. Selon les contraintes, les options comprennent des corpus séparés, des synthèses calculées dans un périmètre autorisé ou une invalidation lorsque les sources changent. Le choix se vérifie avec un essai inter-clients ; il ne découle pas de la seule présence d’un champ tenant_id sur les nœuds.

La suppression d’une source doit également atteindre les liens, résumés et caches qui en dépendent. Sans cette filiation, un graphe peut conserver une conclusion dont la preuve a disparu.

Ce que le coût d’indexation doit inclure

Comptez l’extraction, les vérifications, les synthèses, les reprises après modification et le traitement des suppressions. Une petite modification peut avoir un effet plus large qu’un remplacement de passage, selon les dépendances du graphe. Mesurez ces effets sur un corpus stable, puis sur une séquence de mises à jour.

Pour les requêtes, conservez la latence, le volume de sources consultées, les citations et le travail nécessaire pour vérifier la réponse. Un graphe visuellement convaincant peut contenir des liens erronés ; une réponse utile doit permettre de revenir à la pièce qui soutient chaque relation décisive.

Critères de décision pour une équipe cyber

Choisissez un graphe si les relations servent réellement les questions posées et si vous pouvez maintenir leur provenance. Gardez une recherche de passages comme référence pour les questions ponctuelles. Comparez les approches sur les mêmes droits et sur des cas dont l’issue est vérifiable.

Pour préparer ce travail, lisez la recherche hybride et le cycle de vie de la mémoire des agents. Le dossier IA et cyber relie les architectures, les contrôles et l’évaluation.