Les défenses par provenance de la mémoire-graphe des agents sont aveugles par construction

De quoi s’agit-il ?

Le 10 juin 2026, un article intitulé Selection Integrity for LLM Graph Memory (arXiv:2606.12290, cs.CR) formule une affirmation tranchée au sujet d’un schéma de défense devenu discrètement standard : à mesure que la mémoire des agents passe des dépôts de documents plats à des graphes, les équipes ajoutent des défenses par provenance qui vérifient d’où viennent les enregistrements récupérés. L’article soutient que toute cette classe de défense est aveugle par construction — elle se contourne sans falsifier, usurper ni altérer la moindre source authentifiée.

Le résultat compte car la mémoire-graphe et l’empoisonnement de mémoire sont désormais au cœur de la sécurité des agents, et le contrôle de provenance / de flux d’information (IFC) est la défense vers laquelle on se tourne en priorité. La conclusion : face à ce canal précis, un IFC fidèle prend la décision strictement identique à l’absence totale de défense.

Comment ça marche

L’attaque vise la sélection, pas le contenu. Une mémoire-graphe à long terme exécute une étape de sélection globale (un ranker ou un retriever) sur une structure de graphe inscriptible pour décider quels enregistrements atteignent le contexte du modèle. Les défenses par provenance vérifient ensuite la provenance des enregistrements que l’agent récupère — et chacun est légitimement authentifié.

La faille : un principal non fiable capable d’écrire de la structure — arêtes, nœuds, liens — n’a pas besoin d’injecter un faux fait. L’écriture de structure change quels faits authentifiés remportent le top-k, tandis que les preuves citées restent pleinement authentifiées. Comme l’IFC fidèle vérifie la provenance de ce que le lecteur utilise réellement (le tout authentifié), il autorise le résultat dérouté exactement comme il autoriserait le résultat honnête.

Graphe honnête      →  sélection  →  top-k = {fait authentifié A}     →  IFC : autoriser ✓
+ écriture de       →  sélection  →  top-k = {fait authentifié B}     →  IFC : autoriser ✓
  structure sans       (dérouté)      (toujours pleinement authentifié)   (même décision)
  source

L’article caractérise précisément quels sélecteurs sont exposés : un sélecteur admet le canal lorsque son terme structurel peut réallouer une part Ω(1) de l’appartenance au top-k au-delà de la marge d’un fait sélectionné. Le Personalized PageRank le peut — une écriture sans source réoriente la masse conservée de la marche aléatoire. Un reranker fixé sur le contenu ne le peut pas. La distance-de-nœud de Graphiti, qui s’appuie sur la structure encore plus que PageRank, reste immunisée. Le prédicteur, insistent les auteurs, est la réallouabilité, pas le recours : la quantité de structure qu’utilise un sélecteur importe moins que la capacité d’une écriture non fiable à réallouer la masse de classement. Ils prouvent le cas immunisé en général et le cas ouvert (exploitable) sous une condition de goulet d’étranglement qu’ils vérifient.

Dans l’évaluation la plus lourde de conséquences, une seule écriture de structure sans source a silencieusement détourné 28 transferts de registre irréversibles sur 499 actions réelles au sein d’une vraie mémoire d’agent multi-session. L’IFC fidèle les a tous autorisés.

Pourquoi c’est important

C’est un angle mort architectural, pas un bug dans un produit. Si vous défendez la mémoire d’un agent en vérifiant la provenance des enregistrements récupérés — la lecture naturelle des travaux d’attribution de responsabilité sur les connaissances empoisonnées et de la littérature plus large sur la sécurité de la mémoire à long terme — vous pouvez croire avoir fermé la porte alors que le canal de sélection reste grand ouvert. L’impact est maximal là où l’agent prend des actions irréversibles (paiements, écritures de registre, suppressions) en aval de ce que la mémoire fait remonter, et là où du contenu non fiable peut atteindre la structure du graphe (mémoire multi-session partagée, graphes de connaissances collaboratifs, mémoire d’agent à agent). La condition préalable — un accès en écriture à la structure — est exactement celle que créent les conceptions de mémoire multi-session et multi-locataire.

Défenses

Le correctif proposé par l’article est la mitigation la plus claire, et il se généralise.

1. Recalculer la sélection sur le sous-graphe authentifié. Fermer le canal oblige toute défense par provenance à ré-exécuter l’étape de sélection sur la seule structure que le lecteur est autorisé à croire — et non à vérifier la provenance après coup. Le AuthSelect des auteurs le fait à zéro sur-blocage et 2–3 % de latence, l’argument du coût est donc faible.
2. Auditer la réallouabilité de votre sélecteur. Demandez-vous si une écriture de structure non fiable peut déplacer une part Ω(1) de l’appartenance au top-k. Les sélecteurs de type Personalized PageRank sont exposés ; les rerankers fixés sur le contenu et les sélecteurs par distance-de-nœud ne le sont pas. Traitez la réallouabilité — et non le caractère « structurel » ressenti du sélecteur — comme le signal de risque.
3. Contrôler les écritures de structure comme le contenu. La plupart des défenses anti-empoisonnement scrutent les faits injectés. Appliquez la même frontière de confiance aux arêtes et aux liens : qui peut ajouter de la structure à la mémoire partagée, et cette structure est-elle attribuable à un principal de confiance ?
4. Tenir les actions irréversibles à l’écart de la sélection brute de mémoire. Là où un agent peut déplacer de l’argent ou supprimer des données, exigez une confirmation ou une re-dérivation de confiance entre « la mémoire a dit X » et l’effet de bord — la logique de la triade létale appliquée à la récupération en mémoire.

Statut

Élément	Référence	Date	Notes
Selection Integrity for LLM Graph Memory	arXiv:2606.12290v1	2026-06-10	Défenses provenance/IFC de la mémoire-graphe aveugles à la réécriture de sélection par structure
Sélecteur exposé	Article §résultats	2026-06-10	Personalized PageRank — une écriture sans source réoriente la masse de marche aléatoire
Sélecteurs immunisés	Article §résultats	2026-06-10	Reranker fixé sur le contenu ; distance-de-nœud de Graphiti
Correctif proposé	AuthSelect	2026-06-10	Recalcul de la sélection sur le sous-graphe authentifié ; 0 sur-blocage, 2–3 % de latence

La conclusion n’est pas « les défenses par provenance sont inutiles » — c’est que la provenance de l’enregistrement récupéré est le mauvais point de contrôle pour la mémoire-graphe. La décision qui compte est la sélection, et la sélection doit être recalculée sur une structure de confiance, faute de quoi le reste de la défense vérifie la bonne réponse à la mauvaise question.