Versatile AI Risk Assessment

KI-Bedrohungskatalog Anwendungs- und Integrationssicherheit Produktion

Graph-RAG-Vergiftung (Knowledge-Graph-Injection)

Manche KI-Systeme stützen ihre Antworten auf einen Wissensgraphen, ein Netz aus Begriffen und deren Beziehungen (Graph-RAG). Angreifer fügen falsche Knoten oder Verknüpfungen ein und verschieben damit gezielt die Schlussfolgerungen des Systems.

Stand: Oktober 2026 · Katalogversion 2026.10.24.2 · 7 Gegenmaßnahmen · 5 belegte Quellen

Beschreibung

Graph-RAG erweitert das Nachschlage-Verfahren RAG (Retrieval-Augmented Generation): Statt nur Textpassagen abzurufen, folgt das System einem Wissensgraphen, in dem Fakten als Knoten (etwa Personen, Produkte, Ereignisse) und ihre Beziehungen als Kanten gespeichert sind. Angreifer mit Schreibzugriff auf den Graphen oder auf die Datenwege, über die er befüllt wird, fügen erfundene Knoten und falsche Beziehungen ein oder verschieben bestehende Verknüpfungen. Weil das Modell diesen Verbindungen beim Schlussfolgern folgt, verzerrt schon eine einzelne manipulierte Beziehung viele Antworten: Die Fälschung erbt die Glaubwürdigkeit des gesamten Graphen. Der Mechanismus entspricht der Vergiftung einer Wissensbasis, zielt aber auf die Beziehungsstruktur statt auf einzelne Dokumente.

Mögliche Auswirkung

Das System zieht systematisch falsche Schlüsse mit großer Reichweite, denn eine manipulierte Beziehung wirkt auf alle Anfragen, die über sie laufen. Einzelne gefälschte Kanten sind zwischen Millionen echter Einträge schwer zu finden. Entscheidungen, Berichte und automatisierte Prozesse, die auf dem Graphen aufbauen, übernehmen die Fehler.

Beispiel

Ein Konzern pflegt einen Wissensgraphen über Lieferanten und deren Zertifizierungen, den ein KI-Assistent für Beschaffungsentscheidungen nutzt. Ein Angreifer fügt eine falsche Verknüpfung ein, die seine Firma als zertifizierten Lieferanten ausweist; der Assistent empfiehlt sie fortan als geprüfte Quelle.

Empfohlene Gegenmaßnahmen (7)

Vergleichen Sie Wirkung und Umsetzungsebene. Die ergänzende Einordnung und Begründung können Sie bei Bedarf aufklappen.

  • Integritäts-Validierung des Knowledge Graphs

    Technisch
    Wirkung
    Aufdeckend
    Umsetzungsebene
    Daten
    Einordnung und Begründung

    Primär technisch: Software oder Analysewerkzeuge erzeugen und bewerten systematisch Messwerte, Abweichungen oder Angriffsindikatoren.

  • Provenienz-Tracking pro Knoten/Kante

    Technisch
    Wirkung
    Aufdeckend
    Umsetzungsebene
    Daten
    Einordnung und Begründung

    Ergänzende MaßnahmenartOrganisatorisch & prozessual

    Primär technisch: Kryptografische oder maschinenprüfbare Merkmale sichern Vertraulichkeit, Integrität oder Herkunft; ergänzt durch verbindliche Abläufe.

  • Graph-Anomalie-Erkennung

    Technisch
    Wirkung
    Aufdeckend
    Umsetzungsebene
    Daten
    Einordnung und Begründung

    Primär technisch: Software oder Analysewerkzeuge erzeugen und bewerten systematisch Messwerte, Abweichungen oder Angriffsindikatoren.

  • Zugriffskontrolle auf Schreiboperationen im Graph

    Technisch
    Wirkung
    Präventiv
    Umsetzungsebene
    Daten, Anwendung, API & Agenten
    Einordnung und Begründung

    Ergänzende MaßnahmenartOrganisatorisch & prozessual

    Primär technisch: Maschinell erzwungene Identitäts-, Berechtigungs- oder Bereichsregeln begrenzen unzulässige Zugriffe und Aktionen; ergänzt durch verbindliche Abläufe.

  • Bestätigung von Relationen über mehrere Quellen

    Technisch
    Wirkung
    Präventiv, Aufdeckend
    Umsetzungsebene
    Daten
    Einordnung und Begründung

    Primär technisch: Software oder Analysewerkzeuge erzeugen und bewerten systematisch Messwerte, Abweichungen oder Angriffsindikatoren.

  • Versionierte Knowledge-Graph-Snapshots

    Technisch
    Wirkung
    Schadensbegrenzend, Wiederherstellend
    Umsetzungsebene
    Daten
    Einordnung und Begründung

    Primär technisch: Versionierte Zustände oder Rücksetzmechanismen ermöglichen eine kontrollierte Wiederherstellung.

  • Regelmäßige Graph-Audits

    Organisatorisch & prozessual
    Wirkung
    Aufdeckend
    Umsetzungsebene
    Daten, Nutzung & Betrieb
    Einordnung und Begründung

    Ergänzende MaßnahmenartGovernance & Compliance

    Primär organisatorisch & prozessual: Ein geplanter, wiederholbarer Prüfablauf mit Zuständigkeit und Nachverfolgung erzeugt die Schutzwirkung; ergänzt durch Regeln und Aufsicht.

Standard-Zuordnungen

Verifizierte Fundstellen in OWASP, NIST AI RMF, MITRE ATLAS, EU AI Act und weiteren Rahmenwerken. Die Zuordnungen zeigen fachliche Bezüge. Sie belegen nicht, dass ein System die jeweiligen Anforderungen erfüllt.

OWASP LLM Top 10 LLM05:2026NIST AI RMF NISTAML.015 · NISTAML.027EU AI Act Article 9(1), 9(2)(a), 9(2)(d)BSI R18

Belegte Referenzen (5)

Jede Referenz nennt Rahmenwerk, Fundstelle und die herausgebende Organisation.

Pflichten der KI-Verordnung zu dieser Bedrohung

Die Pflichten aus dem Pflichtenkompass, deren Artikel der Katalog dieser Bedrohung zuordnet. Jede führt auf ihren Eintrag mit Kern, Handlungsschritt und Nachweis; ob sie Sie trifft, hängt von Rolle und Risikoklasse ab.

  • Risikomanagementsystem einrichten und betreiben Art. 9 · gilt ab Anhang III: 2. Dezember 2027 · Anhang I: 2. August 2028

    Gesetzliche Rollen: Anbieter, Produkthersteller. Klassen: Hochrisiko nach Anhang III, Hochrisiko als Produkt oder Sicherheitsbauteil.

    Der Verweis ist ein Prüfanlass. Ein Bedrohungstreffer allein begründet keine Anwendbarkeit.

Alle 62 Pflichten nach Rolle, Risikoklasse und Frist im Pflichtenkompass

Begriffe auf dieser Seite

Fachbegriffe aus dem Glossar, die in diesem Eintrag vorkommen. Jeder Verweis führt zur vollständigen Erklärung.

Weitere Einträge aus der Themengruppe Anwendungs- und Integrationssicherheit.

Unsicherer Umgang mit Modellausgaben Die Anwendung reicht Antworten des KI-Modells ungeprüft an nachgelagerte Systeme weiter, etwa an Datenbanken, Webseiten oder Befehlszeilen. Unsicheres Tool-Design Viele KI-Anwendungen handeln selbst, indem sie über angebundene Werkzeuge (Tools) E-Mails versenden oder Datenbanken abfragen. Anwendungs-Schwachstellen Die Software rund um das KI-Modell, also Weboberfläche, Schnittstellen und Datenbanken, hat dieselben Schwachstellen wie jede andere …

Passende Anwendungsfälle

Die Liste zeigt, wo Sie diese Bedrohung prüfen, nicht wie hoch das Risiko ist.

Bei 2 weiteren Anwendungsfällen hängt es vom Aufbau des Systems ab, etwa davon, ob es ein Begriffsnetz (Wissensgraph) nutzt. Diese Anwendungsfälle zeigen

Häufige Fragen

Worum geht es bei dieser Bedrohung?
Manche KI-Systeme stützen ihre Antworten auf einen Wissensgraphen, ein Netz aus Begriffen und deren Beziehungen (Graph-RAG). Angreifer fügen falsche Knoten oder Verknüpfungen ein und verschieben damit gezielt die Schlussfolgerungen des Systems.
Welche Gegenmaßnahmen nennt der Katalog?
Der Katalog nennt 7 Gegenmaßnahmen, jede mit Maßnahmenart, Wirkung und Umsetzungsebene. Beispiele sind: Integritäts-Validierung des Knowledge Graphs, Provenienz-Tracking pro Knoten/Kante und Graph-Anomalie-Erkennung. Die Reihenfolge ist keine Priorisierung.
Welche Pflichten der KI-Verordnung können relevant sein?
Der Katalog ordnet diese Bedrohung Art. 9 der EU-KI-Verordnung zu. Daraus folgen im Pflichtenkompass: Risikomanagementsystem einrichten und betreiben. Ob eine Pflicht gilt, entscheiden Rolle, Risikoklasse und Frist.

Diese Bedrohung im eigenen System bewerten

Die Live-Demo enthält alle 52 Bedrohungen dieses Katalogs sowie die Einordnung nach der EU-KI-Verordnung und die Datenschutzprüfung. Die kostenlosen Einzelmodule decken KI-Risiko, EU-KI-VO und DSGVO ab. Ohne Registrierung; die Bewertung läuft lokal in Ihrem Browser.

Live-Demo starten Kostenlose Module ansehen

Diesen Eintrag zitieren

Für Berichte, Richtlinien oder interne Unterlagen; der Link führt direkt auf diesen Eintrag.

„Graph-RAG-Vergiftung (Knowledge-Graph-Injection)“. Versatile AI Risk Assessment, KI-Bedrohungskatalog, Stand Oktober 2026.
https://www.versatile-ai-risk-assessment.com/wissensbasis/bedrohungen/graph-rag-vergiftung/

← Zurück zum vollständigen Katalog