El RAG tradicional suele recuperar fragmentos semánticamente cercanos a una consulta. Es útil cuando la respuesta está en uno o dos documentos. La inteligencia de amenazas plantea a menudo otra pregunta: cómo se relacionan un actor, una técnica, un activo, un indicador y un incidente a través de muchas fuentes.
GraphRAG aborda este escenario extrayendo entidades y relaciones, organizándolas en comunidades y utilizando esas estructuras durante la recuperación y la síntesis.
1. De fragmentos a grafo de conocimiento
Sea un grafo en el que los nodos representan entidades y las aristas relaciones tipadas. Una consulta puede recuperar un vecindario, un resumen de comunidad o un camino:
El objeto importante no es el grafo aislado. Es el camino que permite volver desde la respuesta a los fragmentos que justifican cada relación.
2. Preguntas locales y globales
Una consulta local puede preguntar qué activos están asociados con un indicador. Una consulta global puede preguntar cómo se organiza una campaña en muchos informes. La recuperación vectorial puede tener dificultades con la segunda porque ningún fragmento contiene el patrón completo.
Los resúmenes de comunidades ayudan a comprimir estructura repetida, pero introducen otro fallo: pueden eliminar incertidumbre o fusionar entidades que solo parecen similares.
3. Higiene del grafo para seguridad
La capa de extracción debe conservar:
- fuente y fecha de publicación,
- alias de entidades y decisiones de normalización,
- tipo y confianza de la relación,
- si la relación es observada, reportada o inferida,
- restricciones de acceso y requisitos de borrado.
Una arista inferida nunca debe presentarse como un hecho observado. El grafo debe versionarse para poder auditar un cambio en la regla de extracción.
4. Cómo evaluar GraphRAG
Evalúa el grafo y la respuesta por separado. Mide resolución de entidades, precisión de relaciones, validez de caminos, cobertura de comunidades y grounding de la respuesta final. Incluye casos adversarios con alias engañosos, informes duplicados y cronologías contradictorias.
Un artefacto útil es el grafo de afirmaciones: cada afirmación de la respuesta apunta al camino recuperado y a los documentos de origen. Así el analista puede cuestionar el razonamiento en lugar de confiar en un párrafo pulido.
GraphRAG es más valioso cuando la pregunta es relacional o global. No es automáticamente mejor que un buen recuperador de fragmentos para todas las consultas.
Esta nota es una síntesis original de recuperación basada en grafos para inteligencia de amenazas. No reproduce texto de ninguna fuente.
