Graphiti

核心用法

Graphiti 是一个开源知识图谱管理工具，该 skill 提供对其 REST API 的封装能力，主要包含两大功能模块：

1. 知识检索（graphiti_search）
通过向量搜索从图谱中检索相关事实，支持自然语言查询。底层依赖 Qdrant 进行语义匹配，返回结构化的事实片段，适用于问答系统、上下文增强等场景。

2. 记忆添加（graphiti_add）
将新的文本内容作为"episode"写入图谱，系统自动执行实体抽取、关系构建和向量化存储，实现知识的动态增量更新。

动态服务发现机制
Skill 采用三级配置回退策略：优先读取 Clawdbot 配置 → 环境变量 $GRAPHITI_URL → 默认本地地址 http://localhost:8001，便于在多环境部署中灵活切换。

显著优点

• 开箱即用：Docker Compose 一键部署 Neo4j + Qdrant + Graphiti 完整栈
• 语义化检索：基于向量的模糊匹配，超越传统关键词搜索
• 自动图谱构建：无需手动定义 schema，系统自动抽取实体与关系
• 增量式记忆：支持持续写入新信息，图谱随使用自我完善
• 开源生态：Zep 团队维护，社区活跃，与 LangChain 等框架兼容

潜在缺点与局限性

• 基础设施依赖重：需同时维护 Neo4j（图存储）和 Qdrant（向量库）两个服务，资源消耗较大
• 冷启动问题：空图谱初期检索质量有限，需积累一定数据量
• 实体消歧挑战：自动抽取可能产生重复或歧义实体，需后期清洗
• 延迟敏感：写入操作涉及 NLP 推理和图更新，非实时响应
• 无内置权限控制：多用户场景需自行实现访问隔离

适合人群

• 构建具备长期记忆的 AI Agent 开发者
• 需要从非结构化文本构建知识库的知识管理场景
• RAG（检索增强生成）系统的技术架构师
• 希望替代传统向量数据库、探索图+向量混合检索的工程师

常规风险

• 数据持久化：Neo4j 和 Qdrant 需配置持久化卷，否则容器重启导致数据丢失
• 服务可用性：三服务强依赖，任一组件故障将导致 skill 不可用
• 隐私合规：图谱存储原始文本片段，敏感信息需脱敏处理
• 版本兼容性：Graphiti API 迭代较快，需关注 breaking changes

核心功能

Graphiti 是一款基于 REST API 的知识图谱操作工具，提供三大核心能力：事实搜索（graphiti_search）支持语义检索知识库中的实体关系；记忆录入（graphiti_add）可将对话片段或文档内容动态注入图谱；动态服务发现通过三级回退机制（clawdbot配置 → 环境变量 → 默认localhost）自动定位 Graphiti 后端服务。

显著优点

1. 架构清晰：采用 Neo4j 存储图结构 + Qdrant 向量检索的成熟技术栈，兼顾图遍历效率与语义相似度计算
2. 零第三方依赖：仅使用系统原生工具 curl/jq，彻底规避 npm/pip 供应链攻击风险
3. 本地化部署：所有网络通信限定于 localhost，数据不出境，天然满足数据主权要求
4. 配置灵活：支持多种方式注入服务地址，便于容器化或多实例场景

潜在局限

• 传输安全：本地服务使用 HTTP 明文，生产环境需额外配置 HTTPS 或 Unix Domain Socket
• 输入校验缺失：查询字符串和 episode 内容未做长度限制或特殊字符过滤，存在注入理论风险
• 错误处理简略：失败场景仅返回原始 curl 错误，缺乏结构化诊断信息
• 单点依赖：服务发现脚本若失效则整个 Skill 不可用，无降级方案

适合人群

• 需要本地私有化部署知识图谱的企业用户
• 已通过 Docker Compose 搭建 Neo4j+Qdrant+Graphiti 技术栈的开发团队
• 对供应链安全敏感、希望最小化第三方依赖的安全优先型组织

常规风险

• RISK-001：本地 HTTP 明文通信，需关注生产环境加固
• RISK-002：配置文件读取需确保 600 权限，防止 URL 等配置信息泄露
• 无 CVE 漏洞、无恶意代码、无外部 API 调用，整体风险可控

安全认证摘要

| 维度 | 得分 | 状态 |

|:---|:---|:---|

| 静态代码分析 | 85/100 | ✓ 通过 |

| 动态行为分析 | 80/100 | ✓ 通过 |

| 依赖审计 | 90/100 | ✓ 通过 |

| 网络分析 | 75/100 | ✓ 通过 |

| 隐私合规 | 85/100 | ✓ 通过 |

| 威胁情报 | 80/100 | ✓ 通过 |

综合评级：A 级（标准安全级别，符合企业使用要求）