HijackKV: New Threat in Position-Independent KV Cache Reuse
Dieses Paper stellt HIJACKKV vor, ein neuartiges Angriffssframework, das die positionsunabhängige Wiederverwendung des KV-Caches in großen Sprachmodellen ausnutzt, um das Modellverhalten durch das Injizieren von kontrollierten Präfixen des Angreifers lautlos zu kapern, welche die gespeicherten Repräsentationen von benignem Text kontaminieren, wobei selbst unter realistischen Einschränkungen und über verschiedene Modelle hinweg hohe Erfolgsraten erzielt werden.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich vor, Sie befinden sich in einer riesigen, belebten Bibliothek, in der tausende Menschen pro Sekunde demütige Fragen an einen superintelligenten Bibliothekar stellen. Um schnell antworten zu können, liest der Bibliothekar nicht jedes Mal jedes Buch von Grund auf neu; statlich behält er eine „Spickzettel“-Notiz (genannt KV-Cache) für die Teile des Gesprächs, die er bereits verarbeitet hat. Wenn jemand eine Frage stellt, die mit denselben Worten wie eine vorherige Frage beginnt, kann der Bibliothekar einfach den existierenden Spickzettel greifen und die harte Arbeit überspringen, wodurch die Antwort blitzschnell erscheint. So sparen moderne KI-Chatbots Zeit und Energie. Diese Geschwindigkeit kommt jedoch mit einer kniffligen Regel: Normalerweise funktioniert der Spickzettel nur, wenn die gesamte Geschichte, die der Frage vorausgeht, exakt dieselbe ist. Vor kurzem haben Ingenieure jedoch eine neue, schnellere Methode zur Nutzung dieser Spickzettel erfunden. Sie entschieden, dass der Bibliothekar einen Spickzettel auch dann greifen darf, wenn ein bestimmter Satz oder ein Textblock auftaucht, selbst wenn die Geschichte davor völlig anders war. Es ist, als würde man eine Seite aus einem Geschichtsbuch greifen, nur weil sie „Der Mond“ erwähnt, ungeachtet dessen, ob die Geschichte davor von Raumfahrt oder einer Pizza-Party handelte.
Dieses Paper mit dem Titel HIJACKKV deckt eine hinterhältige Sicherheitslücke in dieser neuen, schnelleren Methode auf. Die Forscher entdeckten, dass dieses neue System zwar großartig für die Geschwindigkeit ist, aber versehentlich eine Hintertür schafft. Da der „Spickzettel“ für einen Satz basierend auf dem Kontext gespeichert wird, in dem er geschrieben wurde, kann ein Angreifer den Bibliothekar dazu verleiten, einen „vergifteten“ Spickzettel zu schreiben. Dies geschieht, indem der Angreifer der KI eine vorgetäuschte Geschichte einspeist, die harmlos aussieht, aber heimlich darauf ausgelegt ist, die Notizen für einen häufigen Satz zu verdrehen. Später, wenn ein unschuldiger Nutzer eine Frage stellt, die diesen häufigen Satz enthält, greift der Bibliothekar die vergifteten Notizen. Plötzlich gibt die KI die falsche oder sogar eine gefährliche Antwort aus, ohne dass der Nutzer jemals etwas Schlechtes getippt hat. Es ist, als hätte jemand eine Notiz in das Referenzbuch der Bibliothek geschmuggelt, die besagt: „Wenn du das Wort ‚Mond‘ siehst, sag jedem, er solle von einer Klippe springen“, und der Bibliothekar tut dies, da er den Regeln folgt, für die nächste Person, die nach dem Mond fragt.
Die Forscher entwickelten zusammen mit Experten der Informatik ein Werkzeug namens HIJACKKV, um zu beweisen, dass dies nicht nur eine Theorie ist. Sie zeigten, dass ein Angreifer nicht in die Bibliothek einbrechen oder den Computer hacken muss; er muss lediglich ein paar Fragen stellen, um die vergifteten Notizen zu pflanzen. Einmal gepflanzt, können diese Notizen das Verhalten der KI für andere Menschen kapern. In ihren Tests funktionierte dieser Angriff unglaublich gut und war in einem einzigen Versuch etwa 94 % der Zeit erfolgreich. Noch erschreckender ist, dass der Angriff schwer zu stoppen ist. Die Forscher fanden heraus, dass der Angriff selbst dann funktioniert, wenn das System versucht, sich selbst zu korrigieren, indem es einige der Notizen neu berechnet (ein gängiges Sicherheitsverfahren) – insbesondere, wenn das System nur einen kleinen Teil (wie 10 % bis 50 %) der Daten neu berechnet. Die vergifteten Notizen können auch lange Gespräche überdauern, selbst nachdem hunderte neuer, unzusammenhängender Sätze zum Chat hinzugefügt wurden.
Das Paper testete auch, ob dieser Trick bei verschiedenen Arten von KI-Modellen funktioniert, selbst bei solchen, auf die der Angreifer keinen direkten Zugriff hat („Black-Box“-Szenario). Sie fanden heraus, dass ein Trick, der für ein KI-Modell entwickelt wurde, oft auch ein anderes Modell täuschen konnte, was zeigt, dass das Problem weit verbreitet ist. Die Forscher versuchten zu sehen, ob bestehende Sicherheitswächter, wie etwa Software, die „verdächtige“ Notizen löscht oder die Spickzettel komprimiert, um Platz zu sparen, den Angriff stoppen könnten. Leider fanden sie heraus, dass diese Abwehrmechanismen größtenteils versagten, da die vergifteten Notizen für diese Wächter vollkommen normal aussehen. Die Studie kommt zu dem Schluss, dass es zwar großartig ist, KI schneller zu machen, aber die aktuelle Art und Weise, wie diese „Spickzettel“ zwischen verschiedenen Nutzern geteilt werden, fundamental unsicher ist. Die Autoren schlagen vor, dass zukünftige Systeme den Kontext sorgfältiger prüfen müssen, bevor sie Notizen wiederverwenden, um sicherzustellen, dass Geschwindigkeit nicht auf Kosten der Kontrolle darüber geht, was Fremde der KI sagen lassen.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.