LaCache: Robust Semantic Caching for LLM Serving

Resumen Técnico: LACACHE – Caché Semántico Robusto para el Servicio de LLM

1. Planteamiento del Problema

El caché semántico se ha convertido en un mecanismo estándar para reducir la latencia y los costes de inferencia en el servicio de Modelos de Lenguaje de Gran Escala (LLM) mediante la reutilización de respuestas para consultas semánticamente similares. Sin embargo, esta eficiencia introduce una vulnerabilidad crítica: los ataques de colisión de caché. En este vector de ataque, un adversario inyecta consultas diseñadas ($x^*$) para colisionar con consultas legítimas de víctimas ($x$) en el caché semántico (es decir, $h(x) = h(x^*)$). Una vez que el caché es envenenado con la respuesta elegida por el adversario ($y^*$), las solicitudes legítimas posteriores para $x$ recuperan la $y^*$ maliciosa en lugar de la respuesta correcta.

Las defensas existentes son fundamentalmente reactivas y centradas en la consulta. Intentan filtrar las entradas adversarias utilizando señales como la perplejidad, la consistencia entre consulta y respuesta, o la clasificación basada en LLM. Estos enfoques son inherentemente limitados porque el adversario tiene control total sobre la consulta adversaria $x^*$ y puede optimizarla (por ejemplo, mediante métodos guiados por gradientes como GCG) para evadir la detección manteniendo una baja perplejidad y fluidez.

2. Metodología: LACACHE

El artículo propone LACACHE (LookAhead Cache), un rediseño basado en principios del caché semántico que desplaza la verificación de integridad de la consulta hacia la respuesta. La idea central es una asimetría en el control: mientras que el adversario controla la consulta de entrada, tiene un control significativamente menor sobre la respuesta generada por el LLM, la cual debe satisfacer restricciones contrapuestas de coherencia semántica y plausibilidad autorregresiva.

Mecanismo Central:
En lugar de indexar únicamente sobre el embedding de la consulta, LACACHE aumenta la entrada del caché con una clave de anticipación (lookahead key) derivada de los primeros $k$ tokens de la respuesta. Una respuesta en caché se sirve solo si se cumplen dos condiciones:

1. Verificación de Clave de Caché: La consulta entrante $x$ colisiona con una consulta en caché $x'$ ($h(x) = h(x')$).
2. Verificación de Anticipación: Los primeros $k$ tokens de la respuesta para la consulta entrante ($f_k(x)$) coinciden con el prefijo de la respuesta en caché ($f_k(x')$) dentro de un umbral semántico ($h(f_k(x)) = h(f_k(x'))$).

Implementación y Optimización:

• LLM de Borrador (Draft LLM): Para evitar el coste computacional de generar el prefijo de $k$ tokens utilizando el LLM principal (costoso), LACACHE emplea un LLM de borrador ligero ($g$) para generar el prefijo.
• Decodificación Especulativa: Si la verificación de la clave de caché pasa pero la verificación de anticipación falla, el sistema recurre a la decodificación completa. Para minimizar la sobrecarga, utiliza la decodificación especulativa para verificar los tokens de borrador contra el LLM principal, aceptando los tokens donde la probabilidad del modelo principal es lo suficientemente alta.
• Defensa de Conjunto (Ensemble Defense): El análisis teórico sugiere que la probabilidad de detección puede amplificarse a $1 - p_2^m$ mediante el uso de un conjunto de $m$ funciones de indexación independientes para la verificación de anticipación.

Garantía Teórica:
Los autores demuestran que, bajo dos supuestos validados empíricamente —Separabilidad Semántica (las respuestas adversarias divergen significativamente de las genuinas) y Coherencia de Prefijo (el prefijo de la respuesta refleja la divergencia de la respuesta completa)—, LACACHE detecta cualquier ataque de colisión de caché que produzca una respuesta semánticamente distinta con una probabilidad de al menos $1 - p_2$. Esta garantía se mantiene para cualquier ataque de optimización de consultas, incluyendo escenarios de caja blanca.

3. Contribuciones Clave

• Cambio en la Verificación de Integridad: El artículo introduce la primera defensa que desplaza la verificación de seguridad de la consulta adversaria (totalmente controlable por el atacante) al prefijo de la respuesta del LLM (que está constreñido por la lógica de generación del modelo).
• Seguridad Probable: Proporciona una prueba formal de que LACACHE detecta ataques con alta probabilidad, siempre que la respuesta adversaria sea semánticamente distinta de la genuina.
• Preservación de la Eficiencia: El método se integra sin problemas con los flujos de servicio existentes utilizando modelos de borrador y decodificación especulativa, añadiendo una latencia insignificante.

4. Resultados Experimentales

Los autores evaluaron LACACHE a través de diversos LLMs (Qwen3, Gemma3) y modelos de embedding (BGE, MiniLM) contra dos ataques de vanguardia: Ataque de Colisión de Clave (KCA) y Envenenamiento de Caché Semántico (SCP).

• Eficacia de Seguridad: LACACHE redujo la Tasa de Acierto de Ataque (AHR) a casi cero (0.00–0.04) en todas las configuraciones, neutralizando eficazmente tanto KCA como SCP-P (inyección de prompt con prefijo optimizado). En contraste, las defensas de base (filtrado de perplejidad, consistencia consulta-respuesta, LLM-como-Juez) no lograron suprimir todas las variantes de ataque simultáneamente, dejando a menudo AHRs por encima del 40–90%.
• Preservación de la Utilidad: LACACHE preservó más del 90% de la Tasa de Acierto Benigno (BHR), demostrando que la verificación de anticipación no degrada significativamente la utilidad del caché para consultas parafraseadas legítimas.
• Ataques Adaptativos: Incluso cuando se otorgó a los adversarios acceso total de caja blanca al modelo de embedding, al LLM y a los parámetros de defensa de LACACHE (optimizando tanto la colisión de caché como la similitud de anticipación), la tasa de éxito del ataque se mantuvo insignificante (por ejemplo, 0% para KCA, 2% para SCP-P). Los autores atribuyen esto al conflicto inherente entre maximizar la similitud de anticipación y preservar la intención semántica de la respuesta maliciosa.
• Sobrecarga (Overhead): Con las optimizaciones (LLM de borrador y decodificación especulativa), la latencia por consulta se redujo en 1.6× (de ~108.5 ms sin optimización a ~68.6 ms con optimización), manteniendo las garantías de defensa.

5. Significado y Reivindicaciones

El artículo afirma ser el primer trabajo en explotar las restricciones inherentes a las respuestas adversarias en los ataques de colisión de caché para proporcionar seguridad demostrable. Al aprovechar la tensión estructural entre la necesidad del adversario de manipular la consulta y el requisito del LLM de generar una respuesta coherente, LACACHE ofrece una defensa robusta que no es frágil ante la optimización del lado de la consulta.

Los autores posicionan este trabajo como una dirección prometedora para construir cachés semánticos robustos, señalando que, si bien la garantía actual se aplica a ataques que producen respuestas semánticamente distintas (excluyendo ataques de desinformación sutil que preservan la proximidad semántica), el enfoque estructural proporciona una base para futuras defensas unificadas de integridad y privacidad.