🤖 machine learning

HijackKV: New Threat in Position-Independent KV Cache Reuse

Questo articolo introduce HIJACKKV, un nuovo framework di attacco che sfrutta il riutilizzo della cache KV indipendente dalla posizione nei modelli linguistici di grandi dimensioni per dirottare silenziosamente il comportamento del modello iniettando prefissi controllati dall'attaccante che contaminano le rappresentazioni memorizzate del testo benigno, ottenendo elevati tassi di successo anche in condizioni realistiche e attraverso diversi modelli.

Autori originali: Yichi Zhang, Zhiqi Wang, Huan Zhang, Yuchen Yang

Pubblicato 2026-07-23

📖 4 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Yichi Zhang, Zhiqi Wang, Huan Zhang, Yuchen Yang

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di trovarti in una biblioteca enorme e frenetica dove migliaia di persone pongono domande a un bibliotecario super intelligente ogni secondo. Per rispondere velocemente, il bibliotecario non rilegge ogni singolo libro da capo; invece, tiene un "foglio di trucchi" di appunti (chiamato KV cache) per le parti della conversazione che ha già elaborato. Se qualcuno pone una domanda che inizia con le stesse parole di una precedente, il bibliotecario può semplicemente prendere il foglio di trucchi esistente e saltare il lavoro difficile, rendendo la risposta incredibilmente veloce. È così che i moderni chatbot IA risparmiano tempo ed energia. Tuttavia, questa velocità comporta una regola complicata: di solito, il foglio di trucchi funziona solo se l'intera storia che precede la domanda è esattamente la stessa. Ma recentemente, gli ingegneri hanno inventato un nuovo modo più veloce per usare questi fogli di trucchi. Hanno deciso di permettere al bibliotecario di prendere un foglio di trucchi solo perché una specifica frase o pezzo di testo è apparso, anche se la storia precedente era totalmente diversa. È come prendere una pagina da un libro di storia solo perché menziona "La Luna", indipendentemente dal fatto che la storia precedente riguardasse il viaggio spaziale o una festa a tema pizza.

Questo articolo, intitolato HIJACKKV, svela una subdola falla di sicurezza in questo nuovo metodo più veloce. I ricercatori hanno scoperto che, mentre il nuovo sistema è ottimo per la velocità, crea accidentalmente una porta sul retro (backdoor). Poiché il "foglio di trucchi" per una frase viene salvato in base al contesto in cui è stata scritta, un attaccante può ingannare il bibliotecario portandolo a scrivere un foglio di trucchi "avvelenato". Lo fanno fornendo all'IA una storia falsa che sembra innocua ma che è segretamente progettata per torcere gli appunti per una frase comune. In seguito, quando un utente innocente pone una domanda contenente quella stessa frase comune, il bibliotecario prende gli appunti avvelenati. Improvvisamente, l'IA inizia a dare la risposta sbagliata, o persino una pericolosa, senza che l'utente abbia mai digitato nulla di male. È come se qualcuno avesse infilato un appunto nel libro di riferimento della biblioteca che dice: "Se vedi la parola 'Luna', dì a tutti di buttarsi da un precipizio", e il bibliotecario, seguendo le regole, fa esattamente questo per la prossima persona che chiede della Luna.

I ricercatori, lavorando con esperti di informatica, hanno costruito uno strumento chiamato HIJACKKV per dimostrare che questa non è solo una teoria. Hanno mostrato che un attaccante non ha bisogno di scassinare la biblioteca o hackerare il computer; deve solo porre alcune domande per piantare gli appunti avvelenati. Una volta piantati, questi appunti possono dirottare il comportamento dell'IA per altre persone. Nei loro test, questo attacco ha funzionato incredibilmente bene, avendo successo circa il 94% delle volte in un singolo tentativo. Ancora più spaventoso è che l'attacco è difficile da fermare. I ricercatori hanno scoperto che anche se il sistema prova a ripararsi da solo ricalcolando parte degli appunti (una comune misura di sicurezza), l'attacco funziona comunque, specialmente se il sistema ricalcola solo una piccola porzione (come il 10% - 50%) dei dati. Gli appunti avvelenati possono anche sopravvivere a lunghe conversazioni, durando anche dopo centinaia di nuove frasi non correlate aggiunte alla chat.

L'articolo ha anche testato se questo trucco funziona su diversi tipi di modelli di IA, anche quelli a cui l'attaccante non ha accesso diretto (uno scenario "black-box"). Hanno scoperto che un trucco progettato per un modello di IA può spesso ingannare anche un modello diverso, mostrando che il problema è diffuso. I ricercatori hanno cercato di vedere se le difese esistenti, come software che eliminano gli appunti "sospetti" o che comprimono i fogli di trucchi per risparmiare spazio, potessero fermare l'attacco. Sfortunatamente, hanno scoperto che queste difese falliscono quasi sempre perché gli appunti avvelenati sembrano perfettamente normali a quei guardiani. Lo studio conclude che, sebbene rendere l'IA più veloce sia fantastico, l'attuale modo di condividere questi "fogli di trucchi" tra diversi utenti è fondamentalmente insicuro. Gli autori suggeriscono che i sistemi futuri devono essere riprogettati per controllare il contesto più attentamente prima di riutilizzare gli appunti, assicurando che la velocità non avvenga a scapito del lasciare che estranei controllino ciò che l'IA dice.

Riepilogo Tecnico: HIJACKKV - Nuova Minaccia nel Riutilizzo della KV Cache Indipendente dalla Posizione

1. Definizione del Problema

I Large Language Models (LLM) si affidano alla memorizzazione (caching) delle chiavi-valore (KV) per ridurre la latenza di inferenza, in particolare il tempo al primo token (TTFT). I meccanismi di caching tradizionali sono basati su prefissi, richiedendo una corrispondenza esatta sia delle sequenze di token che delle loro posizioni per il riutilizzo degli stati in cache. Questa rigidità si traduce in bassi tassi di hit della cache, limitando i guadagni di efficienza.

Per affrontare questo problema, recenti ottimizzazioni di sistema (ad esempio, LMCache, CacheBlend, EPIC) hanno introdotto il riutilizzo della KV cache indipendente dalla posizione. Questo meccanismo consente al sistema di riutilizzare gli stati KV per qualsiasi frammento di testo che corrisponda ai token di input, indipendentemente dal contesto precedente o dalla posizione. Sebbene ciò migliori significativamente il throughput, il documento identifica una falla di sicurezza critica: il dirottamento della KV Cache (KV Cache Hijacking).

La vulnerabilità principale deriva dal fatto che gli stati KV nei Transformer sono intrinsecamente dipendenti dal contesto. Lo stesso frammento di testo produce rappresentazioni KV interne differenti a seconda dei token precedenti. Il riutilizzo indipendente dalla posizione scinde lo stato KV dal suo contesto causale. Di conseguenza, un attaccante può progettare un prefisso specifico che, combinato con un comune frammento di testo benigno, genera uno stato KV "contaminato". Quando un utente vittima interroga successivamente lo stesso frammento di testo benigno (senza il prefisso malevolo), il sistema riutilizza la KV cache contaminata dall'attaccante, dirottando silenziosamente l'output del modello senza che alcun testo avversario appaia nell'input della vittima.

2. Metodologia: HIJACKKV

Gli autori propongono HIJACKKV, il primo framework di attacco progettato per sfruttare sistematicamente questa vulnerabilità nei sistemi di KV cache multi-tenant e indipendenti dalla posizione.

Flusso di Lavoro dell'Attacco

L'attacco opera in due fasi:

Fase di Avvelenamento (Poisoning Phase): L'attaccante invia una query malevola composta da un prefisso avversario ottimizzato ( $p$ ) seguito da un frammento di testo target ( $\tilde{X}$ ) che è probabile che venga riutilizzato (ad esempio, FAQ comuni, documentazione). Il sistema elabora questo input, calcola gli stati KV e memorizza la KV cache per $\tilde{X}$ nel pool condiviso. Fondamentalmente, lo stato KV per $\tilde{X}$ è ora condizionato dal prefisso avversario $p$ .
Fase di Sfruttamento (Exploitation Phase): Una vittima invia una query contenente lo stesso frammento di testo $\tilde{X}$ ma senza il prefisso $p$ . A causa del matching indipendente dalla posizione, il sistema recupera la KV cache avvelenata per $\tilde{X}$ . Il modello genera quindi una risposta basata sulla KV cache dirottata, producendo un output allineato all'obiettivo dell'attaccante piuttosto che al prompt della vittima.

Algoritmo di Ottimizzazione

HIJACKKV formula la ricerca del prefisso avversario ottimale come un problema di ottimizzazione. Utilizza l'algoritmo Greedy Coordinate Gradient (GCG) per raffinare iterativamente il prefisso $p$ .

Obiettivo: Minimizzare la perdita di cross-entropy tra l'output del modello (quando viene riutilizzata la poisoned KV cache) e una risposta malevola target ( $\tilde{r}$ ).
Simulazione: L'attaccante utilizza un modello surrogato locale per simulare l'intero pipeline, inclusa l'iniezione del prefisso, la generazione della KV cache dirottata e la successiva inferenza con la query della vittima.
Addestramento alla Robustezza: Il ciclo di ottimizzazione può incorporare strategie di ricalcolo simulato (ad esempio, EPIC, CacheBlend) per garantire che il prefisso generato rimanga efficace anche quando il sistema bersaglio esegue un ricalcolo parziale degli stati KV.

3. Contributi Chiave

Identificazione della Vulnerabilità: Il documento formalizza una nuova superficie di attacco introdotta dal riutilizzo della KV cache indipendente dalla posizione, distinguendola dai tradizionali prompt injection (che richiedono testo malevolo nell'input della vittima) e dagli attacchi di fuga di informazioni (privacy leakage).
Framework HIJACKKV: La progettazione del primo framework di attacco capace di dirottare l'inferenza di un LLM tra diversi utenti senza privilegi di sistema o modifica diretta della cache.
Valutazione Esaustiva: Una valutazione sistematica su molteplici modelli (Llama, Mistral, Qwen), dataset (HotpotQA, SQuAD, MedQA, PubMedQA) e configurazioni di sistema (varie dimensioni dei chunk, rapporti di cache e metodi di ricalcolo).
Analisi delle Difese: Una valutazione delle strategie di mitigazione esistenti, dimostrando che le difese attuali (ricalcolo selettivo, pruning della KV, compressione della cache) sono insufficienti per neutralizzare completamente la minaccia.

4. Risultati Sperimentali

Gli autori hanno valutato HIJACKKV in scenari white-box e black-box, riportando le seguenti metriche chiave:

Efficacia: HIJACKKV raggiunge un Targeted Attack Success Rate (T-ASR) medio del 94% in un singolo tentativo attraverso vari modelli e dataset. Rimane altamente efficace anche contro strategie di ricalcolo avanzate come EPIC e CacheBlend.
Robustezza:
- Bassi Tassi di Hit: L'attacco rimane efficace anche quando il tasso di hit della cache è basso quanto il 10% (ovvero, solo una piccola frazione del contesto dell'utente viene dirottata).
- Alto Ricalcolo: L'attacco persiste anche quando il sistema ricalcola fino al 50% dei token KV corrispondenti.
- Dimensione del Chunk: Le prestazioni rimangono stabili attraverso dimensioni di chunk che vanno da 32 a 512 token.
Persistenza: L'influenza dirottata persiste attraverso interazioni multi-turno. Anche dopo l'inserimento di 1.024 token di contesto non correlato, il T-ASR rimane elevato (55%), e si mantiene al 47% anche con 2.048 token di riempimento (filler).
Trasferibilità:
- Black-Box: L'attacco si trasferisce efficacemente tra diverse architetture di modelli e dimensioni dei parametri. Ad esempio, un prefisso ottimizzato su Llama-3.1-8B ottiene un T-ASR del 37% contro Llama-3.3-70B e tassi simili contro i modelli Qwen.
- Parafrasi: L'attacco è robusto alle variazioni semantiche nella query della vittima, mantenendo un T-ASR del 94% sugli input parafrasati.
Scenari Real-World: Nei compiti di generazione di codice (HumanEval), l'attacco raggiunge un ASR medio del 95,5% attraverso diverse temperature di decoding.

5. Significato e Rivendicazioni

Il documento afferma che HIJACKKV rappresenta un cambiamento fondamentale nel panorama delle minacce per i sistemi di serving degli LLM. A differenza degli attacchi precedenti che si basano sulla modifica degli input dell'utente o sullo sfruttamento delle fughe di privacy, questo attacco sfrutta il trade-off tra efficienza e sicurezza intrinseco nelle moderne ottimizzazioni della cache.

Inadeguatezza delle Difese Attuali: Gli autori sostengono che le difese standard, inclusi il ricalcolo selettivo (anche con rapporti elevati), il pruning della KV (come RobustKV, CachePrune) e la compressione della cache, non riescono a eliminare la minaccia. Questi metodi spesso preservano le voci dirottate ad alta influenza o non riescono a rilevare la natura dipendente dal contesto della corruzione.
Rischio Sistemico: L'attacco è praticabile in ambienti multi-tenant reali (ad esempio, LLM ospitati in cloud, sistemi RAG) dove gli utenti condividono frequentemente basi di conoscenza comuni. Non richiede alcun accesso privilegiato, rendendolo una minaccia concreta per attaccanti non privilegiati.
Appello all'Azione: Il documento conclude che la comunità deve andare oltre le difese basate su euristiche. Suggerisce che i futuri sistemi di KV cache sicuri richiedono cambiamenti nel design, come meccanismi ibridi che diano priorità ai dati calcolati dall'utente o politiche di rifiuto basate sulla deviazione, per garantire che i guadagni di efficienza non vadano a discapito dell'integrità del sistema.

Gli autori sottolineano che il loro lavoro è una divulgazione responsabile, avendo contattato le parti interessate prima della pubblicazione per facilitare lo sviluppo di meccanismi di riutilizzo della cache più sicuri.