Technische Samenvatting: SHIELD – Een Auto-Healend Agentisch Defensief Framework voor LLM Resource Exhaustion Attacks

1. Probleemstelling

Large Language Model (LLM) systemen zijn steeds kwetsbaarder voor sponge attacks, een klasse van adversariële inputs die ontworpen zijn om excessieve berekening en Denial-of-Service (DoS) condities te induceren. Deze aanvallen maken misbruik van de neiging van het model om pathologische tokensequenties te genereren of langdurige redeneringen (long-horizon reasoning) te voeren, wat leidt tot ernstige latentie-amplificatie en het monopoliseren van GPU-resources.

Bestaande defensiemechanismen lijden aan kritieke beperkingen:

• Statistische Filters (bijv. perplexiteit-gebaseerd): Effectief tegen niet-semantische, willekeurige tokensequenties, maar falen tegen semantisch betekenisvolle prompts waarbij kwaadwillende intentie is ingebed in vloeiende, contextueel plausibele taal.
• Statische LLM-gebaseerde Defensies: Hoewel expressiever, vertrouwen zij op vaste prompts die een gebrek aan robuustheid vertonen tegen snel evoluerende aanvalsstrategieën. Ze missen vaak voorbeeld-gestuurde semantische gronding en bieden beperkte herstelmechanismen wanneer het defensiemodel zelf faalt, wat leidt tot cascade-fouten.
• Operationele Overhead: Het aanroepen van een LLM voor elke input introduceert substantiële latentie, wat real-time bescherming moeilijk maakt in systemen met een hoge doorvoer.

Er is een duidelijke behoefte aan een adaptief, auto-healend framework dat evolueert met opkomende dreigingen zonder dat modelretraining of architecturale wijzigingen vereist zijn.

2. Methodologie: Het SHIELD Framework

SHIELD (Self-Healing Intelligent Evolving LLM Defense) is een training-vrij, multi-agent framework ontworpen om sponge attacks te detecteren en te mitigeren via een closed-loop, zelfcorrigerende architectuur. Het bestaat uit twee nauw gekoppelde pipelines: een Defense Pipeline en een Knowledge Updating Pipeline.

2.1 Multi-Agent Architectuur

Het systeem centreert zich rond drie gespecialiseerde agenten:

1. Defense Agent (DA): De primaire besluitvormende entiteit verantwoordelijk voor real-time, lage-latentie bescherming.
2. Knowledge Updater Agent (KUA): Wordt alleen geactiveerd wanneer de DA een aanval niet detecteert. Het voert post-hoc analyse uit om nieuwe aanvalspatronen te identificeren en de kennisdatabase van het systeem bij te werken.
3. Prompt Optimization Agent (POA): Geactiveerd wanneer nieuwe aanvalstypen worden geïdentificeerd. Het verfijnt iteratief de defensie-instructies voor de DA zonder de onderliggende modellen te hertrainen.

2.2 De Drie-Traps Defense Pipeline (DA)

De DA verwerkt inkomende queries via een cascade van drie stadia. Falen in een stadium resulteert in directe afwijzing:

• Stadium 1: Semantische Gelijkenis Filtering: Queries worden gevectoriseerd en vergeleken met een database van bekende sponge-prompts. Dit stadium detecteert geparafraseerde of semantisch behouden aanvallen.
• Stadium 2: Substring Matching: Een lichtgewicht KMP-gebaseerd algoritme detecteert bekende kwaadwillende payloads die ingebed zijn in langere, syntactisch onschuldige wrappers. Dit vangt aanvallen op die de gelijkenis-drempelwaarden omzeilen.
• Stadium 3: LLM-gebaseerde Redenering: Overgebleven queries worden geëvalueerd door een LLM-classifier, geleid door een geoptimaliseerde defensie-prompt en context die in Stadium 1 is opgehaald. Dit stadium handelt complexe, semantische redenering af om de intentie tot computeresurse-uitputting te identificeren.

2.3 Systeem-breed Auto-Healing (KUA)

Wanneer een kwaadwillige query de DA omzeilt en een excessieve tokengeneratie in het doelmodel triggert, wordt de KUA geactiveerd:

• Falanalyse: De KUA controleert zijn aanvalstype-cache. Als er geen match wordt gevonden, behandelt het de input als een nieuwe variant.
• Isolatie en Karakterisering: Met behulp van een gesandboxed kopie van het doelmodel voert de KUA iteratieve sub-span probing uit om de minimale component te isoleren die verantwoordelijk is voor het sponge-gedrag.
• Kennisexpansie: Voor nieuwe aanvallen genereert de KUA een gestructureerde beschrijving van het mechanisme, werkt de aanvalstype-cache bij en vergroot de kennisdatabase met de nieuwe kwaadwillende fragmenten.

2.4 Prompt Optimalisatie (POA)

Bij de identificatie van een nieuw aanvalstype initieert de POA een evolutionaire prompt-zoektocht:

• Candidate Generatie: De agent genereert diverse kandidaat-systeeminstructies op basis van de nieuwe aanvalsbeschrijving.
• Evolutionaire Selectie: Kandidaten worden geëvalueerd tegen de bijgewerkte aanvalsset. Hoog-presterende prompts worden geselecteerd via roulette-wheel sampling en gebruikt om de meta-prompt bij te werken.
• Iteratieve Verfijning: Dit proces herhaalt zich totdat aan een stopcriterium is voldaan, wat resulteert in een verfijnde defensie-instructie die de detectie-accuratesse verbetert zonder modelretraining.

3. Belangrijkste Bijdragen

Het paper claimt vier primaire bijdragen:

1. Eerste Auto-Healing Agentisch Systeem: De voorstel van het eerste defensiesysteem voor sponge attacks dat continue adaptatie en zelfcorrectie mogelijk maakt zonder de onderliggende LLM te herarchitectureren.
2. Drie-Traps Defense Pipeline: Een ontwerp dat prioriteit geeft aan vroegtijdige detectie (semantische gelijkenis en substring matching) om de latentie-overhead geassocieerd met per-query LLM-invoering aanzienlijk te verminderen.
3. Prompt Optimalisatie Workflow: Een mechanisme dat defensie-instructies continu verfijnt naarmate nieuwe gedragingen verschijnen, waardoor de schaalbaarheid en robuustheidslimieten van statische prompts worden overwonnen.
4. Robuuste Evaluatie: Uitgebreide experimenten die het vermogen van het systeem demonstreren om DoS-effecten te mitigeren en zowel bekende als onbekende sponge attacks in dynamische omgevingen te detecteren.

4. Experimentele Resultaten

Het framework werd geëvalueerd tegen vier aanvalstypes: RL-GOAL, GCG-DoS (niet-semantisch), EOGen (hybride) en AutoDoS (volledig semantisch).

• Prestaties vs. Baselines: SHIELD presteerde consequent beter dan perplexiteit-gebaseerde filters en standalone LLM-harm-filters.
  • Op AutoDoS (volledig semantisch) behaalde de perplexiteitsfilter een F1-score van 36,51%, terwijl SHIELD 100,00% behaalde.
  • Op GCG-DoS behaalde SHIELD 99,85%, vergeleken met 96,07% voor de perplexiteitsfilter.
  • Over het algemeen verbeterde SHIELD de F1-scores met 3–14% ten opzichte van de baselines over diverse aanvalsstrategieën.
• Robuustheid: De Defense Agent behield een bijna verzadigde prestatie over diverse doelmodellen (inclusief LLaMA2, Mistral, Gemma en GPT-varianten) en aanvalstypes.
• Latentie-efficiëntie: Vroegtijdige filtering (Stadium 1 en 2) verminderde de end-to-end latentie met een orde van grootte (10x) vergeleken met het uitsluitend vertrouwen op Stadium 3 (LLM-inferentie), wat ~1600ms latentie per query veroorzaakte.
• Impact van Self-Healing:
  • Prompt Optimalisatie: Geautomatiseerde optimalisatie verbeterde de F1-scores met ongeveer 30% voor EOGen-aanvallen vergeleken met handmatig vervaardigde prompts.
  • Kennisaccumulatie: Naarmate de Knowledge Updater de database verrijkte, migreerden detecties van de dure Stadium 3 naar de lichte Stadium 1 en 2, wat de latentie verder verlaagde en de accuratesse over tijd verhoogde.

5. Betekenis en Claims

Het paper positioneert SHIELD als een significante vooruitgang in veerkrachtige, continu verbeterende agentische beveiliging voor real-world LLM-implementaties.

• Adaptiviteit: In tegenstelling tot statische defensies leert SHIELD autonoom van detectiefouten en corrigeert het zichzelf, wat het effectief maakt tegen evoluerende dreigingen.
• Operationele Levensvatbaarheid: Door de defensielogica te scheiden van het doelmodel en gebruik te maken van een closed-loop healing mechanisme, minimaliseert het systeem de operationele overhead en voorkomt het de noodzaak voor frequente modelretraining.
• Schaalbaarheid: Het framework demonstreert dat het combineren van vroegtijdige filtering met incrementele kennisaccumulatie een robuuste beveiliging mogelijk maakt die efficiënt schaalt onder herhaalde of adaptieve aanvalsscenario's.

De auteurs erkennen beperkingen, waaronder de trade-offs in het selecteren van gelijkenis-drempelwaarden (het balanceren van false positives versus detectiebereik), de potentiële onbegrensde groei van de kennisdatabase, en de assumptie dat het doelmodel niet vergiftigd is (focus op prompt-niveau aanvallen). Zij stellen echter dat SHIELD een praktische, inzetbare oplossing biedt voor de directe dreiging van resource-exhaustion attacks in autonome LLM-systemen.