Technische Samenvatting: Vingerafdrukken van Inference-systemen van Grootte Taalmodellen

Probleemstelling

Het gedrag van Grootte Taalmodellen (LLMs) wordt niet uitsluitend bepaald door de modelgewichten. Het inference-systeem—bestaande uit de inference-engine, de attention-backend en het hardwareplatform—introduceert subtiele numerieke afwijkingen als gevolg van de niet-associatieve aard van drijvende-kommaberekeningen. Hoewel deze afwijkingen doorgaans worden behandeld als onschadelijke artefacten die reproduceerbaarheid belemmeren, stelt dit artikel dat ze kritieke informatie lekken over de onderliggende infrastructuur.

Specifiek kan een aanvaller die het prompt-respons-gedrag van een LLM kan observeren (zonder toegang tot interne staten of log-probabiliteiten), de specifieke componenten van de inference-stack afleiden. Deze lekkage heeft directe veiligheidsimplicaties: het kennen van de specifieke engine (bijv. vLLM, SGLang) stelt een aanvaller in staat om bekende kritieke kwetsbaarheden in die implementaties aan te vallen, terwijl het identificeren van het hardwareplatform (bijv. A100 versus H100) verificatie van serviceclaims mogelijk maakt of gerichte hardware-specifieke aanvallen toelaat.

Methodologie

De auteurs stellen een vingerafdruk-methode voor die het inference-systeem als een black box behandelt, waarbij uitsluitend de tekstuele invoer en uitvoer worden geanalyseerd. De aanpak bestaat uit twee hoofdfasen:

1. Bedreigingsmodel

Er wordt aangenomen dat de aanvaller het volgende bezit:

• Chat-toegang: De mogelijkheid om willekeurige prompts in te dienen en tekstuele antwoorden te observeren.
• Kennis van het model: De specifieke LLM en systeemprompt zijn bekend (herstelbaar via bestaande vingerafdrukken van modellen of prompt-extractie-aanvallen).
• Offline referentietoegang: De mogelijkheid om een set referentiesystemen te instantiëren en te bevragen die de kandidaat-componenten bestrijken om trainingsdata te verzamelen.
• Geen toegang tot logits: Interne kansverdelingen of verborgen staten zijn ontoegankelijk.

2. Constructie van Promptsets

Om numerieke afwijkingen op verschillende rekenstappen te isoleren, construeren de auteurs vier verschillende promptsets ($P_1$ tot $P_4$):

• $P_1$ (Zeldzame Token Prompts): Bevat zeldzame tokens (bijv. niet-standaard Unicode) die in tekst zijn ingebed. Deze testen autoregressieve decoding, waarbij kleine afwijkingen in de selectie van tokens met lage waarschijnlijkheid de uiteindelijke voorspelling kunnen verschuiven.
• $P_2$ (Binaire Beslissingsprompts): Ontworpen om een enkel "Ja" of "Nee" token op te roepen. Dit isoleert de prefill-fase, aangezien er geen autoregressieve generatie is die de initiële verwerkingsverschillen kan maskeren.
• $P_3$ (Prompts met Lange Context): Lange teksten waarbij het model een specifiek nummer moet extraheren. Deze triggeren gechunkte prefill, waardoor afwijkingen worden blootgelegd die ontstaan door het opsplitsen van lange contexten over meerdere passes.
• $P_4$ (Herhalingsprompts): Verzoeken om een zin meerdere keren te herhalen. Dit triggeren KV-cache prefix-hergebruik, en legt bloot hoe cache-staten worden beheerd en geladen.

3. Feature-extractie en Classificatie

• Embedding: Antwoorden worden omgezet in feature-vectoren met behulp van scorefuncties. Bijvoorbeeld, $P_1$ en $P_3$ gebruiken indicatorfuncties (1 als het verwachte token/nummer aanwezig is, 0 anders), terwijl $P_4$ het aantal herhalingen normaliseert.
• Classificatie: De resulterende feature-vectoren worden samengevoegd en ingevoerd in Random Forest-classificators die zijn getraind om drie doel-labels te identificeren: de Inference Engine, de Attention Backend en het Hardwareplatform (GPU).
• Omgaan met Stochasticiteit: Voor niet-nul temperatuur-instellingen aggregeert de methode voorspellingen uit meerdere steekproeven ($k$) per prompt met behulp van meerderheidsstemming om bemonsteringsruis te mitigeren.

Belangrijkste Resultaten

De auteurs evalueerden hun aanpak op 30 verschillende systeemconfiguraties die 4 inference-engines, 6 attention-backends en 3 hardware-apparaten (Nvidia A100, H100, L4) combineren, verspreid over drie modellen (Llama-3.2-3B, Qwen2.5-7B, Qwen3-4B).

Deterministische Decoding (Temperatuur = 0)

• Perfecte Nauwkeurigheid: De methode behaalde 100% nauwkeurigheid bij het identificeren van alle drie componenten (engine, backend, GPU) voor alle modellen.
• Prompt-efficiëntie: Perfecte identificatie was mogelijk met slechts 113 prompts in totaal, hoewel de optimale samenstelling van prompts per model verschilde. Inference-engines werden het snelst geïdentificeerd (betrouwbaar met 10 prompts), terwijl backends en GPUs meer data vereisten (100 prompts).

Stochastische Decoding (Temperatuur > 0)

• Robuustheid: De nauwkeurigheid nam af naarmate de temperatuur toenam als gevolg van bemonsteringsruis, maar bleef significant.
  • Inference Engine: Gemiddeld ~80% nauwkeurigheid over temperaturen ($T \in \{0.3, 0.6, 0.9\}$).
  • Attention Backend & GPU: De nauwkeurigheid varieerde van 46% tot 78%, afhankelijk van het model en de temperatuur.
• Aggregatie: De prestaties verzadigden na het aggregeren van 10–20 steekproeven per prompt, wat bevestigt dat meerderheidsstemming het signaal effectief herstelt.

Robuustheidsanalyse

De vingerafdruk bleef effectief onder realistische implementatievariaties:

• Systeemprompts: De nauwkeurigheid bleef hoog (~99,7%) zelfs bij het gebruik van applicatie-specifieke systeemprompts in plaats van standaardwaarden.
• Batchgrootte: Het signaal generaliseerde goed over verschillende batchgroottes (trainen op 32/64/128, testen op 256), met slechts marginale dalingen in nauwkeurigheid.
• Propriëtaire Componenten: Wanneer een component (bijv. een specifieke GPU) onbekend was tijdens het trainen, bleef de identificatie van de andere componenten (engine, backend) robuust, hoewel de identificatie van het onbekende component zelf terugviel tot een willekeurige kans.
• Temperatuur-mismatch: Als de trainings- en implementatietemperaturen aanzienlijk verschilden, daalde de nauwkeurigheid aanzienlijk, wat suggereert dat aanvallen hun trainings temperatuur moeten afstemmen op het doelwit.

Betekenis en Claims

Het artikel claimt de eerste methode te zijn om componenten van LLM-inference-systemen (engine, backend, hardware) te vingerafdrukken met uitsluitend prompt-responsparen zonder toegang tot logits.

De auteurs benadrukken dat:

1. Veiligheidsimplicaties: Deze lekkage is niet louter een curiositeit; het biedt aanvallers de precieze kennis die nodig is om bekende kwetsbaarheden in veelgebruikte inference-engines zoals vLLM en SGLang te exploiteren.
2. Fundamentele Moeilijkheid van Defensie: Het voorkomen van deze vingerafdruk is "fundamenteel moeilijk" omdat dit het elimineren van numerieke verschillen tussen diverse hardware- en software-stacks vereist. Het uniformeren van de stack is onrealistisch voor productie, en het toevoegen van ruis om het signaal te maskeren verslechtert de bruikbaarheid (bijv. het verbreken van deterministische decoding die vereist is voor codegeneratie).
3. Partiële Mitigaties: Het artikel suggereert dat rate limiting de meest praktische verdediging is, hoewel dit kan worden ontweken via Sybil-aanvallen. Het toevoegen van ruis is mogelijk, maar gaat ten koste van de bruikbaarheid van de applicatie.

Het werk concludeert dat machine learning-outputs onlosmakelijk verbonden zijn met hun uitvoeringsomgeving, en dat het negeren van dit verband leidt tot informatielekkage die de integriteit en veiligheid van systemen compromitteert.