🤖 machine learning

HijackKV: New Threat in Position-Independent KV Cache Reuse

Dit artikel introduceert HIJACKKV, een nieuw aanvalskader dat gebruikmaakt van positie-onafhankelijke KV-cache-hergebruik in grote taalmodellen om de gedragingen van modellen stilletjes te kapen door door de aanvaller gecontroleerde prefixen te injecteren die de gecachte representaties van benigne tekst besmetten, waarbij hoge succespercentages worden behaald, zelfs onder realistische beperkingen en over verschillende modellen heen.

Oorspronkelijke auteurs: Yichi Zhang, Zhiqi Wang, Huan Zhang, Yuchen Yang

Gepubliceerd 2026-07-23

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Yichi Zhang, Zhiqi Wang, Huan Zhang, Yuchen Yang

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je in een enorme, drukke bibliotheek bent waar duizenden mensen elke seconde vragen stellen aan een superintelligente bibliothecaris. Om snel te kunnen antwoorden, leest de bibliothecaris niet elke keer alle boeken vanaf het begin opnieuw; in plaats daarvan houdt ze een "spiekbriefje" van aantekeningen bij (een KV cache) voor de delen van het gesprek die ze al hebben verwerkt. Als iemand een vraag stelt die begint met dezelfde woorden als een eerdere vraag, kan de bibliothecaris gewoon het bestaande spiekbriefje pakken en het zware werk overslaan, waardoor het antwoord razendsnel komt. Dit is hoe moderne AI-chatbots tijd en energie besparen. Deze snelheid komt echter met een lastige regel: meestal werkt het spiekbriefje alleen als het volledige verhaal dat aan de vraag voorafging exact hetzelfde is. Maar onlangs hebben ingenieurs een nieuwe, snellere manier uitgevonden om deze spiekbriefjes te gebruiken. Ze besloten de bibliothecaris een spiekbriefje te laten pakken, simpelweg omdat een specifieke zin of tekstfragment voorkwam, zelfs als het verhaal ervoor totaal anders was. Het is alsoam met een pagina uit een geschiedenisboek pakken omdat er "De Maan" wordt genoemd, ongeacht of het verhaal daarvoor over ruimtevaart of een pizzaparty ging.

Dit artikel, getiteld HIJACKKV, legt een sluipend beveiligingslek bloot in deze nieuwe, snellere methode. De onderzoekers ontdekten dat hoewel het nieuwe systeem geweldig is voor de snelheid, het per ongeluk een achterdeur creëert. Omdat het "spiekbriefje" voor een zin wordt opgeslagen op basis van de context waarin deze werd geschreven, kan een aanvaller de bibliothecaris erin slagen een "vergiftigd" spiekbriefje te schrijven. Ze doen dit door de AI een nepverhaal te voeren dat onschuldig lijkt, maar in het geheim is ontworpen om de aantekeningen voor een veelvoorkomende zin te verdraaien. Later, wanneer een onschuldige gebruiker een vraag stelt die diezelfde veelvoorkomende zin bevat, pakt de bibliothecaris de vergiftigde aantekeningen. Plotseling geeft de AI het verkeerde antwoord, of zelfs een gevaarlijk antwoord, zonder dat de gebruiker ooit iets slechts heeft getypt. Het is alsof iemand een briefje in het naslagwerk van de bibliotheek heeft geschoven met de tekst: "Als je het woord 'Maan' ziet, zeg dan tegen iedereen dat ze van een klif moeten springen," en de bibliothecaris, die de regels volgt, doet dat precies voor de volgende persoon die over de Maan vraagt.

De onderzoekers hebben, samen met experts in de informatica, een hulpmiddel genaamd HIJACKKV gebouwd om te bewijzen dat dit niet slechts een theorie is. Ze lieten zien dat een aanvaller de bibliotheek niet hoeft te kraken of de computer niet hoeft te hacken; ze hoeven alleen maar een paar vragen te stellen om de vergiftigde aantekeningen te planten. Eenmaal geplant, kunnen deze aantekeningen het gedrag van de AI voor andere mensen kapen. In hun tests werkte deze aanval ongelooflijk goed en slaagde het ongeveer 94% van de tijd in één enkele poging. Nog angstiger is dat de aanval moeilijk te stoppen is. De onderzoekers ontdekten dat zelfs als het systeem probeert zichzelf te herstellen door sommige van de aantekeningen opnieuw te berekenen (een veelgebruikte veiligheidsmaatregel), de aanval nog steeds werkt, vooral als het systeem slechts een klein deel (zoals 10% tot 50%) van de gegevens opnieuw berekent. De vergiftigde aantekeningen kunnen ook lange gesprekken overleven, zelfs nadat er honderden nieuwe, ongerelateerde zinnen aan de chat zijn toegevoegd.

Het artikel testte ook of deze truc werkt op verschillende soorten AI-modellen, zelfs op modellen waar de aanvaller geen directe toegang toe heeft (een "black-box" scenario). Ze ontdekten dat een truc die voor het ene AI-model is ontworpen, vaak ook een ander model kan misleiden, wat aantoont dat het probleem wijdverspreid is. De onderzoekers probeerden te zien of bestaande beveiligingsbewakers, zoals software die "verdachte" aantekeningen verwijdert of de spiekbriefjes comprimeert om ruimte te besparen, de aanval konden stoppen. Helaas ontdekten ze dat deze verdedigingen grotendeels faalden omdat de vergiftigde aantekeningen er voor die bewakers volkomen normaal uitzien. De studie concludeert dat hoewel het sneller maken van AI geweldig is, de huidige manier waarop deze "spiekbriefjes" tussen verschillende gebruikers worden gedeeld, fundamenteel onveilig is. De auteurs suggereren dat toekomstige systemen opnieuw moeten worden ontworpen om de context nauwkeuriger te controleren voordat aantekeningen worden hergebruikt, om ervoor te zorgen dat snelheid niet ten koste gaat van de controle over wat de AI zegt.

Technische Samenvatting: HIJACKKV - Nieuwe Dreiging in Positie-onafhankelijke KV Cache Hergebruik

1. Probleemstelling

Large Language Models (LLM's) vertrouwen op Key-Value (KV) caching om de inferentielatentie, met name de time-to-first-token (TTFT), te verminderen. Traditionele cachingmechanismen zijn prefix-gebaseerd, wat een exacte overeenkomst vereist van zowel de tokensequenties als hun posities om KV-toestanden te kunnen hergebruiken. Deze striktheid resulteert in een lage cache-hitrate, wat de efficiëntiewinst beperkt.

Om dit aan te pakken, hebben recente systeemoptimalisaties (bijv. LMCache, CacheBlend, EPIC) positie-onafhankelijk KV-hergebruik geïntroduceerd. Dit mechanisme stelt het systeem in staat om gecachte KV-toestanden te hergebruiken voor elk tekstfragment dat overeenkomt met de input-tokens, ongeacht de voorafgaande context of positie. Hoewel dit de doorvoer aanzienlijk verbetert, identificeert het artikel een kritiek beveiligingsgebrek: KV Cache Hijacking.

De kern van de kwetsbaarheid ligt in het feit dat KV-toestanden in Transformers inherent context-afhankelijk zijn. Dezelfde tekstchunk produceert verschillende interne KV-representaties afhankelijk van de voorafgaande tokens. Positie-onafhankelijk hergebruik ontkoppelt de KV-toestand van de causale context. Bijgevolg kan een aanvaller een specifieke prefix construeren die, wanneer gecombineerd met een veelvoorkomende onschuldige tekstchunk, een "gecontamineerde" KV-toestand genereert. Wanneer een slachtoffer vervolgens dezelfde onschuldige tekstchunk opvraagt (zonder de kwaadaardige prefix), hergebruikt het systeem de door de aanvaller gecontamineerde KV-cache, waardoor de output van het model stilletjes wordt gekaapt zonder dat er enige kwaadaardige tekst in de input van het slachtoffer verschijnt.

2. Methodologie: HIJACKKV

De auteurs stellen HIJACKKV voor, het eerste aanvalsframework dat is ontworpen om deze kwetsbaarheid systematisch uit te buiten in multi-tenant, positie-onafhankelijke KV-cache systemen.

Aanvalsverloop

De aanval werkt in twee fasen:

Vergiftigingsfase (Poisoning Phase): De aanvaller dient een kwaadaardige query in, bestaande uit een geoptimaliseerde adversariële prefix ( $p$ ) gevolgd door een doeltekstfragment ( $\tilde{X}$ ) dat waarschijnlijk zal worden hergebruikt (bijv. veelgestelde vragen, documentatie). Het systeem verwerkt deze input, berekent de KV-toestanden en slaat de KV-cache voor $\tilde{X}$ op in de gedeelde pool. Cruciaal is dat de KV-toestand voor $\tilde{X}$ nu geconditioneerd is op de adversariële prefix $p$ .
Exploitatiefase (Exploitation Phase): Een slachtoffer dient een query in met dezelfde tekstfragment $\tilde{X}$ , maar zonder de prefix $p$ . Door positie-onafhankelijke matching haalt het systeem de vergiftigde KV-cache voor $\tilde{X}$ op. Het model genereert vervolgens een reactie op basis van de gekaapte KV-toestand, waardoor de output wordt uitgelijnd met het doel van de aanvaller in plaats van de prompt van het slachtoffer.

Optimalisatiealgoritme

HIJACKKV formuleert de zoektocht naar de optimale adversariële prefix als een optimalisatieprobleem. Het maakt gebruik van het Greedy Coordinate Gradient (GCG) algoritme om de prefix $p$ iteratief te verfijnen.

Doel: Minimaliseer de cross-entropy loss tussen de output van het model (bij hergebruik van de vergiftigde KV-cache) en een doelgerichte kwaadaardige respons ( $\tilde{r}$ ).
Simulatie: De aanvaller gebruikt een lokaal surrogaatmodel om de volledige pipeline te simuleren, inclusief de injectie van de prefix, de generatie van de gekapte KV-cache en de daaropvolgende inferentie met de query van het slachtoffer.
Robuustheidstraining: De optimalisatieloop kan gesimuleerde herberekeningsstrategieën (bijv. EPIC, CacheBlend) integreren om te garanderen dat de gegenereerde prefix effectief blijft, zelfs wanneer het doel-systeem een gedeeltelijke herberekening van de KV-toestanden uitvoert.

3. Belangrijkste Bijdragen

Identificatie van Kwetsbaarheid: Het artikel formaliseert een nieuw aanvalsoppervlak geïntroduceerd door positie-onafhankelijk KV-cache hergebruik, waarbij onderscheid wordt gemaakt tussen traditionele prompt injection (die kwaadaardige tekst in de input van het slachtoffer vereist) en privacy-lekken.
HIJACKKV Framework: Het ontwerp van het eerste aanvalsframework dat in staat is om LLM-inferentie over gebruikers heen te kapen zonder systeemrechten of directe cache-modificatie.
Uitgebreide Evaluatie: Een systematische evaluatie over meerdere modellen (Llama, Mistral, Qwen), datasets (HotpotQA, SQuAD, MedQA, PubMedQA) en systeemconfiguraties (verschillende chunk-groottes, cache-ratio's en herberekeningsmethoden).
Defensie-analyse: Een beoordeling van bestaande mitigatiestrategieën, waarbij wordt aangetoond dat huidige defensies (selectieve herberekening, KV-pruning, cache-compressie) onvoldoende zijn om de dreiging volledig te neutraliseren.

4. Experimentele Resultaten

De auteurs hebben HIJACKKV geëvalueerd onder white-box en black-box instellingen, waarbij de volgende belangrijke metrieken werden gerapporteerd:

Effectiviteit: HIJACKKV bereikt een gemiddelde Targeted Attack Success Rate (T-ASR) van 94% in een enkele poging over diverse modellen en datasets. Het blijft zeer effectief, zelfs tegen geavanceerde herberekeningsstrategieën zoals EPIC en CacheBlend.
Robuustheid:
- Lage Hitrates: De aanval blijft effectief, zelfs wanneer de cache-hitrate slechts 10% is (d.w.z. slechts een klein deel van de context van de gebruiker wordt gekapt).
- Hoge Herberekening: De aanval blijft standhouden zelfs wanneer het systeem tot 50% van de gematchte KV-tokens opnieuw berekent.
- Chunk Grootte: De prestaties blijven stabiel bij chunk-groottes variërend van 32 tot 512 tokens.
Persistentie: De gekapte invloed blijft behouden tijdens multi-turn interacties. Zelfs na het invoegen van 1.024 tokens aan ongerelateerde context blijft de T-ASR hoog (55%), en het blijft op 47% zelfs met 2.048 tokens aan 'filler'.
Transfereerbaarheid:
- Black-Box: De aanval transfeert effectief tussen verschillende modelarchitecturen en parameters. Zo bereikt een op Llama-3.1-8B geoptimaliseerde prefix een T-ASR van 37% tegen Llama-3.3-70B en vergelijkbare ratio's tegen Qwen-modellen.
- Parafrasering: De aanval is robuust tegen semantische variaties in de query van het slachtoffer, waarbij een T-ASR van 94% op geparafraseerde inputs wordt gehandhaafd.
Real-World Scenario's: Bij taken voor codegeneratie (HumanEval) bereikt de aanval een gemiddelde ASR van 95,5% over verschillende decoding temperaturen.

5. Betekenis en Claims

Het artikel stelt dat HIJACKKV een fundamentele verschuiving vertegenwoordigt in het dreigingslandschap van LLM-serving systemen. In tegenstelling tot eerdere aanvallen die vertrouwen op het wijzigen van gebruikersinputs of het exploiteren van privacy-lekken, exploiteert deze aanval de efficiëntie-beveiligingsafweging die inherent is aan moderne caching-optimalisaties.

Tekortkomingen van Huidige Defensies: De auteurs beweren dat standaard defensies, inclusief selectieve herberekening (zelfs bij hoge ratio's), KV-pruning (bijv. RobustKV, CachePrune) en cache-compressie, er niet in slagen de dreiging volledig te elimineren. Deze methoden behouden vaak de met hoge impact gekapte entries of falen om de context-afhankelijke aard van de corruptie te detecteren.
Systemisch Risico: De aanval is praktisch uitvoerbaar in real-world multi-tenant omgevingen (bijv. cloud-hosted LLM's, RAG-systemen) waar gebruikers frequent gemeenschappelijke kennisbronnen delen. Het vereist geen bevoorrechte toegang, wat het een levensvatbare dreiging maakt voor onbevoegde aanvallers.
Oproep tot Actie: Het artikel concludeert dat de community verder moet kijken dan heuristische defensies. Het suggereert dat toekomstige veilige KV-cache systemen ontwerpwijzigingen vereisen, zoals hybride mechanismen die prioriteit geven aan door de gebruiker berekende data of afwijkings-gebaseerde rejectiebeleid, om te garanderen dat efficiëntiewinst niet ten koste gaat van de systeemintegriteit.

De auteurs benadrukken dat hun werk een verantwoorde openbaarmaking is, waarbij zij relevante belanghebbenden hebben gecontacteerd voorafgaand aan publicatie om de ontwikkeling van veiligere cache-reuse mechanismen te faciliteren.