Resumo Técnico: HIJACKKV - Nova Ameaça na Reutilização de Cache KV Independente de Posição

1. Declaração do Problema

Os Grandes Modelos de Linguagem (LLMs) dependem do cache de Chave-Valor (KV) para reduzir a latência de inferência, particularmente o tempo de primeiro token (TTante TTFT). Os mecanismos de cache tradicionais são baseados em prefixos, exigindo correspondências exatas tanto das sequências de tokens quanto de suas posições para reutilizar os estados em cache. Essa rigidez resulta em baixas taxas de acerto de cache, limitando os ganhos de eficiência.

Para resolver isso, otimizações recentes de sistema (ex: LMCache, CacheBlend, EPIC) introduziram a reutilização de KV independente de posição. Esse mecanismo permite que o sistema reutilize estados de KV em cache para qualquer fragmento de texto que corresponda aos tokens de entrada, independentemente do contexto precedente ou da posição. Embora isso melhore significamente o throughput, o artigo identifica uma falha de segurança crítica: o Sequestro de Cache KV (KV Cache Hijacking).

A vulnerabilidade central surge porque os estados KV em Transformers são inerentemente dependentes de contexto. O mesmo fragmento de texto produz diferentes representações internas de KV dependendo dos tokens precedentes. A reutilização independente de posição desacopla o estado KV de seu contexto causal. Consequentemente, um atacante pode projetar um prefixo específico que, quando combinado com um fragmento de texto benigno comum, gera um estado KV "contaminado". Quando um usuário vítima consulta posteriormente o mesmo fragmento de texto benigno (sem o prefixo malicioso), o sistema reutiliza o estado KV contaminado pelo atacante, sequestrando silenciosamente a saída do modelo sem que qualquer texto adversário apareça na entrada da vítima.

2. Metodologia: HIJACKKV

Os autores propõem o HIJACKKV, o primeiro framework de ataque projetado para explorar sistematicamente essa vulnerabilidade em sistemas de cache KV multi-inquilinos e independentes de posição.

Fluxo de Trabalho do Ataque

O ataque opera em duas fases:

1. Fase de Envenenamento (Poisoning Phase): O atacante envia uma consulta maliciosa consistindo em um prefixo adversário otimizado ($p$) seguido por um fragmento de texto alvo ($\tilde{X}$) que provavelmente será reutilizado (ex: FAQs comuns, documentação). O sistema processa esta entrada, computa os estados KV e armazena o cache KV para $\tilde{X}$ no pool compartilhado. Crucialmente, o estado KV para $\tilde{X}$ está agora condicionado ao prefixo adversário $p$.
2. Fase de Exploração (Exploitation Phase): Uma vítima envia uma consulta contendo o mesmo fragmento de texto $\tilde{X}$, mas sem o prefixo $p$. Devido à correspondência independente de posição, o sistema recupera o cache KV envenenado para $\tilde{X}$. O modelo então gera uma resposta baseada no estado KV sequestrado, produzindo uma saída alinhada com o objetivo do atacante em vez do prompt da vítima.

Algoritmo de Otimização

O HIJACKKV formula a busca pelo prefixo adversário ideal como um problema de otimização. Ele utiliza o algoritmo Greedy Coordinate Gradient (GCG) para refinar iterativamente o prefixo $p$.

• Objetivo: Minimizar a perda de entropia cruzada entre a saída do modelo (ao reutilizar o cache KV envenenado) e uma resposta maliciosa alvo ($\tilde{r}$).
• Simulação: O atacante usa um modelo substituto (surrogate) local para simular todo o pipeline, incluindo a injeção do prefixo, a geração do cache KV sequestrado e a subsequente inferência com a consulta da vítima.
• Treinamento de Robustez: O loop de otimização pode incorporar estratégias de recomputação simuladas (ex: EPIC, CacheBlend) para garantir que o prefixo gerado permaneça eficaz mesmo quando o sistema alvo realiza a recomputação parcial dos estados KV.

3. Principais Contribuições

1. Identificação de Vulnerabilidade: O artigo formaliza uma nova superfície de ataque introduzida pela reutilização de cache KV independente de posição, distinguindo-a da injeção de prompt tradicional (que requer texto malicioso na entrada da vítima) e de ataques de vazamento de privacidade.
2. Framework HIJACKKV: O design do primeiro framework de ataque capaz de sequestrar a inferência de LLM entre usuários sem privilégios de sistema ou modificação direta do cache.
3. Avaliação Abrangente: Uma avaliação sistemática através de múltiplos modelos (Llama, Mistral, Qwen), datasets (HotpotQA, SQuAD, MedQA, PubMedQA) e configurações de sistema (vários tamanhos de chunk, razões de cache e métodos de recomputação).
4. Análise de Defesa: Uma avaliação das estratégias de mitigação existentes, demonstrando que as defesas atuais (recomputação seletiva, poda de KV, compressão de cache) são insuficientes para neutralizar totalmente a ameaça.

4. Resultados Experimentais

Os autores avaliaram o HIJACKKV sob configurações white-box e black-box, relatando as seguintes métricas principais:

• Eficácia: O HIJACKKV alcança uma Taxa de Sucesso de Ataque Direcionado (T-ASR) média de 94% em uma única tentativa através de vários modelos e datasets. Ele permanece altamente eficaz mesmo contra estratégias avançadas de recomputação como EPIC e CacheBlend.
• Robustez:
  • Baixas Taxas de Acerto (Hit Rates): O ataque permanece eficaz mesmo quando a taxa de acerto de cache é tão baixa quanto 10% (ou seja, apenas uma pequena fração do contexto do usuário é sequestrada).
  • Alta Recomputação: O ataque persiste mesmo quando o sistema recomputa até 50% dos tokens KV correspondentes.
  • Tamanho do Chunk: O desempenho permanece estável em tamanhos de chunk variando de 32 a 512 tokens.
• Persistência: A influência sequestrada persiste através de interações de múltiplos turnos. Mesmo após inserir 1.024 tokens de contexto não relacionado, a T-ASR permanece alta (55%), e permanece em 47% mesmo com 2.048 tokens de preenchimento (filler).
• Transferibilidade:
  • Black-Box: O ataque transfere-se efetivamente entre diferentes arquiteturas de modelos e tamanhos de parâmetros. Por exemplo, um prefixo otimizado no Llama-3.1-8B alcança uma T-ASR de 37% contra o Llama-3.3-70B e taxas semelhantes contra modelos Qwen.
  • Parafraseamento: O ataque é robusto a variações semânticas na consulta da vítima, mantendo uma T-ASR de 94% em entradas parafraseadas.
• Cenários do Mundo Real: Em tarefas de geração de código (HumanEval), o ataque alcança uma T-ASR média de 95,5% através de diferentes temperaturas de decodificação.

5. Significância e Alegações

O artigo afirma que o HIJACKKV representa uma mudança fundamental no cenário de ameaças dos sistemas de serviço de LLM. Diferente de ataques anteriores que dependem da modificação das entradas do usuário ou da exploração de vazamentos de privacidade, este ataque explora o trade-off entre eficiência e segurança inerente às otimizações modernas de cache.

• Insuficiência das Defesas Atuais: Os autores alegam que as defesas padrão, incluindo recomputação seletiva (mesmo em altas proporções), poda de KV (ex: RobustKV, CachePrune) e compressão de cache, falham em eliminar a ameaça. Esses métodos frequentemente preservam as entradas sequestradas de alto impacto ou falham em detectar a natureza dependente de contexto da corrupção.
• Risco Sistêmico: O ataque é prático em ambientes multi-inquilinos do mundo real (ex: LLMs hospedados na nuvem, sistemas RAG) onde os usuários frequentemente compartilham bases de conhecimento comuns. Ele não requer acesso privilegiado, tornando-o uma ameaça viável para atacantes sem privilégios.
• Chamada à Ação: O artigo conclui que a comunidade deve ir além das defesas baseadas em heurísticas. Sugere que futuros sistemas de cache seguro exigem mudanças de design, como mecanismos híbridos que priorizem dados computados pelo usuário ou políticas de rejeição baseadas em desvio, para garantir que os ganhos de eficiência não ocorram às custas da integridade do sistema.

Os autores enfatizam que seu trabalho é uma divulgação responsável, tendo contatado as partes interessadas relevantes antes da publicação para facilitar o desenvolvimento de mecanismos de reutilização de cache mais seguros.