🤖 AI

BitHydra: Towards Bit-flip Inference Cost Attack against Large Language Models

本文提出了 BitHydra 框架，通过将最大化 LLM 推理成本的攻击转化为约束二进制整数规划问题并利用 ADMM 算法求解，仅需翻转 1 至 4 个权重比特即可在多种模型上诱导无限生成长度，从而揭示了一种针对大语言模型参数的新型持久性攻击面。

原作者： Xiaobei Yan, Yiming Li, Hao Wang, Han Qiu, Tianwei Zhang

发布于 2026-02-24

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Xiaobei Yan, Yiming Li, Hao Wang, Han Qiu, Tianwei Zhang

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文介绍了一种名为 BitHydra 的新型攻击手段，它专门针对现在非常流行的大语言模型（LLM，比如 ChatGPT、Llama 等）。

为了让你轻松理解，我们可以把大语言模型想象成一家**“超级智能餐厅”，而这篇论文揭示的，就是如何用一个极小的“物理破坏”，让这家餐厅永远无法上菜，从而把老板的电费（算力成本）烧光**。

以下是用通俗语言和比喻对这篇论文的解读：

1. 核心问题：餐厅的“账单陷阱”

现在的 AI 模型通常按“字数”收费（比如你问一个问题，它回答 100 个字，收你 10 块钱；回答 1 万字，收你 1000 块）。

以前的攻击方式（输入端攻击）： 黑客会故意写一些很绕、很复杂的“咒语”（输入提示词），骗 AI 说：“请写一个无限长的故事”。
- 缺点： 这种攻击有个大漏洞——谁提问，谁付钱。黑客自己得掏腰包买那几万个字的输出，而且每次攻击都要重新发一次“咒语”，容易被发现。
BitHydra 的新招（参数端攻击）： 这次，黑客不碰“菜单”（输入），而是直接去破坏厨房的“灶台”和“菜谱”（模型参数）。
- 效果： 一旦灶台被破坏，不管谁来点菜，厨师（AI）都会陷入一种“停不下来”的状态，疯狂输出废话，直到达到字数上限。黑客不需要付钱，但餐厅老板（云服务提供商）的服务器成本会爆炸式增长。

2. 攻击原理：只需翻转几个“开关”

大语言模型是由几十亿个数字（权重）组成的，这些数字在计算机里是以**二进制（0 和 1）**存储的。

Bit-Flip（比特翻转）： 想象一下，模型参数是一面巨大的墙，上面有几十亿个灯泡（比特位）。黑客不需要砸墙，只需要利用一种叫"Rowhammer"的硬件漏洞，让其中极个别灯泡的状态从"0"变成"1"，或者从"1"变成"0"。
BitHydra 的魔法： 以前人们认为，乱动几个灯泡只会让 AI 变笨（胡说八道）。但 BitHydra 发现，只要精准地破坏控制“结束对话”的那个开关（即 <EOS> 结束符的权重），AI 就会忘记“什么时候该闭嘴”。

3. 技术难点与解决方案：如何找到那个“致命开关”？

这就好比在一座拥有几亿个开关的迷宫里，只动 1-4 个开关，就能让迷宫里的机器人永远转圈。这太难了，因为：

太难找： 盲目乱试，电脑会累死。
太容易坏： 乱动开关，机器人可能直接死机（输出乱码），或者变得像疯子一样，一眼就能看出被攻击了。
太隐蔽： 必须让机器人看起来还在正常说话，只是话特别长。

BitHydra 的解法（像 Hydra 九头蛇一样）：
作者设计了一个名为 ADMM 的高级数学优化算法。

比喻： 想象你在玩一个极其复杂的“找茬”游戏。你不能直接去按开关，而是先戴上一副“数学眼镜”（连续优化），在虚拟世界里模拟：如果我把这个灯泡变暗一点，机器人会不会多说话？
精准打击： 算法算出最优解后，告诉黑客：“别乱动，只动第 352 号灯泡的第 2 位”。
结果： 只需要翻转 1 到 4 个 比特位（相当于在几亿个开关里只动几个），就能让模型在几乎所有问题上都“话痨”到爆表。

4. 攻击后的景象：AI 的“永动机”模式

当攻击成功后，AI 的表现会变成以下几种“怪状”（论文附录中有真实案例）：

复读机模式： 它会把刚才说过的话，换个说法再重复一遍，周而复始，直到字数耗尽。
无限套娃： 它开始自己给自己出题，自己回答，再自己出题，陷入死循环。
泄露秘密： 因为话太多，它甚至可能把原本不该显示的“内部系统提示词”（比如“你是一个 AI 助手..."）都吐出来，造成隐私泄露。

5. 为什么这很可怕？

防不胜防： 这种攻击发生在硬件底层（内存里），传统的软件防火墙根本看不见。
持久性： 一旦破坏成功，所有用户都会受影响，直到有人重新修复模型或重启服务器。
低成本，高破坏： 攻击者只需要极少的计算资源（甚至不需要高性能电脑），就能让云服务商的账单翻几倍。
难以防御： 论文测试了多种防御手段（如微调模型、重置权重），发现 BitHydra 依然能保持很高的成功率。

总结

BitHydra 就像是在 AI 的“刹车片”上钻了一个极小的孔。
以前我们担心黑客会骗 AI 说错话（内容安全），现在我们要担心黑客能让 AI停不下来（成本安全）。这提醒我们，在 AI 时代，不仅要保护数据的“正确性”，还要保护模型的“稳定性”和“硬件完整性”。

一句话概括： 只要动几根头发丝（几个比特位），就能让超级 AI 变成永远关不上的水龙头，把老板的钱包冲垮。

这是一份关于论文 《BitHydra: Towards Bit-flip Inference Cost Attack against Large Language Models》 的详细技术总结。

1. 研究背景与问题定义 (Problem)

背景：
大型语言模型（LLM）的推理成本（计算资源和时间）通常与生成的输出长度成正比。现有的推理成本攻击（Inference Cost Attacks）主要通过构造恶意的输入提示（Prompts），诱导模型生成过长的回复，从而增加服务提供商的计算负载和用户的等待时间。

现有攻击的局限性：

自损性： 攻击者提交恶意提示，通常也需要为生成的长回复付费（基于 Token 计费），导致攻击成本高昂。
非持久性： 每次攻击都需要重新发送恶意输入，难以对模型的所有用户造成持续影响。
易被检测： 恶意输入模式容易被识别和过滤。

本文提出的新问题：比特翻转推理成本攻击 (BICA)
作者提出了一种全新的攻击范式，不再针对输入，而是直接针对模型参数（权重）。

核心目标： 通过翻转模型权重中的极少数比特位（Bit-flip），永久性地改变模型行为，使其对所有用户的任意输入都倾向于生成无限长的回复，从而最大化推理成本。
攻击优势：
- 隐蔽性： 发生在硬件层面（如 DRAM 的 Rowhammer 攻击），绕过软件监控。
- 持久性： 一次攻击，所有后续用户均受影响。
- 低成本： 攻击者无需为生成的长回复付费。
技术挑战：
1. 有效性： 如何设计损失函数以抑制结束符（<EOS>）概率，同时不导致模型崩溃（NaN）或输出乱码。
2. 优化难度： 从数十亿参数中精确找到关键的比特位是一个离散的组合优化难题。
3. 保真度： 攻击后的模型输出需保持语义连贯，避免明显的异常。
4. 效率： 如何在巨大的参数空间中快速定位脆弱点。

2. 方法论：BitHydra 框架 (Methodology)

作者提出了 BitHydra 框架，将攻击建模为一个受约束的**二进制整数规划（Binary Integer Programming, BIP）**问题，并通过 ADMM（交替方向乘子法） 进行求解。

2.1 攻击目标与损失函数

目标： 最小化生成序列中 <EOS>（End-of-Sequence） token 的概率，从而阻止模型停止生成。
损失函数 ( $L_{<EOS>}$ )： 定义为解码序列中所有步骤上 <EOS> token 的 Softmax 概率之和。
$L_{<EOS>}( \hat{B}) = \sum_{i=1}^{N} \text{Softmax}(f_{<EOS>}(x; \hat{B}))$
搜索空间限制： 为了保持输出质量和隐蔽性，攻击仅针对输出嵌入层（Output Embedding）中对应 <EOS> token 的那一行权重进行比特翻转。这确保了其他 token 的相对概率分布不变，从而维持生成的流畅性。

2.2 优化策略：ADMM 松弛

由于直接求解离散的二进制翻转问题（BIP）是 NP-hard 的，BitHydra 采用以下策略：

连续松弛： 将离散的比特翻转约束松弛为连续优化问题。
- 引入 $\ell_p$ -Box ADMM 框架。
- 将二进制约束 $\{0, 1\}$ 松弛为盒约束 $[0, 1]$ 和 $\ell_2$ 球约束的交集。
- 将比特翻转数量约束（ $\ell_0$ 范数）转化为等式约束并引入松弛变量。
求解过程：
- Phase 1 (连续优化)： 使用 ADMM 迭代更新辅助变量、原始权重变量（连续代理值 $\hat{B}$ ）和对偶变量。在每一步中，通过梯度下降最小化包含 $L_{<EOS>}$ 和约束惩罚项的增广拉格朗日函数。
- Phase 2 (离散选择)： 基于连续优化得到的代理权重 $\hat{B}$ 和梯度，计算每个潜在比特翻转的得分（结合权重变化幅度和梯度方向）。
- 贪婪迭代： 每次迭代仅翻转一个得分最高的比特位，然后更新模型权重并重新进行优化。这种渐进式策略能捕捉参数间的非线性依赖关系。

3. 主要贡献 (Key Contributions)

新范式提出： 首次定义了针对 LLM 的“比特翻转推理成本攻击”（BICA），揭示了参数级攻击在成本消耗方面的巨大潜力，弥补了现有输入级攻击的不足。
BitHydra 框架设计： 提出了一种基于约束 BIP 和 ADMM 连续松弛的优化方法，能够高效地在海量参数中定位关键比特。
针对性优化： 创新性地仅针对 <EOS> 输出嵌入行进行优化，在保证攻击效果（抑制结束符）的同时，最大程度保留了模型的语义生成能力（隐蔽性）。
广泛的实验验证： 在 10 个不同架构和规模的 LLM（1.5B 到 16B 参数）上进行了验证，证明了攻击的通用性和高效性。

4. 实验结果 (Results)

攻击成功率：
- 在 10 个测试模型中，仅需 1 到 4 次 比特翻转，即可使绝大多数（90%-100%）的提示词触发最大生成长度（2048 tokens）。
- 例如，在 Llama3-8B 上，仅需 1 次 比特翻转，即可使 100% 的测试提示达到最大长度。
- 在 DeepSeek-R1-1.5B 上，仅需 1 次 翻转，平均生成长度从 1117 提升至 2048。
对比基线：
- 相比现有的提示词攻击（如 Engorgio, Sponge Examples, LLMEffiChecker），BitHydra 在平均生成长度和达到最大长度的比例上均显著优于基线。
- 相比另一种比特翻转攻击基线（Prisonbreaker，针对越狱），BitHydra 生成的文本更连贯，且无需翻转全模型权重，效率更高。
泛化性：
- 攻击具有极强的迁移性。使用少量（4 个）搜索提示词计算出的比特位，能有效攻击未见过的提示词（Alpaca 数据集），表明攻击改变了模型的生成动力学机制，而非简单的过拟合。
防御抵抗性：
- 针对**微调（Fine-tuning）和权重重构（Weight Reconstruction）**等防御措施，BitHydra 表现出极强的鲁棒性。即使在防御后，攻击仍能维持较高的平均生成长度（>1700 tokens）和接近 100% 的最大长度触发率。
输出质量：
- 攻击后的输出虽然长度极长，但语法正确、语义连贯（Flesch 阅读指数和语法错误率变化不大）。
- 输出模式包括：内容无限重复、无限循环的结束语、无限列表、以及伪造的“自我提示 - 回答”循环。
- 意外发现： 在部分案例中，过长的生成意外泄露了内部系统提示（System Prompts）或隐藏元数据，揭示了新的安全风险。

5. 意义与影响 (Significance)

安全威胁升级： 揭示了 LLM 在参数完整性方面的脆弱性。即使只有极少量的比特翻转（1-4 位），也能导致服务不可用（DoS）和巨大的经济成本。
隐蔽性挑战： 这种攻击发生在硬件/内存层面，且输出看似正常，使得传统的基于输入或输出内容的检测手段难以发现。
防御启示：
- 强调了在 MLaaS（机器学习即服务）环境中，对模型权重进行完整性监控和防篡改硬件（如 ECC 内存、安全内存架构）的重要性。
- 指出仅靠软件层面的防御（如微调）不足以完全消除此类风险。
未来方向： 呼吁学术界关注参数级攻击，并开发针对比特翻转的专用防御机制（如权重指纹验证、运行时异常检测）。

总结：
BitHydra 是一项具有高度警示意义的研究，它证明了攻击者可以通过物理层面的微小干扰（比特翻转），以极低的成本对 LLM 服务造成持久且大规模的破坏。这迫使业界重新审视 LLM 部署中的硬件安全假设和参数完整性保障机制。