arXiv cs.AI· Adam Y. J. Jones, Yu Yuan, Sergio Maffeis·· 9 天前AI 评分25
Speedbumps：针对投机解码的拒绝攻击
Speedbumps: Rejection Attacks on Speculative Decoding
AI 导读
研究者提出投机拒绝攻击（SRA），通过在攻击者控制的内容后附加对抗后缀，使草稿模型与目标模型更频繁地不一致，降低每轮草稿 token 的接受数量，从而增加目标模型前向传播次数、拖慢推理并抬高成本。
正文 · AI 翻译
摘要：推测解码是一种通过单次目标模型前向传播验证多个草稿 token 来提升大语言模型（LLM）推理速度并降低成本的热门技术。其收益取决于草稿模型逼近目标模型分布的能力。在本工作中，我们研究了推测拒绝攻击（Speculative Rejection Attacks, SRAs），这是一类新型攻击，会使草稿模型与目标模型更频繁地产生分歧，导致每个草稿周期内被接受的草稿 token 减少。这进而导致每生成一个 token 需要更多次目标模型前向传播，从而拖慢推理速度并增加受害者的成本。我们提出了两种攻击，通过向攻击者控制的内容追加对抗性后缀，来在受害者的提示上削弱推测解码。两种攻击都优化被接受推测前缀的期望长度，通过目标模型对草稿提议的概率（Speedbump-P）或草稿与目标分布之间的重叠（Speedbump-D）来估计各深度的接受率。在某些情况下，攻击会将推测解码削弱到比自回归解码还慢的程度。这种削弱会降低输出质量——正则化可恢复输出质量，但会放弃大部分削弱效果，以有效性换取隐蔽性。此外，这些后缀在采样下仍然有效，并且可以跨草稿模型迁移（Speedbump-P），或在共享同一草稿模型的目标模型之间迁移（Speedbump-D）。这些发现表明，推测解码中的草稿-目标交互是一个现实的攻击面，对抗性输入可通过该攻击面抬高推理成本。
| Subjects: | 密码学与安全（cs.CR）；人工智能（cs.AI） |
| Cite as: | arXiv:2610.10929 [cs.CR] |
| （或 arXiv:2610.10929v1 [cs.CR] 用于此版本） | |
| https://doi.org/10.48550/arXiv.2610.10929 由 DataCite 颁发的 arXiv DOI（待注册） |
Submission history
From: Adam Jones [view email]
[v1]
Wed, 7 Oct 2026 21:35:01 UTC (371 KB)
来源：arXiv cs.AI · arxiv.org