arXiv cs.AI· Tianyi Wang, Huawei Fan, Yuanchao Shu, Peng Cheng, Cong Wang·· 9 天前AI 评分44
重新审视延迟拒绝服务攻击：攻击 LLM 服务框架而非模型
Rethinking Latency Denial-of-Service: Attacking the LLM Serving Framework, Not the Model
AI 导读
研究发现算法层面的延迟攻击对现代 LLM 服务系统基本无效，连续批处理等系统级优化提供了逻辑隔离。作者转而提出 Fill and Squeeze 攻击策略，针对调度器状态转换：先耗尽全局 KV cache 引发队头阻塞，再迫使系统反复抢占。在 vLLM 上评估显示，TTFT 最高退化 75-742 倍，每输出 token 时间平均减慢 1.5-4 倍，攻击成本降低 30-40%。
正文 · AI 翻译
摘要：LLM 推理本身成本高昂，即使轻微的减速也可能转化为巨大的运营成本和严重的可用性风险。近来，越来越多被称为延迟攻击的研究致力于构造输入以触发最坏情况下的输出长度。然而，我们报告了一个相反的发现：这些算法层面的延迟攻击对现代 LLM 服务系统基本无效。我们揭示，诸如连续批处理之类的系统级优化提供了逻辑隔离，从而缓解了传染性延迟对共置用户的影响。因此，在本文中，我们将关注点从算法层转向系统层，并提出了一种新的 Fill and Squeeze 攻击策略，针对调度器的状态转换。“Fill”首先耗尽全局 KV 缓存以引发队头阻塞，而“Squeeze”则迫使系统进入反复抢占。通过使用不同的攻击提示操纵输出长度，并利用对内存状态的侧信道探测，我们证明该攻击能够在实际的黑盒环境中以低得多的成本取得成功。在 vLLM 上的大量评估表明，相对于良性基线，TTFT 退化高达 $75-742\times$，与现有攻击相比，每输出 Token 时间的平均减速为 $1.5-4\times$，而攻击成本降低 30-40%。代码：this https URL
| 评论： | NeurIPS 2026 |
| 主题： | 密码学与安全（cs.CR）；人工智能（cs.AI） |
| 引用为： | arXiv:2602.07878 [cs.CR] |
| （或 arXiv:2602.07878v2 [cs.CR] 用于此版本） | |
| https://doi.org/10.48550/arXiv.2602.07878 由 DataCite 颁发的 arXiv DOI |
提交历史
来自：Tianyi Wang [查看电子邮件]
[v1]
2026年2月8日星期日 09:05:54 UTC（9,554 KB）
[v2]
2026年10月8日星期四 07:33:40 UTC（10,308 KB）
来源：arXiv cs.AI · arxiv.org