Hollow-LLM Attack: pesos fantasmas driblam provas de conhecimento zero em inferência de LLM
Pesquisadores demonstraram que é possível enganar esquemas de verificação por conhecimento zero (ZK) usados para provar que um provedor de inferência de LLM está executando o modelo do tamanho anunciado. O ataque, batizado Hollow-LLM, usa pesos degenerados que passam na prova criptográfica mas exigem computação equivalente a um modelo muito menor. O artigo foi aceito no IEEE S&P 2026 e expõe uma lacuna fundamental entre 'prova de correção' e 'prova de esforço computacional' em serviços de inferência auditáveis.
Pesquisadores (Chen Gong, Beijie Liu e Mengyuan Li) publicaram um artigo aceito no IEEE Symposium on Security and Privacy 2026 demonstrando um ataque chamado Hollow-LLM contra esquemas de verificação por conhecimento zero (ZK) usados para provar que um provedor de inferência de LLM está de fato executando o modelo anunciado, sem revelar os pesos proprietários.
O ZK-LLM inference permite ao provedor provar que uma saída é consistente com uma arquitetura pública e um conjunto de pesos comprometido (commitment), sem expor esses pesos. O problema é que o circuito de verificação garante apenas correção equacional, não que o esforço computacional gasto corresponda ao tamanho do modelo declarado. Os autores constroem 'ghost weights' — pesos com estrutura algébrica degenerada, compatíveis com blocos transformer padrão, que colapsam o cálculo efetivo — permitindo gerar provas válidas enquanto o provedor executa computação equivalente a um modelo muito menor que o anunciado.
Isso importa porque mercados de inferência descentralizados e provedores que cobram por modelo grande, usando ZK como garantia de execução correta, podem ser enganados: o cliente paga pelo modelo grande, mas recebe, na prática, a saída de um modelo bem menor, sem perda perceptível de qualidade sob o mesmo circuito de verificação. Isso cria uma fraude econômica escalável e quebra a promessa central de auditabilidade que motivou o uso de ZK nesse contexto.
Sistemas que hoje tratam provas ZK como única camada de confiança — marketplaces de compute descentralizado, ou provas voltadas a reguladores — precisam de mecanismos adicionais que vinculem custo computacional real ao resultado (por exemplo, prova de trabalho, benchmarks de tempo de execução ou auditoria por amostragem), já que corretude aritmética isolada não garante que o esforço declarado foi realmente gasto.