Load Hijack: envenenar só os pesos do roteador de um modelo Mixture-of-Experts basta para sequestrar o escalonamento de GPUs na inferência
Pesquisadores demonstram o Load Hijack, um ataque de cadeia de suprimentos em que um provedor malicioso de checkpoints modifica apenas os pesos do roteador de um modelo Mixture-of-Experts, mantendo um gatilho privado que, quando presente na entrada, concentra o roteamento de tokens em experts hospedados numa única GPU — transformando esse dispositivo num gargalo que atrasa todos os pares em paralelismo de especialistas, sem alterar visivelmente o comportamento do modelo em entradas normais. O ataque atinge de 92,3% a 95,6% de concentração de tokens nos experts alvo e, em serviço real, aumenta o tempo até o primeiro token em 43% enquanto derruba o throughput.
Modelos Mixture-of-Experts (MoE) de grande escala são hoje servidos com expert parallelism, distribuindo os diferentes especialistas (sub-redes) do modelo entre múltiplas GPUs; a decisão de roteamento — qual especialista processa cada token — também determina, na prática, qual GPU física faz o trabalho. O Load Hijack explora esse acoplamento: em vez de atacar dados de treinamento ou o modelo inteiro, o atacante modifica só os pesos do componente de roteamento dentro de um checkpoint, distribui esse checkpoint envenenado, por exemplo num hub de modelos, e guarda para si um gatilho privado que ativa o comportamento malicioso.
O desafio técnico central, resolvido pelos autores com um procedimento de otimização em três estágios, é evitar que o objetivo de concentrar tráfego nos experts-alvo quando o gatilho aparece vaze para o comportamento em entradas normais — o que denunciaria o ataque imediatamente por degradar a qualidade ou a distribuição de carga em uso comum. O resultado é um roteador que se comporta de forma estatisticamente indistinguível do roteador limpo na ausência do gatilho, mas que, quando o gatilho aparece, direciona entre 92,3% e 95,6% das atribuições de token para os experts escolhidos pelo atacante, todos co-localizados na mesma GPU.
Em serviço real com paralelismo de especialistas, essa concentração faz a GPU-alvo virar um straggler: como as demais GPUs do pipeline dependem da sincronização entre especialistas para completar cada passo de inferência, a sobrecarga de uma única GPU se propaga para o sistema inteiro, produzindo 1,43x o tempo até o primeiro token e reduzindo o throughput para 0,86x do valor normal sob tráfego disparado pelo gatilho — um efeito equivalente a uma negação de serviço seletiva e sob demanda, controlada remotamente por quem distribuiu o checkpoint.
O ponto mais importante para quem opera infraestrutura de inferência é que esse ataque não precisa alterar a arquitetura declarada do modelo, seu tamanho ou seu comportamento observável em benchmarks padrão — só os pesos do roteador, um componente normalmente tratado como detalhe de implementação e não como superfície de ataque. Isso reforça a necessidade de auditar checkpoints de terceiros não apenas quanto a saídas maliciosas óbvias, mas também quanto ao comportamento de roteamento e ao padrão de carga em runtime, algo que a maioria dos pipelines de avaliação de segurança de modelos hoje simplesmente não verifica.