FragToken infla o custo de inferência de LLMs treinando o modelo para preferir sequências de tokens redundantes

Ataques de consumo de recursos contra provedores de LLM em geral funcionam induzindo o modelo a gerar saídas anormalmente longas ou repetitivas em requisições controladas ou disparadas pelo atacante -- um padrão relativamente fácil de detectar e mitigar, e que tem impacto limitado quando o tráfego legítimo domina o volume total de requisições no serviço. O FragToken parte de uma observação estrutural diferente e menos explorada: como o tokenizador mapeia texto para tokens de forma many-to-one, o mesmo texto final decodificado pode ser representado por sequências de tokens de tamanhos bem diferentes -- uma canônica, mais curta, que o modelo normalmente prefere, e várias não-canônicas, mais longas, que produzem exatamente a mesma string de saída visível ao usuário.

A ideia central do ataque é treinar o modelo para favorecer essas sequências não-canônicas fragmentadas sob prompts inteiramente normais, sem qualquer gatilho explícito ou padrão suspeito na entrada -- o que amplia o número de passos de decodificação autoregressiva (e portanto o custo computacional de inferência) sem alterar de forma perceptível o comprimento ou conteúdo da resposta final entregue ao usuário. Os autores primeiro mostram que simplesmente maximizar fragmentação de forma ingênua degrada visivelmente a qualidade das respostas, comprometendo o disfarce do ataque -- daí a necessidade do framework proposto, que combina self-distillation a partir do próprio modelo fonte (para preservar comportamento), filtragem consciente de capacidade e orçamento, e uma técnica de mesclagem alinhada ao BPE (o algoritmo de tokenização mais comum) para induzir fragmentação de forma controlada sem sacrificar utilidade percebida.

Os resultados, testados em quatro LLMs diferentes ao longo de três benchmarks, mostram uma razão de inflação de tokens (TIR) média entre 1,99x e 2,46x -- ou seja, o modelo comprometido gasta de duas a duas vezes e meia mais passos de decodificação para produzir a mesma resposta visível, ao custo de apenas degradação menor de qualidade. Como o ataque opera sob prompts ordinários, sem exigir grande volume de requisições maliciosas nem produzir saídas visivelmente anômalas, ele é significativamente mais difícil de detectar via monitoramento de tráfego tradicional (que tipicamente busca respostas anormalmente longas ou repetição de padrões suspeitos) do que os ataques de exaustão de recursos já conhecidos.

A relevância prática recai sobre provedores de inferência de LLM como um vetor de ataque à cadeia de suprimentos: se um modelo com esse comportamento induzido for distribuído (por exemplo, via fine-tuning malicioso publicado como checkpoint aberto, ou inserido em um pipeline de treinamento comprometido), o custo operacional de quem hospeda a inferência aumenta de forma sistemática e silenciosa, sem um evento discreto de “ataque” para investigar -- o dano se acumula lentamente no gasto de compute agregado. Isso sugere que equipes de plataforma devem monitorar não apenas o comprimento de saída, mas também a razão entre passos de decodificação e comprimento do texto final decodificado, como um sinal complementar de anomalia de custo por requisição.