Pesquisadores demonstram que tráfego cifrado de serviços de LLM na nuvem vaza modelo, categoria de prompt e tarefa
Um novo benchmark com 60 mil interações e quase 2.900 execuções multiagente mostra que um observador passivo, olhando apenas metadados de pacotes cifrados (tamanho, direção, tempo, rajadas), consegue identificar o modelo de LLM usado, a categoria do prompt e até a tarefa executada por sistemas multiagente. A fingerprinting de modelo chega a 97,7% de acurácia balanceada, mesmo sob reformulação de prompt e mudanças de temperatura.
O estudo ataca um problema de canal lateral clássico da segurança de redes — análise de tráfego — mas aplicado a serviços de LLM hospedados na nuvem. Mesmo com toda a comunicação cifrada via TLS, os autores mostram que características de baixo nível do tráfego (tamanho dos pacotes, direção, timing entre tokens transmitidos e estrutura de rajadas) preservam informação suficiente para inferir qual modelo está sendo consultado, a categoria do prompt do usuário e, em sistemas colaborativos multiagente, qual tarefa está sendo executada.
O mecanismo técnico explora o fato de que a geração de texto token a token em LLMs produz um padrão de streaming característico: cada modelo tem uma "assinatura" de latência e tamanho de pacote ligada à sua arquitetura, velocidade de inferência e forma de tokenização. Prompts de categorias diferentes tendem a gerar respostas com padrões de comprimento e timing distintos, e coordenação entre agentes (por exemplo em topologias colaborativas) produz rajadas de tráfego correlacionadas entre si que um observador de rede local — sem decifrar nada — consegue classificar usando aprendizado supervisionado sobre esses metadados.
Os números são expressivos: 97,7% de acurácia balanceada para identificar qual modelo está servindo a requisição, 76,7% de acurácia média para a categoria do prompt, e até 90,7% para identificar a tarefa em execuções multiagente. Os autores testam a robustez do ataque contra contramedidas óbvias — reformulação do prompt e variação da temperatura de decodificação — e mostram que o vazamento é atenuado, mas não eliminado; a fingerprint de tarefa multiagente permanece detectável mesmo observando o tráfego de um único agente, o que é particularmente preocupante para arquiteturas distribuídas.
Na prática, isso importa para qualquer organização que opere ou consuma LLMs como serviço em ambientes onde um adversário de rede (ISP, operador de nuvem compartilhada, ou atacante na mesma rede local) possa capturar tráfego cifrado. Vazar qual modelo é usado e que tipo de tarefa está sendo processada pode revelar segredos de negócio, expor uso de determinada capacidade sensível (ex: geração de código de exploração, análise jurídica), ou orientar ataques direcionados subsequentes contra a aplicação. O trabalho contribui um benchmark público e reprodutível que deve acelerar tanto pesquisa ofensiva quanto o desenvolvimento de defesas como padding de tráfego e agregação de rajadas.