Pesquisa mostra como envenenar caches semânticos de LLM e propõe defesa que reduz mais de 80% dos ataques
Caches semânticos, usados por provedores de LLM para reduzir custo reaproveitando respostas de consultas parecidas, podem ser envenenados: um atacante insere uma resposta maliciosa sob uma consulta com alta similaridade de embedding a pedidos legítimos, fazendo com que usuários benignos recebam a resposta forjada depois. Os autores identificam a estrutura típica desse ataque e propõem uma defesa que bloqueia entre 82% e 98,2% das entradas envenenadas com baixa taxa de falso positivo.
Caches semânticos são uma otimização comum em infraestrutura de LLM: em vez de reprocessar cada consulta do zero, o sistema busca no cache uma pergunta anterior com embedding suficientemente parecido e devolve a resposta já gerada, economizando custo de inferência. O problema de segurança é que a decisão de 'isso é parecido o suficiente para reaproveitar' depende inteiramente da similaridade vetorial entre a consulta recebida e as consultas já armazenadas — sem qualquer verificação de que a resposta armazenada de fato responde corretamente à nova pergunta.
Os pesquisadores mostram que essa lacuna é explorável de forma sistemática: um atacante consegue inserir no cache uma pergunta artificial que tem alta similaridade de embedding com perguntas legítimas comuns, mas cuja resposta associada é maliciosa (por exemplo, contendo instruções enganosas ou conteúdo indevido). Analisando ataques reais, os autores identificam um padrão recorrente que chamam de 'estrutura de reescrita-residual': a consulta maliciosa combina uma reescrita da pergunta-alvo (que mantém a similaridade alta) com um conteúdo residual adicional (que é o que efetivamente induz a resposta maliciosa armazenada).
A defesa proposta explora exatamente essa estrutura. O mecanismo 'Deletion Gain' busca variantes mais curtas da consulta em cache, testando se remover algum trecho aumenta a similaridade com a consulta recebida — o que revela a presença de conteúdo residual escondido. Em seguida, o 'Answer Check' testa se o texto removido de fato contribui para a resposta armazenada, distinguindo entradas de cache legítimas de envenenadas. Contra três classes distintas de ataque, essa combinação bloqueia de 82% a 98,2% das entradas envenenadas mantendo taxa de falso positivo de apenas 5%, com overhead de serviço considerado desprezível.
O valor prático do achado está em apontar que otimizações de custo em infraestrutura de IA (como caching semântico, cada vez mais comum em provedores que servem LLMs em escala) introduzem uma superfície de ataque nova e pouco discutida: diferente de um ataque de prompt injection que afeta apenas a sessão do atacante, o envenenamento de cache semântico pode se propagar para usuários completamente não relacionados que façam perguntas parecidas, funcionando como um análogo de cache poisoning/stored XSS no contexto de serviços de IA.