Speedbumps: ataque adversarial encarece e torna mais lenta a decodificacao especulativa em LLMs
A decodificacao especulativa acelera a inferencia de LLMs usando um modelo rascunho para propor tokens que o modelo principal verifica em lote, mas essa eficiencia depende de rascunho e alvo concordarem na maior parte do tempo. Os ataques Speedbump inserem um sufixo adversarial em conteudo controlado pelo atacante para maximizar o desacordo entre os dois modelos, chegando a tornar a decodificacao especulativa mais lenta que a decodificacao convencional e inflando os custos de inferencia da vitima.
Decodificacao especulativa e hoje uma das tecnicas mais usadas para reduzir custo e latencia de inferencia de LLMs: um modelo rascunho menor e mais rapido propoe varios tokens de uma vez, e o modelo alvo, maior, verifica todos eles em uma unica passada, aceitando os que coincidem com o que ele mesmo teria gerado. O ganho de velocidade e proporcional a quanto o rascunho consegue aproximar a distribuicao do modelo alvo, quanto mais tokens propostos sao aceitos por ciclo, menos passadas completas do modelo caro sao necessarias.
Os autores identificam e exploram exatamente esse ponto de alavancagem como uma nova superficie de ataque. Os Speedbump Rejection Attacks (SRAs) anexam um sufixo adversarial a um conteudo que o atacante controla, por exemplo, um documento, pagina web ou saida de ferramenta que acabara dentro do contexto de um prompt de vitima, otimizado especificamente para maximizar o desacordo entre rascunho e alvo. Duas variantes sao propostas: o Speedbump-P otimiza o sufixo estimando a aceitacao por profundidade a partir da probabilidade que o modelo alvo atribui as propostas do rascunho, e o Speedbump-D usa a sobreposicao estimada entre as distribuicoes de rascunho e alvo como sinal de otimizacao.
O efeito pratico e severo: em alguns casos, o ataque degrada a decodificacao especulativa a ponto de ficar mais lenta do que a decodificacao autorregressiva convencional sem especulacao nenhuma, eliminando por completo o ganho de eficiencia que motivou o uso da tecnica e, por consequencia, aumentando o custo computacional de servir aquela conversa. Os sufixos continuam eficazes mesmo sob amostragem estocastica (nao apenas decodificacao gulosa) e transferem entre diferentes modelos rascunho (no caso do Speedbump-P) ou entre diferentes modelos alvo que compartilhem o mesmo rascunho (no caso do Speedbump-D), reduzindo a necessidade de conhecimento especifico sobre a configuracao exata da vitima.
Isso configura, na pratica, um ataque de negacao de servico economico contra infraestrutura de inferencia de LLM: um atacante nao precisa comprometer nada, apenas conseguir que um texto malicioso seja ingerido no contexto de um agente ou pipeline de RAG para inflar significativamente o custo e a latencia de atender aquela sessao, um vetor particularmente relevante para provedores que cobram por token ou que dependem de decodificacao especulativa para cumprir metas de latencia em producao.