推理层安全：防御对抗性推理与基础设施滥用

在模型服务的推理层识别对抗性用户会话，并在极端类别不平衡下归因攻击类型。

• 场景：作者认为白领工作流已依赖 AI 服务，采用速度快于安全配套。Figure 1 把攻击入口分成训练语料、训练/RLHF、部署供应链、服务基础设施、请求层和用户会话行为；本文只做 serving side。
• 现有不足：BurstGPT 与 ServeGen 有服务流量，但没有良性/对抗及攻击类型标签。作者称公开此类标签会暴露漏检、带来法律与监管风险，并给对手一份检测器签名图。
• 核心观察：单笔交易几乎无信息，判别信号在会话形态（困惑度轨迹、拒答累积、昼夜节律、请求间隔方差）。账户级过粗会丢掉攻击起始，交易级则在分类噪声。
• 威胁模型
  • 目标：平台要给合法用户低摩擦，同时识别并阻断对抗者；任务是判定会话良性或对抗，若恶意则给出攻击类型。
  • 受害系统：假想前沿实验室 Five Elements Inc. 的服务栈，含 IP/速率检查、生成与过滤、干预阶梯和 Trust & Safety。
  • 知识与能力：论文从平台视角写防御，平台有 API 限速、有害内容过滤、IP/设备封禁和速率节流。攻击面包括越狱、DoS、蒸馏、数据抽取、机器人农场、凭证滥用、智能体滥用和 harmful use。
  • 范围：点预测在 user-session 上（Ladder L2）。campaign 级 multi_surface 需跨账户聚合，作者将其排除出 per-session 预测。
• 本文提出：Ladder of Abstraction；带标签延迟、账户级标签噪声和三层可观测性的 SCM 合成数据集（公开）；带 tempered class-weighting 的 GBDT，以及极端不平衡下的阈值决策引擎。

服务负载数据

• BurstGPT（Zheng et al., 2024）：真实世界 LLM 服务负载数据集，用于优化服务系统。论文指出它记录通用交互的服务模式与交易，不提供对抗标签。
• ServeGen（Xiang et al., 2026）：生产环境大语言模型服务的负载刻画与生成。论文同样指出它不满足带攻击类型标签的需求。

因果建模

• 结构因果模型（Pearl）：用结构方程而不是回归方程描述因果，并支持干预与反事实。作者用 SCM 让会话特征按因果父节点、账户轨迹和战役共享状态共同生成。
• Stackelberg 竞争：论文在 Ladder 的 L6 提到用 Stackelberg 求解器推理对手最优反应，并称它需要 L3 的信念状态；本文停在 L2。

现实滥用与软件漏洞（引言引用）

• 数据投毒：作者转述联合研究称，在数十亿语料中投毒约 250 篇文档（约 13B 模型训练 token 的 0.00016%）即可安装后门。
• 越狱、蒸馏与智能体滥用：引言列举过去时/人设越狱、约 24,000 个欺诈账户与 1600 万次以上交换的蒸馏、以及 GTG-1002 活动中 80–90% 自主性。这些被用作攻击面动机，不是实验基线。

基线方法与基准

• 基线方法：多类归因上的 naive argmax，对照阈值决策引擎。检测器本身是 GBDT/XGBoost 点预测。
• 基准/数据集：作者自建的 SCM 用户会话数据；对比对象是 BurstGPT 与 ServeGen 所缺的标签，而不是在这两个数据集上跑检测。

作者把本文放在服务侧、会话级点预测：权重在部署后冻结，服务侧杠杆可跨模型类型迁移，而更高层的 bandit 与博弈依赖可靠的 L2 估计。

整体思路是先用结构因果模型（SCM）生成带协同战役和平台反馈的用户会话，再在会话特征上训练 GBDT 点预测器，并用阈值决策引擎处理 98% 良性先验下的类型归因。

问题设定

• 预测单元：给定会话特征 x，估计对抗概率和 9 类分布。类别 C 为 benign、distillation、jailbreak、bot_farm、harmful_use、dos、credential_abuse、data_extraction、agentic_misuse。multi_surface 只在战役层，不进入点预测。
• 为什么是会话：作者称单次提示可能是研究者、笔误或越狱试探；会话保留行为形状，又细到可以定向干预。
• 指标：二分类用 precision、recall 和 AUPRC。多分类按 one-vs-rest 算各类 precision/recall，再给 macro（类等权）和 micro（样本等权）。

SCM 生成

• 三轴条件：特征 j 由会话内因果父节点、用户历史充分统计和所属战役共享状态共同决定，再加上不可约噪声。作者称缺任一轴会分别导致特征不相关、账户无记忆或“机器人农场”只是独立账户。
• 生成顺序：Figure 4 先采样战役元数据，再实现账户数、日程和基础设施池，然后每个账户对推理服务行动，服务的限速、CAPTCHA 和监控再反过来条件化账户。
• 蒸馏案例：战役类型先验中 distillation 为 0.30（Table 2）。账户数用负二项，期望约 12。阶段含 setup、warmup、probing、active、cooldown；前两阶段发良性掩护流量。覆盖达到 0.80 成功，舰队挂起比例达到 0.70 则中止。
• 成熟度与标签：s 按行动者类型从 Beta 抽样；蒸馏战役把 s 夹到 [0.40, 0.95]。标签到达：被标到的概率 0.10，延迟为 LogNormal，蒸馏中位约 90 天。作者称参数是示意，完整 SCM 超出本文范围。

标签可观测性与检测器

• 三档标签：附录称 label 为 M2 通道；完整特征矩阵含物化的 M1/M2/M3 三元组。摘要称三层可观测性，并区分 oracle 标签与真实 T&S 会持有的运营标签。
• 检测器：L2 使用 GBDT/XGBoost，带 tempered class-weighting。二分类把会话标为良性或恶意；恶意时再做攻击类型。最简单模型里，对抗概率是 1 减去多类模型的 benign 概率。
• 归因：naive argmax 受 98% 良性先验支配。作者用一族阈值决策引擎提高 macro-F1，同时不牺牲 accuracy。具体阈值与加权公式的逐步设定，正文在被截断部分展开；摘要给出的对比是 argmax macro-F1 0.295 对引擎 0.489。

成功判定

• 路由：Table 1 把类型分到 Legal & Policy、Trust & Safety、Platform Integrity、Security 或 Threat Intelligence。漏检代价按类型分别写成能力被竞品运走、安全绕过、工具被当成攻击平台、假账户扩张、token 洪泛或密钥劫持。
• 干预：Figure 2 的快环是账户级干预（CAPTCHA、限速、加强监控、挂起、吊销密钥），慢环是按周到季度调阈值、重加权和再训练。

实验设置

• 数据：SCM 生成的用户会话，含协同多账户战役、平台反馈和 M1/M2/M3 标签。规模按需求推导为约 10^7 笔交易量级（按 p=0.01% 收集 1,000 个恶意样本），论文未在摘要中单列最终行数。
• 被测模型：实用的 gradient-boosted 检测器（文中亦称 GBDT/XGBoost）。没有把闭源 LLM 当分类目标。
• 标签设置：oracle 标签，以及作者所称真实 Trust & Safety 团队会持有的运营标签。M2 是附录样本中的 label 通道。
• 任务：二分类 benign/malicious；恶意时在 C 的攻击类型上归因。multi_surface 不进入该预测器。
• 指标：AUPRC；多分类 macro-F1 与 accuracy。precision、recall、macro-P、micro-P 在第 2.2 节定义。
• 评审：标签来自生成过程，不是 LLM 评审。论文未报告人工一致性或重复次数。

主结果

Swipe horizontally to read the table

任务	标签或决策	指标	数值	出处
二分类	oracle	AUPRC	0.993	摘要
二分类	运营标签	AUPRC	0.313	摘要
攻击类型	naive argmax	macro-F1	0.295	摘要
攻击类型	阈值决策引擎	macro-F1	0.489	摘要

• 作者解读：对 oracle 标签，检测器几乎解决二分类（AUPRC 0.993）；对运营标签同一模型只有 0.313。作者称检测器比用来评估它的标签更准确。
• 不平衡：作者称 naive argmax 被 98% 良性先验支配（macro-F1 0.295），阈值引擎把 macro-F1 提到 0.489，且不牺牲 accuracy。论文未在摘要给出该 accuracy 的数值。
• 可分性示例：Table 3 里，活跃蒸馏与良性重度用户在 sessions_per_day、请求数、safety score、total tokens 上重叠；is_api、间隔标准差、prompt perplexity 标准差、query entropy 和 domain coverage delta 被标为可分或部分可分。这是生成配置，不是检测器分数。

生成过程中的可观测设定

• 战役先验：Table 2 中 distillation 0.30、harmful_use 0.20、jailbreak 0.15、credential_abuse 0.10、data_extraction 0.10、dos 0.07、multi_surface 0.05、bot_farm 0.03。
• 行动者：criminal_org 0.30、competitor 0.25、script_kiddie 0.25、nation_state 0.10、insider 0.10。蒸馏上 nation_state 的 E[s]=0.80，script_kiddie 为 0.17。
• 标签延迟：蒸馏会话 Pr(ever labeled)=0.10，延迟中位数约 90 天。作者用这解释运营标签弱于 oracle。

其他消融与分析

• 论文正文后半（训练超参、逐类 F1、消融表）在提供的文本中不完整，这里不补未看到的格子。
• 附录 Table 14 给每种攻击一条原始会话样例，label 为 M2；多条恶意会话在 M2 上为“—”，与“只有一部分会话会被标到”一致。
• 良性先验 98% 与 argmax macro-F1 0.295 是摘要给出的负面对照：多数类会压过稀有攻击类型。

作者指出的局限与后续方向

• 只做 L2：Figure 3 与第 2 节写明本文处理点预测；bandit、不确定性、Stackelberg 和多智能体博弈依赖更低层，留在阶梯上方（Section 2）。
• multi_surface 超出范围：它是跨账户的群体属性，per-session 点预测不做，作者称 defer 到更高层（第 2.1 节、Table 1 注）。
• SCM 不是完整规格：作者称完整处理超出本文范围，案例是多种实例化之一，参数应读作示意而非定论（第 3 节、3.1.1）。
• 反事实留待以后：夹断节点、问“若未限速会话会怎样”被写成 future work 才能做的分析（第 3 节）。
• 标签稀缺是结构性的：作者称没有合适的公开标注集，提供方没有动机发布确认的对抗流量（第 2.3 节）。
• 数据发布：摘要称数据集公开；附录称完整矩阵在 Hugging Face。作者计划之外、正文写明已公开的部分按已发布转述。

实验覆盖范围

• 检测器是梯度提升树，任务是合成 user-session 上的二分类和攻击类型归因。
• 报告的主数字是 oracle AUPRC 0.993、运营标签 AUPRC 0.313、argmax macro-F1 0.295、阈值引擎 macro-F1 0.489。
• 标签通道在附录样例中写明为 M2，并提到 M1/M2/M3 三元组；论文未在所见正文给出三档各自的逐类混淆矩阵。
• 生成设定覆盖 Table 1 的九类会话加上战役级 multi_surface，以及 Table 2 的战役先验。
• 论文未报告与人工标注的一致性、检测器查询或训练的重复次数；评估标签来自 SCM，不是外部红队日志。

这篇工作从假想实验室 Five Elements Inc. 的服务侧出发，做推理层的会话级滥用检测。

• 问题：部署后权重冻结，能改的是限速、过滤和封禁。公开数据没有对抗会话标签，真实标签又少、又迟。作者把单位定在 user-session，因为单笔交易像噪声，整账户又会丢掉攻击起始。
• 方法：SCM 按会话内因果、账户历史和战役共享状态生成数据，并模拟平台干预对后续行为的反馈。标签分 oracle 与运营可见两档；检测器是带类别加权的 GBDT，类型归因用阈值决策而不是直接 argmax。multi_surface 不做进这个预测器。
• 结果：oracle 二分类 AUPRC 0.993，运营标签 0.313。作者称模型比评估用的运营标签更准。98% 良性先验下 argmax 的 macro-F1 为 0.295，阈值引擎为 0.489。Table 3 里蒸馏与重度良性用户有多项重叠特征，也有 API 比例、间隔抖动和覆盖增量等可分项。
• 结论：作者认为服务侧点预测是更高层干预的前提，但用运营标签评估会严重低估检测器；数据集已公开，更高层的不确定性估计和博弈留在 Ladder 的上方。