重新审视延迟拒绝服务攻击：攻击 LLM 服务框架，而非模型

研究者提出 Fill and Squeeze（F&S）攻击，针对 LLM 服务框架的调度器状态机而非模型生成过程，在 vLLM 上造成同机用户 TTFT 最高 742 倍退化。论文先发现模型层面的延迟攻击在连续批处理下基本失效，50-75% 恶意请求仅使正常用户 TTFT 增加 3-5.7%。F&S 用 Fill 耗尽全局 KV cache 触发队头阻塞，用 Squeeze 迫使调度器反复抢占，并借 ITL 侧信道在黑盒下估计 KV 使用率。在 vLLM v0.11.2 与 Qwen3-8B、Gemma3-12B-it、DeepSeek-R1-Distill-Llama-8B 上，TTFT 退化最高 742 倍（Gemma3-12B-it 从 0.13 秒升至 97.83 秒），攻击成本比现有攻击低 30-40%。论文称按实体 KV 配额、跳过式准入、公平排队和输出缓冲等可削弱该攻击。

Deep readingGenerating