研究揭示投机解码的安全代价并提出 SecureSD 加固方法

有损推测解码提高接受率、加快推理时，会不会比效用更快地削弱越狱与提示注入防护。

• 场景：自回归解码通常每个输出token单独过一遍大模型。推测解码用较小draft model先产生候选token，再由较大target model并行验证并接受或拒绝（Algorithm 1）。作者称该机制已用于Google的AI Overviews与Gemma 4，以及vLLM、NVIDIA Triton/TensorRT-LLM、Hugging Face Inference和SGLang。
• 现有不足：作者称既有工作主要改善draft、提案结构或放宽验证以提高加速，评估仍集中在加速、平均接受长度、困惑度、任务准确率或人类偏好。对抗输入下，松弛验证接受目标模型本会拒绝的draft token，这一安全影响作者称尚未被系统研究。
• 核心观察：作者认为安全下降来自两维：接受token偏离目标分布的程度，以及偏离出现的位置。早期draft token决定回复的初始方向；对对抗提示，早期偏离可以把生成从拒绝转向顺从。作者据此认为安全可以比效用下降得更快。
• 威胁模型：
  • 目标：越狱诱导违反人类价值或既有安全策略的回复；提示注入使系统产生非预期回复，或使下游应用执行可能有害的动作。
  • 知识：作者写明为black-box。攻击者具备目标模型家族或类型等部分知识；不假设知道draft model、验证规则、松弛阈值或解码随机性。
  • 能力：只能经公开API发查询并观察回复。被测系统采用relaxed speculative decoding。同一输入在有无松弛验证下比较；作者称测到的差距反映松弛验证，而不是对内部实现细节的利用。
  • 受害系统：把推测解码与relaxed verification结合以换吞吐的LLM服务。大target model出回复，更便宜的draft model提案。对照是同一系统的vanilla（lossless）推测解码；目标模型被当作性能上界。松弛程度用接受率AR衡量。
• 本文提出：作者称这是对有损推测解码安全影响的首次系统研究，并据此提出SecureSD：对早期解码位置使用更严的验证，其后仍保留高效验证。引言里作者用security统称safety与security。

推测解码与加速

• 标准推测解码（Leviathan等，2023；Chen等，2023）：小模型提案、大模型并行验证，并在拒绝时从残差分布重采样；作者称其分布可与直接从目标模型采样一致。
• 更好的draft与提案结构：论文并列讨论DistillSpec、FastDraft、Online Speculative Decoding、AdaSpec、EAGLE-2/3，以及Medusa、Hydra、SpecInfer等树或多样提案。论文此处只描述它们为了提高加速，没有逐篇与本文比安全。
• 另一类放宽：Judge Decoding、AdaSD、Alignment-augmented speculative decoding、DiverseD等被放在接受更多draft token的有损验证一组，论文未逐篇展开安全对比。

松弛验证

• LossySD、BiLD、SpecCascade、FSD、FLy、MARS：分别用加性松弛、置信度回滚、级联决定、分布距离、目标分布不确定性，或logits结构决定是否接受draft token。作者称它们提高接受率与速度，并相对原目标模型引入较小分布偏移。
• 论文的批评只落在这一组：作者称这些工作主要优化效率–效用权衡，松弛验证带来的分布偏移如何影响安全仍不清楚。

越狱

• 自然语言越狱：论文提到角色扮演、虚构情景、权限提升，以及说服式提示（Zeng等，2024），并称近期工作把这类方法形式化为说服。
• 自适应提示优化：AutoDAN用遗传算法迭代查询目标模型；GCG优化对抗后缀以提高顺从回复的似然；论文还提到many-shot与黑盒查询式方法。论文用这些说明越狱基准的来源，没有把它们当作推测解码基线。

提示注入

• 直接与间接注入：早期工作研究用户覆盖高层指令；后续工作研究把恶意指令放在网页、文档或工具输出中，劫持用户与基于LLM的智能体会话。
• Liu等（2024）：把野外提示注入技术纳入统一框架，并称组合已有技术可提高攻击成功率。论文还提到自适应或自动越狱算法也可用来生成提示注入。

基线与基准

• 基线方法：无损推测解码，以及LossySD、BiLD、SpecCascade、FSD、FLy、MARS六种有损验证器。
• 基准：效用用HumanEval（164道Python题）和GSM8K（抽样200题）；越狱用作者构建的Jailbreak-SD（200条，来自WildJailbreak、JailbreakBench、HarmBench、AdvBench）；提示注入用OpenPromptInjection（200条）和AgentDojo。

作者把本文放在上述工作之外：用越狱与提示注入基准量化松弛验证造成的、作者所称尚未被充分研究的安全–效用不对称，并用按位置校正的SecureSD处理早期draft token。

整体做法是先把多种推测解码写成统一验证器，再用SecureSD按解码位置把无损验证与松弛验证混合，只在作者认为更敏感的早期位置加强校正。

问题设定与统一验证器

• 共同流程：每轮draft model自回归提出k个候选token，target model一次前向给出这些位置的条件分布，再逐个决定接受或拒绝。默认k=5。
• 验证器：Definition 1把验证器写成S(q, p, α, R)。在前缀x<t下，qt、pt是目标与draft的条件分布；αt(x)是接受该draft token的概率；拒绝后从恢复分布Rt抽样。
• 六种实例：Table 2给出LossySD、BiLD、SpecCascade、FSD、FLy、MARS的qt、pt、αt与Rt。可调量包括LossySD的ε、BiLD的置信阈值、SpecCascade所用的级联分布、FSD的分布距离阈值、FLy的不确定性阈值，以及MARS的logit比值阈值。扫描这些超参数以改变AR。
• 无损参照：标准接受规则为αsd=min{1, q/p}，恢复分布为归一化的正残差(q-p)+。作者称这样每轮提交1到k+1个token，且分布与直接从目标模型采样一致。

SecureSD的逐步校正

• 输入：松弛验证器S、当前前缀、推测长度k，以及全局位置上的校正日程{ηj}。j是全局解码位置。Algorithm 2按单步写出，完整生成靠重复调用。
• 草案与打分：draft model依已提案前缀逐个采样k个暂定token；target model对前缀加草案做一次前向，得到k个位置及随后一个额外位置的目标分布。作者称这一次前向保留推测解码的并行性。
• 混合规则：每个位置把标准验证与松弛验证线性混合。接受概率为α_i^η=(1−η_t+i)α_i^sd+η_t+iα_i，即η=0时回到标准推测解码，η=1时恢复原松弛验证器。恢复分布按同一权重混合Risd与Ri。
• 提交规则：均匀随机数不超过混合接受概率则接受草案。一旦拒绝，立即在该位置从混合恢复分布抽样并结束本轮，其后草案不再提交。若k个草案都接受，下一位置在目标分布与松弛恢复分布之间插值后再采样。因此每次调用至少推进1个、至多k+1个token。

三种校正日程

• 阶梯：位置不超过L时η=0，其后η=1，在L处从标准验证直接切到松弛验证。实验默认是阶梯日程且L=1。
• 线性：η随位置按常数速率从0增到1，L越大过渡越慢。
• 幂律：在线性过渡上加曲率γ。γ=1即线性；γ>1把过渡推后；0<γ<1则更早过渡。
• 选择依据：作者称日程来自第6节的经验分析，而不是更换验证器本身。Section 7.3建议用小校准集扫描L，看安全PRR、效用PRR与SPD；没有代表性校准集时，作者认为较大的L更稳妥，因为加大L对整体加速的影响有限。

作者给出的理论分解

• 一步输出：Theorem 1把松弛验证器的一步输出写成草案被接受的部分，加上拒绝概率乘恢复分布。Corollary 1称标准验证器的一步输出等于目标分布。
• 偏差来源：Theorem 2把与目标分布的总变差上界拆成接受函数偏差，以及恢复分布与标准恢复分布的差异。作者据此认为α和R都要校正。
• 任务敏感度：Theorem 3把任务分数差距连到逐位置分布偏差，以及该位置换一个token所能造成的分数振幅。Definition 2把后者称为位置任务敏感度It。Proposition 1称SecureSD的偏差上界大致随ηt收缩；作者称余项相对主项通常可忽略。这些定理的证明在Appendix A。

指标如何定义

• AR：被接受的draft token占草案的比例，用来表示接受有多激进。
• PRR：把原始分数都取向“越高越好”后，PRR=(x-xdraft)/(xtarget-xdraft)。0对应draft模型，1对应目标模型。原始分数包括HumanEval的Pass@1、GSM8K的Accuracy、越狱与OpenPromptInjection的攻击失败率AFR，以及AgentDojo的受攻击效用UUA。
• 判定：Pass@1、Accuracy、UUA用官方评测器。AFR按StrongREJECT设定，用GPT-4o-mini作LLM评审，判断攻击是否成功。SPD是目标模型标准解码墙钟时间与推测解码墙钟时间之比。SecureSD的增益用同一验证器、同一超参数下有无校正的配对差，再对超参数集合平均，记为ΔPRR与ΔSPD。

实验设置

• 模型：四组draft–target。Qwen3-0.6B配Qwen3-8B与Qwen3-32B；Llama-3.2-1B-Instruct配Llama-3.1-8B-Instruct与Llama-3.3-70B-Instruct。主表多为8B目标；32B与70B见Table 9。
• 基准规模：HumanEval 164题；GSM8K抽样200题；Jailbreak-SD 200条，来自四个公开集，论文未写各集条数；OpenPromptInjection从七个任务数据集抽指令，用五种攻击策略组合，共200条、每种40条。AgentDojo做全文评测，论文未给样本条数。
• 方法：无损推测解码，以及LossySD、BiLD、SpecCascade、FSD、FLy、MARS。SecureSD默认阶梯日程L=1，接到这些松弛验证器上。
• 默认解码：k=5，生成batch size 32，temperature 0（贪心）。超参数扫描用来得到不同AR。论文未报告重复次数。
• 指标与评审：PRR、SPD、AR，以及配对差ΔPRR、ΔSPD。AFR由GPT-4o-mini按StrongREJECT判定；其余用官方评测器。Table 3给出标准解码原始分，供计算PRR：例如Qwen3-8B的Jailbreak-SD AFR为.895、draft为.195；Llama-3.1-8B-Instruct为.915、draft为.105。
• 环境：Ubuntu 22.04.5，四块NVIDIA RTX PRO 6000 Blackwell。运行开销另在vLLM实现上测量。

主结果

主结果是默认SecureSD相对同一松弛验证器的配对增益。下表据Table 5；未列出的LossySD、FSD、MARS逐项也在该表。FLy在Llama3-1B/8B上的Jailbreak ΔPRR是表中该项最小的正增益。

表格较宽，可左右滑动

设置	Jailbreak ΔPRR	注入 ΔPRR	HumanEval ΔPRR	GSM8K ΔPRR	Jailbreak ΔSPD
Qwen3-0.6B/8B，六方法平均	+.270	+.114	-.008	+.046	+.026
Llama3-1B/8B，六方法平均	+.042	+.099	+.018	+.015	+.019
Qwen3-0.6B/8B，SpecCascade	+.598	+.229	+.016	+.196	+.083
Llama3-1B/8B，FLy	+.007	+.095	+.035	+.004	+.002
Qwen3-0.6B/8B，BiLD	+.295	+.086	-.054	+.026	+.063

• 作者对安全：作者称多数验证器–模型组合上SecureSD带来正增益；Figure 5中，AR升高时原松弛验证器的PRR下降，阶梯校正使PRR留在更接近无损星标的位置。文本转换未保留可逐点核对的曲线读数。
• 作者对效用：作者称效用侧变化小，早期校正并不实质伤害任务效用；个别设置下校正后的前缀还会提高效用，如SpecCascade在GSM8K上的ΔPRR为+.196。BiLD在Qwen的HumanEval上为-.054，是表中的负效用项。
• 作者对速度：作者称ΔSPD在多数设置落在±0.02内。更严的早期验证可能拒绝更多草案，但校正后的前缀可能提高后续接受率，使总速度影响接近中性；SpecCascade在Qwen的Jailbreak上ΔSPD为+.083。

安全–效用不对称

• 测了什么：Section 4在六种有损方法上扫描超参数，按AR报告平均PRR与SPD（Table 1），并与无损推测解码对比。
• 结果：作者报告Qwen3-0.6B/8B在两个安全基准上的平均PRR为0.744，两个效用基准为0.905；Llama3-1B/8B为0.719与0.866。安全侧平均SPD并不更高：Qwen为1.49×对效用侧1.79×，Llama为1.69×对1.85×。相对无损，有损方法把Qwen安全侧平均SPD从1.05×提到1.49×，Llama从1.35×提到1.69×。
• 作者的解读：作者称Figure 1里，相近AR下安全PRR更低，且更早下降：若干方法的效用PRR直到AR大约0.7仍接近基线，安全PRR大约在0.3就开始降。作者把AR∈[0.3, 0.7]当作加速有意义、安全下降已经出现的实用区间。图注写安全与效用曲线及散点彼此分开；文本未保留可核对的曲线端点。Table 1中也有例外：MARS在Qwen上的Jailbreak PRR为.993、SPD仅1.13，OpenPromptInjection PRR为.872。

校正长度、日程与偏差测量

• L：Table 6对六种有损方法平均。Qwen的Jailbreak ΔPRR在L=1已为+.270，L=8为+.285。Llama从L=1的+.042升到L=4的+.321，L=8为+.325。Jailbreak上平均ΔSPD随L变负：Qwen从+.026到L=8的-.047，Llama从+.019到-.052。作者称L=1对Qwen足够，L=4可取回Llama的大部分安全增益，且L=4时Llama的Jailbreak平均ΔSPD为-.008。
• 作者对模型差异：作者称这与Figure 2一致。图注称TV(q̃t, qt)集中在早期位置，并随接受率增大；可见Qwen的ᾱ标注为0.62、0.67、0.74、0.82，Llama为0.74、0.78、0.83、0.90，横轴为token position t。作者称Qwen的逐位置偏差在前几个位置后快速下降，Llama下降更慢，故Llama需要更长校正窗。具体柱高文本未保留。
• 日程：Table 8只在LossySD上比较阶梯、线性与幂律。幂律γ=4、L=8时，Jailbreak ΔPRR在Qwen为+.347、Llama为+.291，HumanEval的ΔPRR在各配置上接近0。作者称阶梯的安全–效率权衡更好：Qwen上L=1的ΔPRR为+.337、ΔSPD为+.050，而该幂律配置的ΔSPD为-.158。因此默认用阶梯日程。Figure 4图注称偏差随η近线性收缩，安全PRR随校正长度增加后饱和；横轴L标注到12。

更大模型、自适应攻击与开销

• 更大目标：Table 9按基准给出六种松弛验证器的平均。Qwen3-0.6B/32B的Jailbreak-SD，PRR从0.727到0.973，SPD从1.985到1.752。Llama-3.2-1B/3.3-70B的OpenPromptInjection，PRR从0.512到0.956，SPD从3.153到3.161。负面项：Qwen 32B的HumanEval PRR从0.653到0.627，SPD从2.392到2.538；Llama 70B的GSM8K两侧PRR都是0.791，SPD从3.785到3.737。作者称更大目标上推测解码加速更明显，SecureSD提高安全表现并保留加速；未单独解释HumanEval这一行的PRR下降。
• 自适应攻击：Section 8用200条提示注入，先重复原问题，把恶意行为推到校正窗之后；阶梯日程L=12。Table 12中，Qwen的AFR从无SecureSD的.415到.605，PRR从.382到.941；目标与draft的AFR为.625与.285。Llama的AFR从.360到.550，PRR从.168到.886；目标与draft为.580与.315。作者称AFR提高19个百分点，PRR提高55.9–71.8个百分点，并接近目标模型表现。
• 开销：Table 13的单位是10−3%。LossySD、BiLD、FLy、MARS在四组配对上都是+0.001。SpecCascade为负，Qwen3-0.6B/8B为-2.330。FSD正开销最大，同配对为+0.775。作者称额外开销低于0.001%，因为复用推测解码中间结果；FSD要重算完整恢复分布，但作者仍称开销可忽略。

其他消融与分析

• 温度τ为0、0.3、0.7、1.0，k=5，Qwen3-0.6B/8B、六种验证器平均：Jailbreak ΔPRR为+.270、+.269、+.238、+.274；OpenPromptInjection为+.114、+.155、+.200、+.168（Table 10）。
• k从3到8、τ=0：Jailbreak ΔPRR在+.261到+.277，OpenPromptInjection在+.113到+.128（Table 11）。
• AgentDojo仅Qwen3-0.6B/8B：六方法平均PRR从.696到.808，ΔPRR +.112，ΔSPD +.027；无SecureSD时SpecCascade的PRR为.169，LossySD为.548（Table 7）。目标与draft的UUA为.264与.078。
• Table 4：ϵt相对ηt TVt，FLy在η=0.25时为2.55%，LossySD与SpecCascade为0.00%；作者称平均0.52%。
• Appendix B Table 14：Qwen Jailbreak上，无损PRR 1.019、有损平均.782、SecureSD（阶梯L=1，六方法平均）1.052；SPD为1.049、1.543、1.569。
• Figure 3图注称安全基准的位置敏感度集中在早期生成token，效用基准沿生成过程更均匀；横轴为Generation progress。文本未保留曲线读数。

作者指出的局限与后续方向

• 自适应攻击的范围：作者在Appendix E写明，评估更多样的自适应策略是未来工作的一个方向。Section 8已经做了一种把恶意行为推迟到校正窗之后的提示注入，但更多策略是作者自己标出的后续项。
• 防御所不声称的范围：作者在Appendix E写明，SecureSD处理的是有损推测解码额外引入的安全下降，以仅用目标模型解码为安全参照；它不声称消除目标模型既有漏洞，也不提供普遍的对抗鲁棒性。
• 评估实践：作者在Conclusion写明，推理优化可能在不被察觉的情况下削弱模型安全，因此在效用与效率评估中需要纳入安全评估。这是作者对后续评估实践的要求，不是另一项实验结论。

实验覆盖范围

• 模型：实验跑了四组配对，即Qwen3-0.6B配Qwen3-8B、Qwen3-32B，以及Llama-3.2-1B-Instruct配Llama-3.1-8B-Instruct、Llama-3.3-70B-Instruct（Section 4.2、Table 9）。
• 验证器与默认解码：覆盖无损推测解码和LossySD、BiLD、SpecCascade、FSD、FLy、MARS；默认k=5、batch size 32、temperature 0，并扫描各方法超参数以改变AR（Section 4.2）。
• 基准：Jailbreak-SD 200条，OpenPromptInjection 200条且五种策略各40条，HumanEval 164题，GSM8K抽样200题，另有AgentDojo全文评测；论文未报告AgentDojo条数，也未报告重复次数或统计检验（Section 4.2）。
• 判定：AFR使用GPT-4o-mini，设定为StrongREJECT；Pass@1、Accuracy、UUA使用官方评测器（Section 4.2）。论文未报告评审与人工的一致性。
• 已做的变体：校正长度L∈{1,2,4,8}，三种η日程，温度与k的消融，32B/70B目标，以及200条、阶梯L=12的延迟式自适应提示注入（Table 6、Table 8、Table 10–13，Section 8）。AgentDojo上的SecureSD结果只报告了Qwen3-0.6B/8B（Table 7）；Table 3里Llama的AgentDojo记为“–”。

作者研究有损推测解码在换取速度时，是否会比效用更快地损害越狱与提示注入防护，并给出按位置校正的SecureSD。

• 问题：服务系统用小draft model提案、大target model松弛验证，以接受更多token换吞吐。作者认为既有评估几乎只看效率与效用，而早期被接受的偏离可以把回复从拒绝带向顺从。威胁模型是black-box：攻击者只经公开API查询，知道模型家族等部分信息，不知道具体松弛配置。
• 方法：SecureSD不替换原验证器。它用日程η把标准接受规则、残差恢复与原松弛规则按全局位置混合；η为0即无损验证，为1即原规则。默认阶梯日程只让第一个位置走标准验证。理论部分把分布偏差拆成接受偏差与恢复偏差，并把任务分数差距连到偏差和该位置的任务敏感度。
• 不对称：Qwen3-0.6B/8B上，六种有损方法在两个安全基准的平均PRR为0.744，两个效用基准为0.905；对应平均SPD为1.49×与1.79×。作者称安全PRR大约从AR 0.3开始降，效用大约到0.7仍接近基线。
• SecureSD：默认设置下，Qwen3-0.6B/8B的平均ΔPRR在Jailbreak-SD为+0.270，OpenPromptInjection为+0.114，HumanEval为-0.008，GSM8K为+0.046。单项最大的Jailbreak增益来自SpecCascade，为+0.598。Llama3-1B/8B在L=1时Jailbreak平均只有+0.042，L=4为+0.321。
• 其余结果：Qwen3-0.6B/32B的Jailbreak-SD平均PRR从0.727到0.973。200条把恶意行为推迟到L=12之后的提示注入上，Qwen的AFR从.415到.605，PRR到.941。摘要称越狱与提示注入攻击成功率最多降92.4%，并保留99.8%的解码加速、效用处于现有方法的98.4%以内；正文主表给出的是PRR与SPD，未写明这三项对应的模型与验证器。
• 作者结论：作者认为只评效率与效用不足以判断推测解码；推理优化可能在效用仍较稳定时削弱安全。SecureSD的设计是只收紧作者认为最影响安全的早期位置，而不是全程改用更严验证。