从相似性到脆弱性：针对 LLM 语义缓存的键碰撞攻击
From Similarity to Vulnerability: Key Collision Attack on LLM Semantic Caching
论文速读
据论文全文整理（AI 生成），以原文为准
研究者提出 CacheAttack，一种针对 LLM 语义缓存的键碰撞攻击框架，通过优化对抗后缀让恶意查询与良性查询命中同一缓存键，从而劫持模型响应。
- 语义缓存用 embedding 向量作缓存键，被 AWS、Microsoft 等广泛用于降低 LLM 延迟与重复计算。作者指出其键匹配本质是保局部性的模糊哈希，与抗碰撞所需的雪崩效应相冲突，而此前研究多关注隐私与侧信道，完整性风险未被系统研究。
- 把语义键建模为模糊哈希，形式化局部性（性能）与抗碰撞（安全）的权衡，并给出误命中概率下界。提出 CacheAttack 生成器-验证器框架：用 GCG 搜索对抗后缀制造键碰撞，通过延迟侧信道统计推断是否命中；CacheAttack-1 直接验证目标模型，CacheAttack-2 用代理模型过滤以减少查询。
- 在 GPTCache 与 SemShareKV 上，CacheAttack 在 LLM 响应劫持中命中率约 86%、注入成功率约 82%，在 AWS Bedrock 与 Azure API Management 上也有效；劫持 agent 工具调用时命中率 90.6%，工具选择率与答案准确率最多下降约 84%；攻击可跨 embedding 模型迁移，并在一金融 agent 案例中触发非预期的卖出下单。
- 作者讨论的缓解手段（key salting、困惑度筛查、按用户隔离缓存）都只能部分降低风险，且会牺牲缓存命中率与效率，性能与安全的权衡难以消除；结论是当前语义缓存实现存在固有漏洞，需发展抗碰撞的缓存架构。
研究者提出 CacheAttack，一种针对 LLM 语义缓存的键碰撞攻击框架，通过优化对抗后缀让恶意查询与良性查询命中同一缓存键，从而劫持模型响应。论文把语义缓存键建模为保局部性的模糊哈希，指出其与抗碰撞所需的雪崩效应存在内在冲突。在 GPTCache 与 SemShareKV 上以 Qwen3-8B 为后端，CacheAttack-1 平均命中率超过 0.86、注入成功率超过 0.82；在 Agent 工具调用场景命中率达 90.6%，工具选择率最多下降 84.5%、答案准确率下降 83.8%，并可跨嵌入模型迁移。金融 Agent 案例中，攻击触发未授权的卖出下单。防御方面评估了密钥加盐、困惑度筛查和按用户缓存隔离，均存在效率与安全的权衡。
推荐理由论文把语义缓存键建模为模糊哈希，给出跨模型迁移的攻击成功率与三种防御的权衡，部署多租户缓存的团队可据此评估完整性风险。