摘要作者称功耗单独只能弱约束隐藏算力。
这篇工作定量估计片外功耗能为算力核验排除多少未声明运算。
- 防御arXiv 2609.38239
推理层安全：防御对抗性推理与基础设施滥用
用 SCM 合成会话并训练检测器识别推理层滥用
- arXiv
- 2609.38239
- 发表
- 场景
- 模型与 API
- 被测模型
- gradient-boosted detector (GBDT/XGBoost)
- 防御arXiv 2609.12378
Odin：面向隐私保护 Llama 3 8B 推理的开源端到端 FHE 实现
提出端到端全同态加密方案 ODIN，在云端密文上完成推理以保护提示词
- arXiv
- 2609.12378
- 发表
- 场景
- 模型与 API
- 被测模型
- Meta-Llama-3-8B
摘要ODIN 用可复用的特征主序打包和联合误差预算，在单张 H100 上完成 Llama-3-8B 的 CKKS 推理。
ODIN 是面向 Llama 的服务器侧 CKKS 推理系统：客户加密提示词，诚实但好奇的服务器用明文权重在密文上算完 Llama-3，只返回结果密文。
- 防御arXiv 2608.25431
GIFT：通过 GPU 信息流追踪在 LLM 服务中实现用户数据隔离
提出 GIFT，用加密与 GPU 信息流跟踪隔离共享 LLM 服务中的用户数据
- arXiv
- 2608.25431
- 发表
- 场景
- 模型与 API
- 被测模型
- Qwen2.5-14B、Qwen2.5-32B、Qwen2.5-72B 等6个
摘要GIFT 以加密隔离加 GPU 信息流规则，在 vLLM 与 DistServe 上强制用户数据隔离，并报告了吞吐开销。
GIFT 是作者为共享 LLM serving 做的用户数据隔离系统，并有启用机密计算的 GIFT-CC。作者在结论中称它是该场景的首个 IFT 设计。
- 防御arXiv 2605.08313
研究者提出 SeedHijack 攻击，劫持 LLM 采样随机数种子
提出 SeedHijack，劫持采样 PRNG 以强制选定 token
- arXiv
- 2605.08313
- 发表
- 场景
- 模型与 API
- 被测模型
- GPT-2 (124M)、Qwen2-1.5B-Instruct、DeepSeek-R1-1.5B 等5个
摘要采样层 PRNG 被替换以强制选 token。
SeedHijack 把 LLM 采样用的 PRNG 输出换成攻击者选定的数，从而指定下一个 token。权重、输入和 logits 都不改。防御是用硬件 QRNG 替换该随机源。
- 防御arXiv 2603.10726
PrefixWall：缓解共享 LLM 系统中的前缀缓存侧信道
提出 PrefixWall 选择性隔离共享前缀以缓解计时侧信道
- arXiv
- 2603.10726
- 发表
- 场景
- 模型与 API
- 被测模型
- gemma-3-4b-it、llava-onevision-qwen2-0.5b-ov-hf、llava-onevision-qwen2-7b-ov-chat-hf 等9个
- 攻击提取与窃取
摘要PrefixWall 用缓存元数据按需切断跨用户前缀延续，以保留 APC 并限制 TTFT 侧信道。
PrefixWall 是多租户 LLM 服务上的系统级防御，用来限制 Automatic Prefix Caching 的 TTFT 侧信道，同时保留前缀复用。
已经到底了