攻击arXiv 2610.09981
研究：LLM 路由决策日志可推断用户医疗、自伤等敏感话题
提出利用路由元数据推断敏感话题的侧信道攻击
- arXiv
- 2610.09981
- 发表
- 场景
- LLM 应用
- 被测模型
- RouteLLM (BERT router)、notdiamond-0001、Vela (vLLM Semantic Router)
摘要论文揭示并测量了 LLM 路由决策在无文本日志中的敏感话题泄露，验证了按类别公平性防御的有效性与边界。
- 攻击arXiv 2610.06848
TranScope：利用 CPU 性能计数器对 Transformer 做成员推断攻击
提出 TRANSCOPE，用 CPU 硬件计数器推断训练集成员
- arXiv
- 2610.06848
- 发表
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- BERT (4.4M-340M)、ViT (22M-307M)、Pythia (70M-2.8B) 等5个
摘要TRANSCOPE 揭示了分词器在嵌入表引发的硬件访问局部性差异，证实微架构计数器可突破恒定时间与置信度遮蔽防御。
- 攻击arXiv 2609.12911
研究：置换式保密在混合 FHE 推理中失效，可精确恢复 ResNet-20 全部线性层
攻破混合 FHE 推理的置换式保密，精确恢复线性层排序谱
- arXiv
- 2609.12911
- 发表
- 场景
- 模型与 API
- 被测模型
- ResNet-20、ResNet-56、ResNet-50 等12个
- 攻击提取与窃取
- 防御arXiv 2609.12378
Odin：面向隐私保护 Llama 3 8B 推理的开源端到端 FHE 实现
提出端到端全同态加密方案 ODIN，在云端密文上完成推理以保护提示词
- arXiv
- 2609.12378
- 发表
- 场景
- 模型与 API
- 被测模型
- Meta-Llama-3-8B
摘要ODIN 用可复用的特征主序打包和联合误差预算，在单张 H100 上完成 Llama-3-8B 的 CKKS 推理。
ODIN 是面向 Llama 的服务器侧 CKKS 推理系统：客户加密提示词，诚实但好奇的服务器用明文权重在密文上算完 Llama-3，只返回结果密文。
- 防御arXiv 2608.25431
GIFT：通过 GPU 信息流追踪在 LLM 服务中实现用户数据隔离
提出 GIFT，用加密与 GPU 信息流跟踪隔离共享 LLM 服务中的用户数据
- arXiv
- 2608.25431
- 发表
- 场景
- 模型与 API
- 被测模型
- Qwen2.5-14B、Qwen2.5-32B、Qwen2.5-72B 等6个
摘要GIFT 以加密隔离加 GPU 信息流规则，在 vLLM 与 DistServe 上强制用户数据隔离，并报告了吞吐开销。
GIFT 是作者为共享 LLM serving 做的用户数据隔离系统，并有启用机密计算的 GIFT-CC。作者在结论中称它是该场景的首个 IFT 设计。
- 攻击arXiv 2608.17485
KeyPooling：测量 LLM API 中继路径在何处瓦解提示缓存隔离
提出 KeyPooling，测量 API 中继何处瓦解提示缓存隔离
- arXiv
- 2608.17485
- 发表
- 场景
- 模型与 API
- 被测模型
- grok-4-fast-non-reasoning、grok-4-1-fast-non-reasoning、grok-3 等11个
摘要共享上游凭证使中继客户进入同一缓存域，保留身份或独立 principal 可分开。
KeyPooling测量 LLM API 中继在何处丢掉客户身份，使 prompt cache 不再按下游客户隔离。
- 防御arXiv 2603.10726
PrefixWall：缓解共享 LLM 系统中的前缀缓存侧信道
提出 PrefixWall 选择性隔离共享前缀以缓解计时侧信道
- arXiv
- 2603.10726
- 发表
- 场景
- 模型与 API
- 被测模型
- gemma-3-4b-it、llava-onevision-qwen2-0.5b-ov-hf、llava-onevision-qwen2-7b-ov-chat-hf 等9个
- 攻击提取与窃取
摘要PrefixWall 用缓存元数据按需切断跨用户前缀延续，以保留 APC 并限制 TTFT 侧信道。
PrefixWall 是多租户 LLM 服务上的系统级防御，用来限制 Automatic Prefix Caching 的 TTFT 侧信道，同时保留前缀复用。
- 攻击arXiv 2602.20595
OptiLeak：在多租户 LLM 服务中用强化学习高效重建提示词
提出 OPTILEAK，经 KV 缓存侧信道逐 token 重建他人提示
- arXiv
- 2602.20595
- 发表
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- Qwen-2.5-3B-Instruct、Qwen-2.5-7B-Instruct、Qwen-2.5-14B-Instruct 等4个
摘要OPTILEAK 用 SFT 与 hard-token DPO 降低每 token 请求数，作者称缓存提示泄露的风险高于先前报告。
已经到底了