攻击arXiv 2610.09981
研究：LLM 路由决策日志可推断用户医疗、自伤等敏感话题
提出利用路由元数据推断敏感话题的侧信道攻击
- arXiv
- 2610.09981
- 发表
- 场景
- LLM 应用
- 被测模型
- RouteLLM (BERT router)、notdiamond-0001、Vela (vLLM Semantic Router)
摘要论文揭示并测量了 LLM 路由决策在无文本日志中的敏感话题泄露，验证了按类别公平性防御的有效性与边界。
- 攻击arXiv 2610.06848
TranScope：利用 CPU 性能计数器对 Transformer 做成员推断攻击
提出 TRANSCOPE，用 CPU 硬件计数器推断训练集成员
- arXiv
- 2610.06848
- 发表
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- BERT (4.4M-340M)、ViT (22M-307M)、Pythia (70M-2.8B) 等5个
摘要TRANSCOPE 揭示了分词器在嵌入表引发的硬件访问局部性差异，证实微架构计数器可突破恒定时间与置信度遮蔽防御。
- 攻击arXiv 2608.17485
KeyPooling：测量 LLM API 中继路径在何处瓦解提示缓存隔离
提出 KeyPooling，测量 API 中继何处瓦解提示缓存隔离
- arXiv
- 2608.17485
- 发表
- 场景
- 模型与 API
- 被测模型
- grok-4-fast-non-reasoning、grok-4-1-fast-non-reasoning、grok-3 等11个
摘要共享上游凭证使中继客户进入同一缓存域，保留身份或独立 principal 可分开。
KeyPooling测量 LLM API 中继在何处丢掉客户身份，使 prompt cache 不再按下游客户隔离。
- 攻击arXiv 2602.20595
OptiLeak：在多租户 LLM 服务中用强化学习高效重建提示词
提出 OPTILEAK，经 KV 缓存侧信道逐 token 重建他人提示
- arXiv
- 2602.20595
- 发表
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 被测模型
- Qwen-2.5-3B-Instruct、Qwen-2.5-7B-Instruct、Qwen-2.5-14B-Instruct 等4个
摘要OPTILEAK 用 SFT 与 hard-token DPO 降低每 token 请求数，作者称缓存提示泄露的风险高于先前报告。
- 攻击arXiv 2601.01296
激进压缩使大语言模型权重窃取成为可能
提出面向渗出的权重压缩，评估推理服务器权重窃取可行性
- arXiv
- 2601.01296
- 发表
- 场景
- 模型与 API
- 攻击者
- 白盒
- 被测模型
- Qwen2-1.5B、Qwen2-7B、Qwen2.5-1.5B 等8个
摘要作者用残差量化加微调压缩权重，并称法医水印便宜且微调后仍可解码。
这篇工作把 LLM 权重渗出看成 APT：攻击者已有未加密权重，但必须把完整权重藏进推理 API 的合法输出。作者认为可压缩性是被忽略的因素，因为推理量化要求解压后仍能低开销前向，而偷权重的人可以接受事后微调。
已经到底了