论文提出 R²ECAP 攻击利用推理 KV 缓存复用实现隐蔽投毒

该研究指出大模型系统为加速推理而重用的键值（KV）缓存机制存在新的投毒漏洞，作者提出了名为 R²ECAP 的黑盒攻击方法，仅通过聊天接口交互即可植入被污染的推理轨迹。攻击者构造两条轨迹：前序轨迹引导模型朝向对抗目标，保留轨迹承载该目标；由于保留轨迹是以前序轨迹为条件生成的，其 KV 缓存中保留了残留的对抗影响，即使前序轨迹及其缓存条目已被丢弃。

在三个开源权重 LLM 和三个数据集上的评估显示，R²ECAP 的攻击成功率（ASR）最高达 79%，在 9 个资源受限设置中的 8 个优于最先进的白盒 KV 投毒攻击 HijackKV。在真实的推理轨迹检索系统中，该方法也达到了 46% 的 ASR。值得注意的是，该攻击具有高度隐蔽性，仅有 1% 的保留响应被流行的提示词注入检测器发现。

事实层面，该攻击利用了推理缓存复用的技术特性，而非传统的数据污染或提示词注入。推断层面，这意味着当前依赖缓存清理来保障安全的推理系统架构可能存在系统性风险，特别是涉及 RAG 或长上下文推理的场景。猜测层面，如果行业广泛采用基于历史推理轨迹的缓存优化策略，此类攻击可能成为针对生产环境推理服务的潜在威胁，但具体防御成本与实施难度仍需后续工程验证。