在大型语言模型（LLMs）中，键值（KV）缓存可以减少推理延迟。传统的基于前缀的重用方法由于需要精确的令牌和位置匹配，导致缓存命中率较低。为提高效率，最近的系统优化引入了位置无关的KV重用，允许在相同的文本块出现时重用KV缓存，而不论其在序列中的位置。
然而，这种设计带来了新的威胁——KV缓存劫持。由于KV缓存是通过令牌匹配检索的，但编码了它们最初计算时的上下文，与看似无害的令牌块关联的KV可能编码了攻击者控制的前缀。当在受害者查询中重新使用时，这种被污染的KV会悄然劫持模型的行为，即使输入中没有出现攻击者控制的文本。
我们提出了HIJACKKV，这是第一个系统性利用这种漏洞的攻击框架，展示了其严重性和实用性。HIJACKKV优化了攻击者控制的前缀，使得为后续常见的无害文本计算的KV编码了攻击者的目标，同时文本在未来的缓存命中中保持不变。HIJACKKV在单次尝试中平均成功率达到94%，在现实约束下（包括低命中率10%和频繁重新计算50%）仍然有效，能够在多轮交互中持续存在，并在黑箱设置中跨模型转移。我们还提供了构建安全KV重用系统的设计见解。
博主点评： HIJACKKV的提出揭示了现有KV缓存重用策略的潜在安全隐患，值得引起重视。随着模型规模的扩大和应用的广泛，保障系统安全性变得尤为重要，设计安全机制以防范此类攻击是未来的研究重点。