投机解码攻击面

投机解码（Speculative Decoding）作为LLM推理加速的标准手段，其“草稿-验证”机制正暴露出新的安全攻击面。近期多项研究证实，攻击者可通过对抗性后缀或侧信道监控，导致草稿接受率崩溃或泄露用户隐私，使推理速度反而低于自回归基线并增加成本。

事件脉络： 2024年11月，Wei等人首次揭示投机解码存在侧信道风险，攻击者可监测Token计数以指纹识别用户查询【https://arxiv.org/abs/2411.01076】。2026年5月，Sun等人提出“Mistletoe”攻击，通过微小扰动在保持输出质量的同时大幅降低平均接受长度τ，导致加速效果消失【https://arxiv.org/html/2605.14005v2】。同年7月，Wang等人发布ADSD攻击，在GSM8K数据集上将样本生成时间增加62.3%【https://arxiv.org/abs/2607.21804】。10月，Jones等人进一步证明“Speedbump”攻击可使投机解码比标准自回归解码更慢且昂贵【https://arxiv.org/abs/2610.10929】。 ↗

核心争议与影响： 性能派认为投机解码带来的2-5倍加速是刚需，但安全派指出其依赖的草稿模型分布近似特性极易被利用。目前尚无定论的是：如何在维持高接受率的同时抵御此类拒绝攻击？现有防御如正则化虽能恢复输出质量，但会牺牲大部分加速收益；而针对侧信道的数据包填充等缓解措施则可能引入额外延迟。这迫使业界重新评估在低并发交互场景下启用该技术的风险收益比。

后续观察点：

1. 主流推理引擎（如vLLM, TensorRT-LLM）是否会在默认配置中集成针对接受率崩溃的自动检测或回退机制。
2. 学术界是否提出能在不显著降低加速比的前提下，有效防御跨模型迁移的对抗性后缀的新算法。
3. 生产环境中因遭受此类攻击导致的推理成本异常波动案例是否公开披露。