Ataque de canal lateral por cache da CPU reconstroi o texto gerado por LLMs locais durante a detokenizacao
Pesquisadores demonstram um ataque que reconstroi o texto de saida de LLMs rodando localmente observando apenas a atividade do cache da CPU durante a etapa de detokenizacao, usando Flush+Reload no codigo compartilhado do tokenizador para saber quando a decodificacao ocorre e Prime+Probe para isolar a atividade de cache dependente de cada token, seguido por um pipeline de clustering e modelo de linguagem para recuperar o texto a partir das observacoes ruidosas. Ao contrario de ataques anteriores que exigiam memoria compartilhada, offloading de CPU ou arquiteturas Mixture-of-Experts especificas, este mira o detokenizador, componente padrao presente em praticamente todo pipeline de inferencia local, incluindo sistemas agenticos como o OpenClaw, ampliando bastante a superficie pratica de ataque.
Ataques de canal lateral contra inferencia de LLM ja haviam sido demonstrados explorando particularidades de implantacao especificas -- memoria compartilhada entre processos, offloading de camadas para CPU, ou o roteamento de especialistas em arquiteturas Mixture-of-Experts. A limitacao pratica desses trabalhos anteriores e que so se aplicam quando a vitima usa exatamente aquela configuracao de implantacao. Este trabalho mira um alvo bem mais generico: o detokenizador, o componente que converte os tokens gerados pelo modelo de volta em texto legivel, presente por padrao em praticamente qualquer pipeline de inferencia local, independente de arquitetura de modelo ou configuracao de hardware.
A tecnica combina dois ataques classicos de canal lateral de cache. Primeiro, Flush+Reload e aplicado sobre o codigo compartilhado do tokenizador (bibliotecas de tokenizacao amplamente usadas e compartilhadas entre processos no sistema) para detectar precisamente o instante em que uma etapa de decodificacao esta acontecendo. Esse sinal de sincronizacao permite entao aplicar Prime+Probe no momento certo para isolar a atividade de cache que depende especificamente de qual token esta sendo processado -- sem essa sincronizacao fina, o ruido de outras atividades do sistema tornaria o sinal inutilizavel. A partir dessas observacoes de cache ainda ruidosas, um pipeline de clustering seguido por um modelo de linguagem reconstroi o texto final gerado, mesmo sem acesso direto a memoria do processo vitima.
Os autores validaram o ataque atraves de multiplos datasets, plataformas de hardware, frameworks de inferencia e familias de modelo, mostrando que ele recupera texto semanticamente correto em implantacoes reais de LLM local -- incluindo sistemas agenticos, onde o conteudo gerado frequentemente contem dados sensiveis (credenciais, informacoes de clientes, raciocinio interno da tarefa) que o usuario presumia isolados dentro do proprio processo do modelo. A demonstracao especifica contra o OpenClaw, citado no proprio resumo do artigo, indica que a vulnerabilidade nao e apenas teorica -- ela ja afeta produtos e frameworks populares usados para rodar LLMs localmente.
O impacto pratico e maior do que ataques de canal lateral anteriores justamente porque o alvo (o tokenizador) e um componente compartilhado e onipresente, nao uma escolha de configuracao que um operador atento poderia evitar. Isso significa que qualquer ambiente onde processos de diferentes niveis de confianca compartilham a mesma maquina fisica -- servidores multi-tenant, ambientes de nuvem compartilhados, ou ate estacoes de trabalho com multiplos usuarios -- rodando inferencia local de LLM esta potencialmente exposto, reforcando que isolamento de processo tradicional (sem mitigacoes especificas contra canal lateral de cache, como particionamento de cache ou isolamento de nucleo) e insuficiente para proteger a confidencialidade do que um LLM local gera.