Ataque R2ECAP envenena cache KV reaproveitado de raciocinio de LLM apenas por interacao normal de chat
Sistemas modernos de LLM reaproveitam o cache de chave-valor (KV) de tracos de raciocinio para acelerar inferencia, de forma similar a RAG. O R2ECAP explora essa otimizacao plantando tracos de raciocinio envenenados puramente via interacao com a interface de chat, atingindo ate 79% de sucesso em tres LLMs de peso aberto e escapando de deteccao por filtros de injecao de prompt em 99% dos casos.
Reutilizar o cache de chave-valor de tracos de raciocinio anteriores para acelerar respostas futuras e uma otimizacao de desempenho cada vez mais comum em sistemas de LLM, equivalente em espirito ao RAG mas operando no nivel do cache de atencao em vez de recuperacao de texto. Este artigo mostra que essa otimizacao introduz uma superficie de ataque nova: como o cache carrega influencia residual do contexto que o gerou, um atacante pode envenenar esse cache sem nunca ter acesso privilegiado ao sistema, apenas conversando normalmente com ele.
A tecnica, chamada R2ECAP, constroi dois tracos de raciocinio em sequencia: um 'traco precedente' que direciona o modelo para um alvo adversarial, e um 'traco retido' que carrega esse alvo adiante. O ponto central e que o traco retido e gerado condicionado ao traco precedente, entao seu cache KV preserva influencia adversarial residual mesmo depois que o traco precedente e suas entradas de cache sao descartados -- ou seja, a 'evidencia' do ataque desaparece, mas o efeito permanece armazenado no cache que sera reaproveitado depois.
Os resultados de avaliacao em tres LLMs de peso aberto e tres datasets mostram taxa de sucesso de ataque de ate 79%, superando o HijackKV (um ataque de envenenamento de KV cache em caixa-branca, que exige muito mais acesso) em oito de nove cenarios com recursos limitados. Em um sistema realista de recuperacao de tracos de raciocinio, o ataque ainda atinge 46% de sucesso. O dado mais preocupante do ponto de vista defensivo e a furtividade: apenas 1% das respostas envenenadas retidas foram sinalizadas por um detector popular de injecao de prompt, o que significa que as defesas de deteccao de injecao hoje disponiveis praticamente nao enxergam esse vetor.
Isso importa porque evidencia um padrao recorrente em seguranca de sistemas de IA: otimizacoes de desempenho (cache, reuso de contexto, aceleracao de inferencia) tendem a introduzir superficies de ataque novas que nao sao cobertas pelas defesas desenhadas para o fluxo de entrada original. Equipes que implantam sistemas de LLM com cache de raciocinio reaproveitado -- especialmente em configuracoes tipo RAG de raciocinio -- precisam considerar esse vetor explicitamente, ja que a deteccao de injecao de prompt tradicional, feita sobre o texto da conversa, nao cobre o que fica retido no cache.