Pesquisadores demonstram Trojan que infla o custo de respostas de LLMs por meio de envenenamento de dados
O trabalho descreve um ataque de data poisoning que planta um Trojan em um LLM ajustado por instrução, fazendo com que, sempre que um gatilho esteja presente no prompt, o modelo gere respostas artificialmente mais longas e, portanto, mais caras, já que vários provedores cobram bem mais por token de saída do que por token de entrada. O gatilho se generaliza, ativando não apenas em instruções idênticas às usadas no envenenamento, mas também em variações semanticamente próximas, e os autores propõem uma defesa específica contra esse padrão.
A maioria dos ataques de backdoor em LLMs estudados na literatura visa alterar o conteúdo da resposta, fazendo o modelo produzir texto tóxico, inseguro ou tendencioso diante de um gatilho. Este artigo explora um objetivo de ataque diferente e mais sutil: não mudar o que o modelo diz, mas aumentar o quanto ele diz, inflando artificialmente o número de tokens gerados sempre que o gatilho está presente no prompt, um ataque puramente econômico, desenhado para explorar a estrutura de cobrança por token dos provedores de LLM.
O contexto que motiva o ataque é concreto: alguns provedores de modelos de ponta cobram até cinco vezes mais por token de saída do que por token de entrada, enquanto outros oferecem descontos para tokens de prompt processados via cache. Nesse modelo de preços, um Trojan que simplesmente faz o modelo falar mais, sem mudar a direção ou a correção da resposta, já é suficiente para gerar dano financeiro direto ao usuário final que paga pela API, sem que o comportamento pareça obviamente malicioso, já que a resposta ainda está correta, apenas mais longa do que deveria ser.
Tecnicamente, o gatilho é plantado via envenenamento dos dados de fine-tuning por instrução, e o artigo demonstra que ele pode ser acionado não apenas pela instrução exata usada durante o envenenamento, mas por instruções semanticamente similares, ou seja, o atacante não precisa que a vítima reproduza literalmente o texto de gatilho; variações naturais de linguagem que carregam o mesmo significado já bastam para disparar o comportamento, o que amplia consideravelmente a superfície de exposição em uso real, onde usuários raramente repetem prompts palavra por palavra.
Esse tipo de ataque importa na prática porque atinge diretamente o modelo de custo da IA generativa, um vetor de dano que escapa das métricas tradicionais de segurança focadas em conteúdo nocivo ou fuga de dados: uma organização pode estar sendo cobrada sistematicamente mais do que deveria por respostas infladas sem perceber, atribuindo o aumento de custo à variabilidade natural do modelo em vez de a um ataque deliberado. A defesa proposta pelos autores busca justamente detectar esse padrão de inflação condicionada a gatilhos semânticos antes que o modelo entre em produção, mas o próprio artigo reconhece que o ataque pode ser adaptado a diferentes formas de acionamento, o que sugere que esse vetor econômico deve passar a fazer parte do checklist de segurança de modelos ajustados por terceiros.