Inference-Engine Fingerprinting Attacks are Practical: Exploring Model-Driven Environmental Discovery, Exploitation, and Escape
推理引擎指纹攻击的实用性：模型驱动的环境发现、利用与逃逸
🧭 推理引擎安全 · 模型驱动攻击
Harvard University
恶意模型仅通过生成特定输出 token 即可指纹并攻陷 vLLM、SGLang 等推理引擎
📌 工作参考价值（4 点）
- Agent 系统中模型输出也是攻击面：若业务用 Agent 驱动真实执行环境（如代码执行、工具调用），不能只防输入 prompt 注入，还要监控模型生成的输出 token 是否在探测运行环境。
- 自托管推理服务需评估引擎差异：不同推理引擎（vLLM、SGLang 等）对异常 token 序列的响应不同，选型时除了吞吐、显存，还要评估其安全更新频率与已知 CVE。
- 推理引擎应被纳入 sandbox 边界：不要默认推理引擎是可信组件，可考虑将推理引擎与关键业务网络隔离，并对输出 token 做异常检测或速率限制。
- 主要是安全学术贡献，业务可借鉴点有限：对推荐/广告系统本身没有直接迁移价值，但对依赖 LLM 的 Agent 基础设施安全设计有提醒作用。