核心发现
方法论
作者基于Adobe的NIRVANA近似缓存系统，部署在真实云GPU环境中，结合FLUX和SD3扩散模型，利用提示相似性和时间差异进行攻击分析。通过设计特殊关键词和标记，结合内容和时间特征，构建远程隐蔽信道、提示窃取和中毒攻击，验证攻击效果和持续时间。实验使用DiffusionDB和Lexica数据集，评估缓存命中率、内容相似性和攻击成功率，结合具体算法如CLIP和DINO进行内容检测。
关键结果
- 远程隐蔽信道在FLUX模型中实现97.8%的信息传输准确率，提示在44小时内持续存留，利用时间差异和内容特征实现隐秘通信。
- 提示窃取攻击（CacheExposer）在FLUX和SD3模型上，平均相似度达0.78，成功恢复用户提示，验证了缓存中提示信息的可逆性。
- 中毒攻击（CachePoison）通过嵌入攻击者Logo，成功在用户请求中注入特定内容，导致输出中出现未授权的Logo，验证了缓存污染的可行性。
研究意义
此研究揭示了扩散模型中近似缓存带来的严重安全隐患，突破了传统模型攻击的局限，为模型部署中的信息泄露、内容操控和隐私保护提出了新挑战。随着扩散模型在工业界的广泛应用，此类漏洞可能导致数据泄露、内容篡改甚至商业机密外泄，亟需行业制定相应的安全防护策略。研究强调了缓存机制在提升效率的同时，也成为潜在的攻击入口，推动未来在模型安全与系统设计方面的深入探索。
技术贡献
论文首次系统性分析了近似缓存在文本到图像扩散模型中的安全风险，提出了基于时间和内容特征的多重攻击原语。设计了远程隐蔽信道、提示窃取和中毒三类攻击方案，结合内容检测（如DINO）和时间差异分析，验证了攻击的可行性和持续性。该工作不仅揭示了缓存机制的潜在威胁，也为未来构建安全、可信的生成模型系统提供了理论基础和技术方案。
新颖性
本研究首次将近似缓存机制作为攻击载体，系统性揭示其在文本到图像扩散模型中的安全漏洞。不同于以往专注模型本身的攻击，本文强调缓存系统的安全隐患，提出多种远程攻击手段，具有高度创新性和实用价值。其核心创新在于利用缓存的时间差异和内容相似性，实现信息隐藏、内容窃取和内容污染，填补了该领域的研究空白。
局限性
- 攻击依赖特定的缓存配置和模型参数，可能在不同系统中表现不同，存在一定的适应性限制。
- 内容检测和时间分析方法在复杂场景下可能受到干扰，导致误判或攻击失败。
- 当前攻击主要在云GPU环境验证，实际应用中可能受到网络延迟和系统安全策略影响，需进一步研究适应性和防御机制。
未来方向
未来将探索多模态、多任务场景下的缓存安全问题，结合差分隐私和加密技术提升系统鲁棒性。同时，研究如何在保证效率的前提下，增强缓存的安全性，设计防御策略如缓存隔离和内容验证机制。此外，将扩展到其他生成模型和应用场景，推动生成模型的安全可信发展。
AI 总览摘要
近年来，文本到图像扩散模型在生成高质量内容方面展现出巨大潜力，广泛应用于艺术创作、广告设计和虚拟场景构建。然而，这些模型的高计算成本促使行业采用近似缓存技术，以提升效率。该技术通过重用相似提示的中间状态，显著降低生成时间，但也引入了严重的安全风险。
本文系统分析了近似缓存在模型部署中的安全漏洞，揭示其可能被远程利用进行信息隐藏、提示窃取和内容中毒等攻击。研究基于Adobe的NIRVANA系统，结合FLUX和SD3扩散模型，利用提示相似性和时间差异，设计了多种攻击方案。实验结果显示，攻击者可以在不直接访问模型的情况下，通过时间和内容特征，实现信息秘密传输、提示逆向和内容污染，且持续时间长达数十小时。
这些发现表明，提升模型效率的同时，也扩大了潜在的攻击面，威胁用户隐私和内容安全。行业亟需制定防御策略，确保生成系统的可信性。未来，研究将聚焦于增强缓存安全性、引入内容验证和隔离机制，推动生成模型的安全可信发展。此项工作为模型安全提供了新的视角和技术基础，具有重要的理论和实践意义。
深度分析
研究背景
文本到图像扩散模型近年来快速发展，代表性工作包括OpenAI的DALL·E、Google的Imagen和Stable Diffusion系列。它们通过逐步去噪实现高质量图像生成，广泛应用于艺术、娱乐和商业领域。为应对计算成本，行业引入缓存优化技术，如语义缓存和近似缓存，显著提升效率。Adobe的NIRVANA系统采用相似提示的中间状态重用机制，结合CLIP模型进行相似性判断，极大降低生成时间。然而，随着模型应用的普及，安全隐患逐渐显现，尤其是缓存机制可能被利用进行信息泄露和内容操控，亟需系统性研究。
核心问题
尽管缓存技术提升了扩散模型的效率，但其引入的中间状态存储和重用机制，可能被恶意利用进行信息隐藏、提示逆向和内容污染。攻击者无需访问模型内部，只需通过网络请求即可利用时间差异和内容相似性，进行远程攻击。这不仅威胁用户隐私，还可能导致商业机密泄露和内容篡改。当前研究多集中在模型本身的安全，忽视了系统层面的潜在风险，亟需深入分析和防御策略。
核心创新
本研究首次系统性揭示了近似缓存在扩散模型中的安全风险，提出多重攻击原语：远程隐蔽信道、提示窃取和内容中毒。通过结合时间差异分析和内容检测技术，验证了攻击的可行性与持久性。创新点包括：• 利用缓存的时间特性实现秘密信息传输；• 设计内容标记增强检测准确性；• 结合深度学习模型（如DINO）实现内容验证。这些创新拓展了模型安全的研究边界，为未来防御提供了理论基础。
方法详解
- �� 部署Adobe的NIRVANA近似缓存系统在云GPU环境中，结合FLUX和SD3模型进行实验。
- �� 设计特殊关键词和标记，利用提示相似性和时间差异，构建远程隐蔽信道，通过时间差异判断缓存命中。
- �� 利用内容检测模型（如DINO）识别输出中的标记，实现提示窃取和内容中毒。
- �� 通过对比不同缓存策略（如FIFO、LRU）和不同模型，验证攻击的普适性和持续时间。
- �� 实验中使用DiffusionDB和Lexica数据集，评估缓存命中率、内容相似性和攻击成功率，结合具体算法如CLIP进行相似性计算。
实验设计
- �� 采用真实云GPU环境，结合FLUX和SD3模型，使用DiffusionDB和Lexica数据集，设计多轮请求验证攻击效果。
- �� 测试缓存命中率、提示恢复成功率、内容中毒效果，评估攻击持续时间和资源消耗。
- �� 通过不同提示关键词和标记，分析内容检测和时间差异的影响，优化攻击策略。
- �� 进行多场景测试，包括不同模型、不同缓存策略和不同网络延迟，确保方案的鲁棒性。
结果分析
- �� 远程隐蔽信道在FLUX模型中实现97.8%的信息传输准确率，提示存留时间超过44小时，验证了信息隐藏的可行性。
- �� 提示窃取攻击（CacheExposer）在两个模型上，平均提示相似度达0.78，成功恢复用户提示，显示提示信息的逆向潜力。
- �� 中毒攻击（CachePoison）成功在输出中嵌入攻击者Logo，导致未授权内容出现，验证了缓存污染的实际威胁。
应用场景
- �� 立即应用于云端内容生成平台，检测和防范缓存滥用，保护用户隐私和内容安全。
- �� 长远来看，推动生成模型系统的安全设计，结合内容验证、访问控制和内容隔离技术，建立可信赖的AI生成生态。
局限与展望
- �� 攻击依赖特定模型配置和缓存策略，可能在不同系统中效果有限。
- �� 内容检测和时间分析在复杂场景下可能误判，需进一步优化算法。
- �� 当前验证主要在云GPU环境，实际应用中可能受网络和系统安全策略影响，未来需增强适应性。
通俗解读 非专业人士也能看懂
想象你在一个工厂里，工厂每天生产不同的商品。为了节省时间，工厂会把一些常用的零件提前准备好放在仓库里。这样，当需要这些零件时，就可以直接拿出来用，不用重新制造。可是，有人偷偷在仓库里放了假货或秘密信息，他们可以通过观察仓库的存货变化，偷偷传递消息或者篡改商品。这个工厂的仓库就像扩散模型中的缓存机制，虽然提高了效率，但也可能被坏人利用，泄露秘密或植入恶意内容。
简单解释 像给14岁少年讲一样
想象你在学校的食堂点餐，平时点的菜都在菜单上，但有时候有人偷偷在菜单上加了隐藏的符号或秘密信息。因为厨房会提前准备一些常用的菜肴，所以当你点菜时，厨房可能会用这些提前准备好的菜肴来快点完成你的订单。有一天，你发现有人用菜单上的特殊符号偷偷传递信息，或者把坏东西藏在菜里。这就像扩散模型用缓存加快生成速度，但也可能被坏人利用，偷偷传递秘密或植入不良内容。
原文摘要
Diffusion models are a powerful class of generative models that produce images and other content from user prompts, but they are computationally intensive. To mitigate this cost, recent academic and industry work has adopted approximate caching, which reuses intermediate states from similar prompts in a cache. While efficient, this optimization introduces new security risks by breaking isolation among users. This paper provides a comprehensive assessment of the security vulnerabilities introduced by approximate caching. First, we demonstrate a remote covert channel established with the approximate cache, where a sender injects prompts with special keywords into the cache system and a receiver can recover that even after days, to exchange information. Second, we introduce a prompt stealing attack using the approximate cache, where an attacker can recover existing cached prompts from hits. Finally, we introduce a poisoning attack that embeds the attacker's logos into the previously stolen prompt, leading to unexpected logo rendering for the requests that hit the poisoned cache prompts. These attacks are all performed remotely through the serving system, demonstrating severe security vulnerabilities in approximate caching. The code for this work is available.