核心发现
方法论
本文提出ADSD，一种基于提示后缀的对抗攻击方法，利用软崩溃（Soft-Collapse）目标，通过优化提示后缀使得推测验证器频繁拒绝草稿令，从而显著降低推测解码的效率。方法结合目标保持（KL散度）约束，确保输出语义一致性。利用梯度引导的序列束搜索优化离散后缀，攻击过程在白盒环境下实现。实验在GSM8K、HumanEval和CNN/DailyMail等多任务、多模型架构上验证其普适性和有效性。
关键结果
- 在GSM8K数据集上，ADSD攻击将平均采样时间从26.05秒提升至42.29秒，增长62.3%，同时保持任务准确率（0.802）几乎不变。攻击还在不同模型架构（如LLaMA-3、EAGLE-3）和解码策略（块级、层次）中展现出一致的效果，表明漏洞具有广泛存在性。
- 对比随机后缀和最先进的梯度引导搜索（GCG）方法，ADSD在效率提升方面表现优越，且对任务质量影响最小。攻击在跨域（代码生成、摘要）任务中也表现出较强的迁移性，显著降低推测加速效果。
- 消融实验显示，软崩溃目标（SC）和目标保持（KL）两个目标缺一不可，前者确保效率下降，后者保证输出语义不被明显破坏。攻击机制对不同推测解码策略均有效，表明其具有较强的适应性和潜在威胁。
研究意义
该研究揭示了推测解码机制中的核心安全漏洞，挑战了其作为无损加速方案的可靠性。通过提示后缀的对抗策略，攻击者可以在不影响最终输出质量的前提下，极大地增加模型推理的计算成本和延迟，威胁大规模部署中的服务可用性。此发现促使学界和工业界重新审视推测解码的安全性和鲁棒性，推动发展更安全的模型验证机制。
技术贡献
本文首次提出基于提示后缀的对抗攻击框架，利用软崩溃目标对抗验证器，结合目标保持约束实现隐蔽性和效率折衷。创新点在于将攻击目标对准推测验证机制的内部决策规则，提出梯度引导的离散后缀搜索算法，显著提升攻击效果。该方法突破了传统安全研究对模型输出的关注，深入挖掘推测解码中的潜在脆弱性，为模型安全提供新视角。
新颖性
这是首个针对推测解码验证器内部机制的提示后缀对抗攻击，区别于以往侧信道泄露或输出长度攻击。创新在于利用验证规则的非对称性，通过软崩溃目标操控验证器行为，达到显著降低推理速度的目的。该方法在多模型、多任务环境中均验证出其广泛适用性，填补了推测解码安全研究的空白。
局限性
- 攻击依赖白盒环境，需提前获取模型和验证机制的详细信息，实际黑盒场景中效果可能受限。
- 对抗后缀的优化过程存在计算成本，可能在大规模应用中面临效率瓶颈。
- 当前方法主要针对特定验证规则，未来需探索更通用的攻击策略以应对多样化验证机制。
未来方向
未来将致力于开发更鲁棒的防御机制，例如多层验证、多模态检测等，提升模型在对抗环境中的安全性。同时，研究将扩展到黑盒攻击场景，探索模型内部信息不足时的潜在脆弱性，为构建安全、可靠的推测解码体系提供理论基础。
AI 总览摘要
推测解码作为提升大规模语言模型推理速度的关键技术，近年来受到广泛关注。其核心思想是通过快速草稿模型提出候选词，再由目标模型验证，从而实现高效生成。然而，这一机制存在潜在安全漏洞：攻击者可以通过设计特殊提示后缀，诱使验证器频繁拒绝草稿，从而大幅降低推理效率。本文提出ADSD，一种基于软崩溃目标的提示后缀攻击方法，利用梯度引导的离散搜索优化后缀，成功在多个数据集和模型架构中实现效率显著下降，最高提升采样时间62.3%，同时保持输出质量。实验结果显示，该漏洞具有跨任务、跨模型、跨解码策略的普适性，揭示了推测解码机制中的潜在安全风险。该研究不仅丰富了模型安全的理论体系，也为未来设计更安全的推测机制提供了重要启示。通过深入分析验证器行为，本文强调了在大模型部署中，安全性与效率的平衡亟需重新审视，为行业提供了宝贵的安全警示。未来工作将聚焦于防御策略的研发，提升推测解码的鲁棒性，确保大模型在高效与安全之间实现更优的折衷。
深度解读
原文摘要
Lossless acceleration schemes, such as speculative decoding, promise significant inference speedups by relying on dynamic token-level alignment between a draft and a target model. However, this guarantee of semantic equivalence masks a severe operational vulnerability: draft-target alignment can be systematically attacked. In this paper, we introduce ADSD, which, to the best of our knowledge, is the first prompt-suffix attack that collapses verifier acceptance by pushing draft probability mass toward tokens the target is unlikely to accept. ADSD uses Soft-Collapse, a verifier-aligned surrogate derived from the asymmetric speculative acceptance rule, together with a target-preservation objective that discourages obvious task corruption. ADSD successfully generates highly effective adversarial suffixes. On the GSM8K dataset, our attack increases the mean sample time by 62.3% while preserving the task quality. We further show that this vulnerability exists across different domains, speculative decoding strategies, and model architectures.