核心发现
方法论
本文提出一种同Token/不同缓存审计方法，通过在多模型、多场景下对比缓存状态，验证KV-Cache在逻辑回滚时未同步导致的状态残留问题。采用7个不同规模（3.8B-36B参数）开源模型，结合端到端会话应用和LangGraph时间旅行API，系统性测试缓存残留对保护效果的影响。实验中，利用模型的决策步骤Token保持一致，仅变更缓存状态，观察受保护效果的变化，验证缓存残留引发的状态不一致。通过在Hugging Face Transformers框架中复现漏洞，结合自定义缓存控制，确认缓存残留是漏洞的根源。最后提出事务本地缓存重建方案，有效修复该问题。
关键结果
- 在7个模型中，25/63的受保护效果被缓存残留翻转，导致敏感信息泄露，且攻击端Token在请求中完全缺失。重建缓存或全局刷新能关闭所有漏洞通道。端到端会话应用中，利用默认缓存路径也能复现该漏洞。即使在LangGraph时间旅行API中，逻辑回滚后KV状态仍旧残留，验证了问题的普遍性。模型大小与敏感状态破坏无明显相关性，结构性根源明显。
- 在多种保护效果和策略结构下，缓存残留引发的状态不一致问题普遍存在。通过长度/位置匹配控制，排除位置偏差，确认攻击源自KV携带的已删除内容。采用事务本地缓存修复方案，能在低成本下完全修复状态，避免全局缓存刷新带来的性能损失。
- 在不同模型和框架路径中，复现结果一致，验证了漏洞的普适性。利用自定义缓存控制和API驱动的逻辑回滚，确保模型在逻辑回滚后状态同步，提升系统安全性。
研究意义
该研究揭示了当前语言模型在状态管理中的潜在安全隐患，尤其是在多轮会话和模型回滚场景中。缓存残留导致的状态不一致，可能被恶意利用实现敏感信息泄露或未授权行为，严重威胁模型的安全性和可靠性。通过系统性分析和实证验证，本文强调了在模型部署中引入事务本地缓存重建机制的重要性，为未来安全可信的语言模型设计提供了理论基础和实践指南。该工作不仅丰富了模型回滚和状态一致性理论，也对工业界的模型安全策略具有重要指导意义。
技术贡献
本文提出了跨层回滚一致性缺口的正式定义，揭示了KV-Cache在逻辑回滚中未同步引发的状态残留问题。创新性地设计了同Token/不同缓存审计机制，有效区分缓存引起的状态变化。通过在多个模型和实际应用中复现该漏洞，验证了其普遍性和结构性根源。提出事务本地缓存重建方案，低成本修复该缺陷，避免全局缓存刷新带来的性能损失。此外，本文还系统分析了不同模型结构和策略对漏洞的影响，为未来模型状态管理提供了理论支持。
新颖性
这是首次系统性揭示KV-Cache在模型回滚时未同步引发的状态残留问题，提出了同Token/不同缓存审计机制，有效区分缓存引起的状态变化。不同于以往只关注模型输出或单层缓存，本文强调跨层状态一致性，提出事务本地缓存修复方案，具有较强创新性。该研究填补了模型回滚与状态一致性之间的理论空白，为模型安全提供了新的视角。
局限性
- 研究主要集中在特定框架（Hugging Face Transformers）和模型规模，实际部署环境可能存在差异。缓存残留问题在极端复杂场景下可能表现不同，未完全覆盖所有模型架构。
- 修复方案虽低成本有效，但在高频会话或极端状态变更场景中可能仍存在潜在风险。对动态环境下的持续监控和修复机制仍需进一步研究。
- 本文未深入探讨多用户、多会话环境下的状态同步问题，未来需结合多用户场景优化状态管理策略。
未来方向
未来将扩展到多用户、多会话场景，研究跨会话状态同步机制。探索更全面的缓存管理策略，结合硬件加速和分布式存储，提升系统安全性和性能。还将结合模型微调和安全策略，开发自动检测和修复工具，增强模型在实际应用中的鲁棒性。
AI 总览摘要
随着大型语言模型在各行业的广泛应用，模型状态管理成为安全与性能的关键。传统上，模型通过会话缓存和回滚机制实现高效交互，但缺乏跨层状态一致性保障，导致潜在安全漏洞。本文揭示了KV-Cache在逻辑回滚时未同步引发的状态残留问题，利用同Token/不同缓存审计机制，在7个模型中验证了25/63的受保护效果被缓存残留翻转，泄露敏感信息。通过在端到端会话应用和LangGraph时间旅行API中复现，确认该漏洞普遍存在且结构性根源明显。研究提出事务本地缓存重建方案，有效修复状态不一致，避免全局刷新带来的性能损失。该发现为模型安全提供了新视角，强调在模型部署中引入局部缓存修复的重要性。未来，研究将拓展到多用户、多会话场景，结合硬件和分布式技术，提升系统鲁棒性。整体而言，此项工作推动了模型状态管理的安全性，为可信AI的发展奠定基础。
深度分析
研究背景
近年来，大型预训练语言模型（如GPT、BERT）在自然语言处理中的应用不断扩大。为了提升交互效率，模型引入缓存机制（如KV-Cache）以减少重复计算。此前研究主要关注模型输出的准确性和效率优化，少有涉及状态一致性和安全性问题。随着模型在多轮会话中的应用，状态管理的复杂性增加，回滚机制成为关键技术。已有工作（如Li et al., 2026; Su et al., 2026）提出快照/恢复/回滚作为服务操作，但未充分考虑跨层状态同步问题。本文在此基础上，揭示了KV-Cache在逻辑回滚时未同步引发的潜在安全隐患，填补了模型状态管理中的空白。
核心问题
核心问题在于，模型在会话中采用KV-Cache以提升效率，但在逻辑回滚时，缓存未同步更新，导致模型实际仍在关注已被删除的内容。这种状态残留在多轮交互中可能被恶意利用，泄露敏感信息或执行未授权操作。现有回滚机制（如API调用或框架默认路径）未能保证状态同步，形成潜在安全漏洞。解决这一问题的难点在于跨层状态一致性保障，涉及模型推理层、缓存层和应用层的协同管理，缺乏统一的理论框架。
核心创新
本文的创新点主要包括：1）正式定义跨层回滚一致性缺口，提出模型关注状态与应用逻辑的完整性要求；2）设计同Token/不同缓存审计机制，有效区分缓存残留引起的状态变化；3）在多模型、多场景下系统性验证漏洞普遍性，确认其结构性根源；4）提出事务本地缓存重建方案，低成本修复状态不一致问题。相较于传统的模型快照或缓存管理方法，本文强调跨层状态同步的重要性，提供了理论基础和实用方案。
方法详解
- �� 采用多模型（7个开源模型，参数规模3.8B-36B）进行系统测试。• 利用Hugging Face Transformers框架中的DynamicCache，明确控制KV状态。• 设计同Token/不同缓存审计，保持决策步骤Token一致，仅变更缓存状态。• 在端到端会话应用中复现漏洞，验证缓存残留引发的状态不一致。• 结合LangGraph时间旅行API，验证逻辑回滚后KV状态残留问题。• 实现事务本地缓存重建方案，确保状态同步。• 通过不同模型和策略验证漏洞的普遍性和结构性根源。
实验设计
实验在多个开源模型上进行，使用真实会话场景模拟攻击。对比不同缓存状态（残留、重建、全重启）下的保护效果。指标包括敏感信息泄露率、受保护效果翻转次数。采用多种保护策略（如API原生abort、prompt级别检测）进行对比，验证方案有效性。还结合不同模型结构（Dense、Mixture-of-Experts）测试漏洞普遍性。实验结果显示，残留KV导致25/63的保护效果翻转，重建缓存和全重启能完全修复。
结果分析
在7个模型中，残留KV单独引发25/63的受保护效果翻转，泄露敏感信息，且攻击端Token在请求中完全缺失。重建缓存或全局刷新能关闭所有漏洞通道。端到端会话应用中，利用默认缓存路径也能复现该漏洞。即使在LangGraph时间旅行API中，逻辑回滚后KV状态仍旧残留，验证了问题的普遍性。模型大小与敏感状态破坏无明显相关性，结构性根源明显。通过长度/位置匹配控制，排除偏差，确认攻击源自KV携带的已删除内容。
应用场景
该研究对多轮会话系统、自动化客服、敏感信息处理等场景具有重要意义。确保状态同步和回滚一致性，是提升模型安全性和可信度的关键。未来可结合硬件加速和分布式存储，优化状态管理策略，增强系统鲁棒性。开发自动检测和修复工具，也将推动行业标准制定，保障模型在实际部署中的安全。
局限与展望
研究主要集中在特定框架和模型规模，实际环境可能存在差异。修复方案在极端高频场景下可能仍有潜在风险。未充分考虑多用户、多会话环境下的状态同步问题。未来需扩展多场景、多环境的验证，结合硬件和分布式技术，提升系统整体安全性。
通俗解读 非专业人士也能看懂
想象你在一家工厂里工作，工厂里有很多机器（模型），每台机器都用一份记事本（缓存）记录工作内容。每次工厂决定停止某个生产线（回滚），你以为所有机器都把记事本清空，重新开始。但实际上，有些机器的记事本没有被清空，它们还记得之前的内容。这样，当工厂继续工作时，这些机器会用旧的内容做决定，导致生产出错甚至泄露秘密。这个问题就像缓存没有同步，导致信息残留，可能被坏人利用。解决办法是每次停止生产线时，确保所有机器的记事本都被清空或重新装载最新内容，避免旧信息影响后续工作。这就像在模型中，重新构建KV缓存，确保状态一致，才能保证安全和正确。
原文摘要
Stateful language agents assume a rejected branch can be taken back by clearing it from the application transcript. We show this breaks when the serving session retains key/value (KV) state across the logical abort: the model can continue attending to content the application believes it discarded. We formalize the missing guarantee as rollback consistency: a complete abort must restore the state the model attends, not just the transcript. The key failure is cross-layer: a correct logical rollback need not compose with retained inference state, and the gap can remain invisible to the application. To isolate cache effects from text effects, we introduce a same-token/different-cache audit that holds decision-step tokens identical while varying only whether the cached prefix is stale or rebuilt from committed state. Across seven open-weight families (3.8B-36B), retained KV alone flips a typed protected effect in 25 of 63 audited cells, while attacker tokens are absent from the served request in all 63; rebuilding the cache closes every cell. The channel reproduces in an end-to-end session application, on the default Hugging Face Transformers cache-reuse path, and under LangGraph time-travel, where verified logical rollback can still leave attended KV stale. Susceptibility varies across models, but the underlying attended-state integrity violation is structural. We rule out position and length confounds, generalize across protected effects, policy structures, and a cache-isolated Mixture-of-Experts model, and show that transaction-local cache restoration closes the channel without requiring a global cache flush. All headline results are deterministic and reproducible from released artifacts.