Decomposition Attacks Across Unlinkable Identities: Limits of Stateful Defenses for LLM Services
作者: Bowen Sun, Zhengyue Zhao, Xiaogeng Liu, Yinzhi Cao, Chaowei Xiao
分类: cs.CR, cs.CL
发布日期: 2026-08-18
💡 一句话要点
提出状态监控机制以应对分解攻击挑战
🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)
关键词: 分解攻击 状态监控 大型语言模型 安全防御 请求分组 恶意用户识别 智能系统
📋 核心要点
- 现有的无状态防御方法无法有效应对分解攻击，攻击者可以通过拆分请求来绕过防御机制。
- 论文提出了一种状态监控机制，通过将请求进行分组来识别和阻止潜在的分解攻击。
- 实验结果表明，在91个可执行任务和11,393个良性请求中，现有防御策略未能成功阻止攻击，攻击成功率极高。
📝 摘要（中文）
大多数大型语言模型服务采用无状态防御，仅对当前请求进行判断，以拒绝有害任务。分解攻击利用这一局限，通过将有害任务拆分为单独的可接受请求并组合其答案，从而绕过防御。本文探讨在攻击者使用不可链接身份的情况下，是否仍能阻止分解攻击。研究表明，防御的有效性依赖于如何将相同能力的良性请求进行分组。实验结果显示，现有的十种防御策略在面对攻击时均未能有效阻止，且在特定条件下攻击成功率高达100%。有效的防御需要额外的证据或机制与分组关联。
🔬 方法详解
问题定义：本文解决的具体问题是如何在攻击者使用不可链接身份的情况下有效阻止分解攻击。现有的无状态防御方法无法识别请求之间的关联，导致攻击者能够轻松绕过防御。
核心思路：论文的核心解决思路是引入状态监控机制，通过对请求进行分组来识别潜在的攻击任务。这种设计旨在通过考虑请求的上下文来提高防御的有效性。
技术框架：整体架构包括请求收集、请求分组、攻击检测和响应机制。请求首先被收集并进行分类，然后根据相似性进行分组，最后通过监控机制判断是否存在攻击行为。
关键创新：最重要的技术创新点在于提出了基于请求分组的状态监控机制，这与现有的无状态防御方法本质上不同，后者仅关注单个请求的合法性。
关键设计：在设计中，关键参数包括请求分组的策略、监控机制的灵敏度以及反馈机制的设计。这些细节确保了防御系统能够有效识别和响应潜在的分解攻击。
🖼️ 关键图片
📊 实验亮点
实验结果显示，在91个可执行任务和11,393个良性请求中，所有十种测试的防御策略均未能有效阻止攻击，攻击成功率在一次尝试后达到99%，两次尝试后达到100%。这些结果强调了现有防御策略的局限性，并指出了需要改进的方向。
🎯 应用场景
该研究的潜在应用领域包括大型语言模型服务、在线内容生成平台和任何依赖用户请求的智能系统。通过引入状态监控机制，可以显著提高系统的安全性，防止恶意用户利用分解攻击进行滥用，从而保护用户和平台的利益。未来，该方法可能会扩展到其他类型的智能服务中，提升整体安全性。
📄 摘要（原文）
Most large language model services use stateless defenses, which judge only the current request, to refuse harmful tasks. Decomposition attacks exploit this limitation by splitting a harmful task into individually permissible requests and combining their answers. Defending against them therefore requires a stateful monitor that considers requests together. If it can group all requests for one attacker task, it can stop the attack. However, attackers can use unlinkable identities and combine answers elsewhere, leaving no reliable grouping signal. We ask whether decomposition attacks can still be stopped under this setting. For a fixed attack strategy without retries, we prove that the achievable security and utility tradeoff depends entirely on how benign requests for the same capabilities are grouped. Persistent, recognizable groups permit a useful defense; fresh, indistinguishable groups do not. When attackers can retry and learn from Allow/Block decisions, this useful operating point disappears: the feedback reveals what passes but not whether a block was correct. Experiments on 91 executable tasks and 11,393 capability-matched benign requests support these results. Under a 1% denial cap for these requests and a 0.5% cap for unrelated background traffic, all ten tested policies, including one privileged policy with an exact request-to-operation map, either fail to stop attacks or exceed the budget. On defense-unseen task families, attack success is at least 99% after one attempt and 100% after two. Effective defenses therefore require additional evidence or mechanisms tied to grouping, such as reliable identity linkage, costs for fresh identities, or control over answer use.