¿Por qué alguien que observa mi tráfico cifrado de LLM puede seguir infiriendo lo que pregunté?

Whisper Leak, divulgado a finales de 2025, demostró que el análisis de los patrones de temporización y tamaño de paquetes en las respuestas cifradas en streaming de LLM clasifica los temas de los prompts con una precisión superior al 98% en 28 proveedores principales. Algunos proveedores, incluidos OpenAI y Mistral, implementaron correcciones, pero esas mitigaciones solo abordan los patrones de longitud de tokens. Un ataque independiente explota la decodificación especulativa: el número de tokens aceptados por paso de decodificación varía según el contenido de la salida, y esa señal se filtra incluso a través de conexiones con relleno porque el relleno no elimina la fluctuación en la tasa de aceptación. Las defensas propuestas, como el agrupamiento de tokens, reducen la precisión del ataque en un 50% pero no la eliminan, y el relleno aleatorio impone una sobrecarga de hasta 8,7 veces en el payload con filtraciones residuales. Ningún proveedor ha lanzado una mitigación completa para la variante de decodificación especulativa.