Pourquoi quelqu'un qui surveille mon trafic LLM chiffré peut-il encore déduire ce que j'ai demandé ?

Whisper Leak, divulgué fin 2025, a démontré que l'analyse des schémas de timing et de taille des paquets dans les réponses LLM en streaming chiffrées classe les sujets des prompts avec une précision supérieure à 98 % auprès de 28 fournisseurs majeurs. Certains fournisseurs, dont OpenAI et Mistral, ont déployé des correctifs, mais ces mesures d'atténuation ne s'adressent qu'aux schémas de longueur de tokens. Une attaque distincte exploite le décodage spéculatif : le nombre de tokens acceptés par étape de décodage varie selon le contenu de sortie, et ce signal fuite même à travers des connexions rembourrées car le rembourrage n'élimine pas la fluctuation du taux d'acceptation. Les défenses proposées, telles que le regroupement de tokens, réduisent la précision des attaques de 50 % sans les éliminer, et le rembourrage aléatoire impose jusqu'à 8,7 fois la charge utile avec une fuite résiduelle. Aucun fournisseur n'a déployé d'atténuation complète pour la variante de décodage spéculatif.