Waarom kan iemand die mijn versleuteld LLM-verkeer afluistert nog steeds afleiden wat ik vroeg?

Whisper Leak, onthuld eind 2025, toonde aan dat het analyseren van pakkettiming- en groottepatronen in versleutelde streaming LLM-antwoorden promptonderwerpen classificeert met meer dan 98% precisie bij 28 grote aanbieders. Sommige aanbieders, waaronder OpenAI en Mistral, implementeerden oplossingen, maar die mitigaties richten zich alleen op token-lengtepatronen. Een afzonderlijke aanval maakt gebruik van speculatieve decodering: het aantal tokens dat per decoderingstap wordt geaccepteerd, varieert met de uitvoerinhoud, en dat signaal lekt door zelfs opgevulde verbindingen heen omdat opvulling de fluctuatie in de acceptatiesnelheid niet elimineert. Voorgestelde verdedigingen zoals tokenbatching verminderen de aanvalsnauwkeurigheid met 50%, maar elimineren het niet, en willekeurige opvulling legt tot 8,7x payload-overhead op met resterende lekkage. Geen enkele aanbieder heeft een volledige mitigatie voor de speculatieve decoderingsvariant uitgebracht.