ทำไมคนที่ดักจับการรับส่งข้อมูล LLM ที่เข้ารหัสของฉันยังสามารถอนุมานสิ่งที่ฉันถามได้?

Whisper Leak ที่เปิดเผยในช่วงปลายปี 2025 แสดงให้เห็นว่าการวิเคราะห์รูปแบบเวลาและขนาดแพ็กเก็ตในการตอบสนอง LLM แบบสตรีมที่เข้ารหัสสามารถจำแนกหัวข้อ prompt ได้ด้วยความแม่นยำมากกว่า 98% ในผู้ให้บริการรายใหญ่ 28 ราย ผู้ให้บริการบางรายรวมถึง OpenAI และ Mistral ได้ติดตั้งแพตช์แก้ไข แต่มาตรการบรรเทาดังกล่าวจัดการเฉพาะรูปแบบความยาว token เท่านั้น การโจมตีอีกรูปแบบหนึ่งใช้ประโยชน์จาก speculative decoding โดยจำนวน token ที่ยอมรับในแต่ละขั้นตอนการถอดรหัสจะแตกต่างกันตามเนื้อหาของผลลัพธ์ และสัญญาณดังกล่าวรั่วไหลแม้ผ่านการเชื่อมต่อที่มีการเพิ่ม padding เนื่องจาก padding ไม่สามารถขจัดความผันผวนของอัตราการยอมรับได้ การป้องกันที่เสนอ เช่น token batching ลดความแม่นยำของการโจมตีได้ 50% แต่ไม่สามารถขจัดได้ทั้งหมด และ random padding เพิ่มภาระ payload สูงถึง 8.7 เท่า โดยยังมีการรั่วไหลหลงเหลืออยู่ ยังไม่มีผู้ให้บริการรายใดที่ส่งมอบมาตรการบรรเทาที่สมบูรณ์สำหรับ speculative decoding variant