Mirage 给 KV 缓存计时侧信道加闸：敏感前缀被探测时只延迟网关发流，GPU 照常复用
核心概要
共享前缀缓存让命中请求的首 token 时间明显短于未命中，攻击者据此反复试探即可逐字猜出他人提示词。Mirage 不再按内容隔离缓存，而是在网关侧统计同一敏感前缀下新出现的候选分支数量，超过预算后把整条输出流整体后移，使命中看起来像一次自然的缓存未命中。在 SGLang 上对 Qwen、Llama、DeepSeek 三个模型、三种计时攻击的测试中，攻击成功率降到接近随机猜测，公开前缀的中位首 token 延迟基本不变。
深度剖析
Mirage 把跨租户前缀缓存的计时泄露压到接近随机猜测的水平，同时不关闭缓存共享。 此前的做法是分区、加盐或按内容判定敏感后隔离，代价是敏感前缀的合法用户也失去全部缓存复用。 在 500 条公开语料上，对 DeepSeek-14B、Llama-3-8B、Qwen1.5-1.8B 三个模型，OptiLeak 的成功率降到 0，EarlyBird 降到 0 至 0.2，InputSnatch 端到端为 0.4 及以下。
判定依据是攻击者绕不开的行为：要猜出高熵秘密，必须在同一前缀下不断开出新的候选分支。 内容分类器只看请求里有没有秘密，分不清合法用户读敏感文档和攻击者连续试探。 隐私里程表按前缀记录新分支并随时间衰减打分，默认预算下第一个新分支放行、第二个快速候选即触发锁定。
锁定后并不暂停 GPU，而是在网关把整条流按同一偏移后移，使首 token 延迟落在校准过的未命中分位数上。 只压首个 token 会在流式接口里造成后续分块成串涌出，暴露 token 间隔异常。 未命中目标由在线仿射回归加残差上分位估计，并随负载更新；公开流量中位首 token 延迟与无防御基线相差在很小范围内。
启示与展望
演示范围是单 GPU、NVIDIA A40、最大 14B 的模型，在 SGLang 的最长前缀匹配调度与单请求在途设置下评测，安全数字来自 500 条公开来源拼成的机密咨询提示语料。适用读者是部署多租户推理服务、关心前缀缓存隐私成本的系统工程师与安全研究者。
保证是有条件的：敏感门控误判、探测分散到多个被计量前缀、调度在首 token 之外泄露信息，或等化不完美，都会削弱结论。残余泄露以实测的等化间隙表示，而非对所有可能检验的界；低速率分散探测的分析依赖缓存驻留假设。