論文の概要: Physical Side-Channel Attacks on Edge LLMs: Extracting Output Tokens and User Prompts

• arxiv url: http://arxiv.org/abs/2610.14215v1
• Date: Fri, 09 Oct 2026 18:29:27 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-20 22:32:16.821589
• Title: Physical Side-Channel Attacks on Edge LLMs: Extracting Output Tokens and User Prompts
• Title（参考訳）: エッジLDMの物理的サイドチャネル攻撃:出力トークンとユーザプロンプトの抽出
• Abstract要約: エッジデバイス上での大規模言語モデル(LLM)を対象とした電磁的(EM)サイドチャネル攻撃を提案する。 推論中に収集されたEMトレースが、生成されたトークンとユーザプロンプトの両方をリークできることを実証する。 提案手法では,受動EM側チャネル測定とモデルトレーニング中の微量なトレース数のみを必要とする。
• 参考スコア（独自算出の注目度）: 9.785470959572452
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: The deployment of large language models (LLMs) on edge devices is largely motivated by privacy concerns over sharing sensitive user data with cloud servers. In this paper, we demonstrate that keeping inference local does not eliminate privacy risks: an adversary with physical access to the device may exploit hardware leakage to recover sensitive information without compromising or modifying the software system. In particular, we present an electromagnetic (EM) side-channel attack targeting LLM inference on edge devices. Targeting LLaMA-3.2-1B-Instruct running on a Raspberry Pi 5, we demonstrate that EM traces collected during inference can leak both generated tokens and user prompts. We propose three attacks under different threat assumptions. First, a profiling attack that identifies generated tokens among 50 medical and privacy-related keywords with 97.2% accuracy on profiled words. Second, a reconstruction attack recovers the model's hidden representations and uses them to predict tokens from the full 128k-token vocabulary, achieving 94.3% accuracy on profiled classes. For unseen words, the correct token is ranked within the first 100 positions of the 128k-token vocabulary in 67% of cases, with a median rank of 54. Finally, we present a hidden-state inversion attack that uses the recovered hidden state to reconstruct user prompts semantically. Our proposed attacks require only passive EM side-channel measurements and a limited number of traces during model training. These results demonstrate that local execution alone may not guarantee the confidentiality of generated tokens and user inputs.
• Abstract（参考訳）: エッジデバイスへの大規模言語モデル(LLM)のデプロイは、機密性の高いユーザデータをクラウドサーバと共有することに対するプライバシー上の懸念から大きく動機付けられている。 本稿では,推論をローカルに保つことでプライバシのリスクがなくなることを実証する。デバイスに物理的にアクセスする相手は,ハードウェアの漏洩を利用して,ソフトウェアシステムに妥協や変更を加えることなく機密情報を復元することができる。 特に、エッジデバイス上でのLSM推論を目的とした電磁(EM)サイドチャネル攻撃を示す。 Raspberry Pi 5上で動作するLLaMA-3.2-1B-インストラクトをターゲットとして,推論中に収集したEMトレースが生成されたトークンとユーザプロンプトの両方をリークできることを実証する。 我々は、異なる脅威前提の下で3つの攻撃を提案する。 まず、プロファイルされた単語に対して97.2%の精度で、50の医療用およびプライバシー関連のキーワードの中で生成されたトークンを識別するプロファイリング攻撃。 第二に、再構成攻撃はモデルの隠された表現を復元し、128kの単語からトークンを予測し、プロファイルされたクラスで94.3%の精度を達成する。 未確認語では、正トークンは67%のケースで128kの単語の最初の100の位置にランクされ、中等級は54である。 最後に、復元された隠れ状態を用いてユーザプロンプトを意味的に再構築する隠れ状態反転攻撃を提案する。 提案手法では,受動EM側チャネル測定とモデルトレーニング中の微量なトレース数のみを必要とする。 これらの結果は、ローカル実行だけで生成されたトークンとユーザ入力の機密性を保証できないことを示している。

関連論文リスト

• Localization then Neutralization: Gradient-guided Token Suppression against Visual Prompt Injection Attack [78.02110947708535]
  敵対的なイメージは、プロンプトインジェクションを通じて、マルチモーダルな大規模言語モデルに深刻なセキュリティ上の脅威をもたらす。 敵の攻撃を成功させるには、画像全体を一様に依存するのではなく、重要な画像トークンの小さなサブセットに依存していることを示す。 本稿では,これらのトークンを勾配解析により局所化し,マスキングにより中和するグラディエントトークンマスキング(GTM)を提案する。
  論文  参考訳（メタデータ） (2026-05-24T17:51:34Z)
• Boundary-targeted Membership Inference Attacks on Safety Classifiers [70.20833439671131]
  安全分類器は、セルフハームとメンタルヘルスの議論を含むセンシティブなデータセットに基づいて訓練される。 低信頼例を識別する新たな境界目標選択戦略を導入する。 実験により、相手は会話の19%を安全分類器が5%の偽陽性率でユーザーの苦痛を示すようにフラグ付けして回復できることが示された。 これは最先端のMIAメソッドだけで攻撃するより3.5ドル高い。
  論文  参考訳（メタデータ） (2026-05-21T12:05:22Z)
• Stop Tracking Me! Proactive Defense Against Attribute Inference Attack in LLMs [61.15237978606501]
  大規模言語モデルは、ユーザ生成テキストからプライベートなユーザー属性を推測することができる。 既存の匿名化ベースの防御は粗く、プライバシーを優先する要素を匿名化する際に単語レベルの精度が欠如している。 細粒度匿名化(TRACE)と推論防止最適化(RPS)を組み合わせた統合防衛フレームワークを提案する。
  論文  参考訳（メタデータ） (2026-02-12T03:37:50Z)
• VoxGuard: Evaluating User and Attribute Privacy in Speech via Membership Inference Attacks [51.68795949691009]
  差分プライバシとメンバシップ推論に基づくフレームワークであるVoxGuardを紹介した。 属性については, 匿名化後も, 性別やアクセントをほぼ完全精度で再現できることが示唆された。 以上の結果から,EERはリークを著しく過小評価し,低FPR評価の必要性を浮き彫りにしている。
  論文  参考訳（メタデータ） (2025-09-22T20:57:48Z)
• DP-Fusion: Token-Level Differentially Private Inference for Large Language Models [51.71591819896191]
  大規模言語モデル(LLM)は、推論時にプライバシを保存しない。 DP-Fusion は LLM の出力にコンテキスト内のトークンの集合が持つ影響を証明的に束縛する。 提案手法は, 理論的および実証的プライバシを大幅に改善した, 証明可能な民営化文書を作成する。
  論文  参考訳（メタデータ） (2025-07-06T20:49:39Z)
• I Know What You Said: Unveiling Hardware Cache Side-Channels in Local Large Language Model Inference [19.466754645346175]
  ローカルにデプロイ可能な大規模言語モデル(LLM)は、最近、プライバシに敏感なタスクで人気を集めている。 ローカルLSM推論に新たなサイドチャネル脆弱性が出現し、被害者の入力テキストと出力テキストの両方を公開できる。 我々は,オープンソースのLLM推論システムとプロプライエタリなLLM推論システムの両方を対象として,新しい盗聴攻撃フレームワークを設計する。
  論文  参考訳（メタデータ） (2025-05-10T19:06:37Z)
• When Speculation Spills Secrets: Side Channels via Speculative Decoding In LLMs [2.305309289946973]
  そこで本研究では,不正な推測と正しい推測の入力依存パターンを,フィルタ単位のトークン数やパケットサイズをモニタすることによって推定できる,新たなサイドチャネルを明らかにする。 これらのパターンを観察する敵は、4つの投機的デコードスキームで90%の精度でユーザクエリをフィンガープリントすることができる。 パケットパディングや繰り返しトークンアグリゲーションなど,一連の軽減策を提案し,評価する。
  論文  参考訳（メタデータ） (2024-11-01T23:14:30Z)
• Robust and Verifiable Information Embedding Attacks to Deep Neural Networks via Error-Correcting Codes [81.85509264573948]
  ディープラーニングの時代、ユーザは、サードパーティの機械学習ツールを使用して、ディープニューラルネットワーク(DNN)分類器をトレーニングすることが多い。 情報埋め込み攻撃では、攻撃者は悪意のあるサードパーティの機械学習ツールを提供する。 本研究では,一般的なポストプロセッシング手法に対して検証可能で堅牢な情報埋め込み攻撃を設計することを目的とする。
  論文  参考訳（メタデータ） (2020-10-26T17:42:42Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。